Microsoft Entra Connect 同期を使用したパスワード ハッシュ同期のトラブルシューティング

このトピックでは、パスワード ハッシュ同期の問題のトラブルシューティングを行う手順を示します。 パスワードが想定どおりに同期されていない場合は、ユーザーのサブセットまたはすべてのユーザーに対して同期できます。

Microsoft Entra Connect バージョン 1.1.614.0 以降のデプロイについては、ウィザードのトラブルシューティング タスクを使用して、パスワード ハッシュ同期の問題のトラブルシューティングを行ってください。

• パスワードが同期されない問題がある場合は、「パスワードが同期されない: トラブルシューティング タスクによるトラブルシューティング」を参照してください。

• 個々のオブジェクトに問題がある場合は、「1 つのオブジェクトがパスワードを同期していない: トラブルシューティング タスクによるトラブルシューティング」を参照してください。

バージョン 1.1.524.0 以降のデプロイでは、パスワード ハッシュ同期の問題のトラブルシューティングに使用できる診断コマンドレットがあります。

• パスワードが同期されない問題がある場合は、「パスワードが同期されない: 診断コマンドレットによるトラブルシューティング」を参照してください。

• 個々のオブジェクトに問題がある場合は、「1 つのオブジェクトがパスワードを同期していない: 診断コマンドレットによるトラブルシューティング」を参照してください。

以前のバージョンの Microsoft Entra Connect デプロイの場合:

• パスワードが同期されない問題がある場合は、「パスワードが同期されない: 手動によるトラブルシューティング手順」を参照してください。

• 個々のオブジェクトに問題がある場合は、「1 つのオブジェクトがパスワードを同期していない: 手動によるトラブルシューティング手順」を参照してください。

パスワードが同期されない: トラブルシューティング タスクによるトラブルシューティング

トラブルシューティング タスクを使用して、パスワードが同期されない理由を確認できます。

トラブルシューティング タスクを実行する

パスワードが同期されない問題のトラブルシューティングを行うには:

1. [管理者として実行] オプションを指定して、Microsoft Entra Connect サーバーで新しい Windows PowerShell セッションを開きます。

2. Set-ExecutionPolicy RemoteSigned または Set-ExecutionPolicy Unrestricted を実行します。

3. Microsoft Entra Connect ウィザードを起動します。

4. 追加タスク ページに移動し、[トラブルシューティング]選択し、[次へ]選択します。

5. [トラブルシューティング] ページ [ の起動] を選択して、PowerShell のトラブルシューティング メニューを開始します。

6. メイン メニューで、 [Troubleshoot password hash synchronization]\(パスワード ハッシュ同期のトラブルシューティング\) を選択します。

7. サブ メニューで、 [Password hash synchronization does not work at all]\(パスワード ハッシュ同期がまったく機能しない\) を選択します。

トラブルシューティング タスクの結果を理解する

トラブルシューティング タスクでは、次のチェックが実行されます。

• パスワード ハッシュ同期機能が Microsoft Entra テナントに対して有効になっていることを検証します。

• Microsoft Entra Connect サーバーがステージング モードではないことを検証します。

• 既存のオンプレミスの Active Directory コネクタ (既存の Active Directory フォレストに対応) ごとに次の手順を実行します。

  • パスワード ハッシュ同期機能が有効になっていることを検証します。

  • アプリケーション イベント ログでパスワード ハッシュ同期ハートビート イベントを検索します。

  • オンプレミスの Active Directory コネクタの Active Directory ドメインごとに次の手順を実行します。

    • Microsoft Entra Connect サーバーからドメインにアクセスできることを検証します。

    • オンプレミスの Active Directory コネクタで使用される Active Directory Domain Services (AD DS) アカウントに、パスワード ハッシュ同期に必要な適切なユーザー名、パスワード、およびアクセス許可が付与されていることを検証します。

次の図は、単一ドメインのオンプレミス Active Directory トポロジに対するコマンドレットの結果を示しています。

このセクションの残りの部分では、タスクによって返される特定の結果と、それに対応する問題について説明します。

パスワード ハッシュ同期機能が有効になっていない

Microsoft Entra Connect ウィザードを使用してパスワード ハッシュ同期が有効になっていない場合は、次のエラーが返されます。

Microsoft Entra Connect サーバーがステージング モードである

Microsoft Entra Connect サーバーがステージング モードである場合、パスワード ハッシュ同期は一時的に無効になり、次のエラーが返されます。

パスワード ハッシュ同期のハートビート イベントがない

各オンプレミス Active Directory コネクタは、独自のパスワード ハッシュ同期チャネルを維持します。 チャネルがアクティブで、パスワードの変更が保留中でない場合は、ハートビート イベント (イベント ID 654) が Windows アプリケーション イベント ログに 30 分ごとに記録されます。

チャネルの正常性を確認するために、コマンドレットは過去 3 時間以内に各コネクタからのハートビート イベントをチェックします。 何も見つからない場合は、次のエラーが返されます。

AD DS アカウントに適切なアクセス許可がない

パスワード ハッシュを同期するためにオンプレミスの Active Directory コネクタによって使用される AD DS アカウントに、適切なアクセス許可がない場合は、次のエラーが返されます。

AD DS アカウントのユーザー名またはパスワードが正しくない

パスワード ハッシュを同期するためにオンプレミスの Active Directory コネクタによって使用される AD DS アカウントに、誤ったユーザー名またはパスワードが指定さている場合は、次のエラーが返されます。

1 つのオブジェクトがパスワードを同期していない: トラブルシューティング タスクを使用して解決してください

トラブルシューティング タスクを使用して、1 つのオブジェクトがパスワードを同期していない理由を特定できます。

診断コマンドレットを実行する

特定のユーザー オブジェクトに関する問題のトラブルシューティングを行うには:

1. [管理者として実行] オプションを指定して、Microsoft Entra Connect サーバーで新しい Windows PowerShell セッションを開きます。

2. Set-ExecutionPolicy RemoteSigned または Set-ExecutionPolicy Unrestricted を実行します。

3. Microsoft Entra Connect ウィザードを起動します。

4. 追加タスク ページに移動し、[トラブルシューティング]選択し、[次へ]選択します。

5. [トラブルシューティング] ページ [ の起動] を選択して、PowerShell のトラブルシューティング メニューを開始します。

6. メイン メニューで、 [Troubleshoot password hash synchronization]\(パスワード ハッシュ同期のトラブルシューティング\) を選択します。

7. サブメニューで、[パスワードが特定のユーザー アカウントのに同期されない] を選択します。

トラブルシューティング タスクの結果を理解する

トラブルシューティング タスクでは、次のチェックが実行されます。

• Active Directory コネクタ スペース、メタバース、および Microsoft Entra コネクタ スペースで、Active Directory オブジェクトの状態を調べます。

• パスワード ハッシュ同期が有効で、Active Directory オブジェクトに適用されている同期規則があることを検証します。

• オブジェクトに対するパスワード同期の前回の試行結果を取得および表示しようとします。

次の図は、1 つのオブジェクトに対するパスワード ハッシュ同期のトラブルシューティングを行ったときの、コマンドレットの結果を示しています。

このセクションの残りの部分では、コマンドレットによって返される具体的な結果と、それに対応する問題について説明します。

Active Directory オブジェクトが Microsoft Entra ID にエクスポートされない

Microsoft Entra テナントに対応するオブジェクトがないため、このオンプレミス Active Directory アカウントのパスワード ハッシュ同期が失敗します。 次のエラーが返されます。

ユーザーに一時パスワードがある

以前のバージョンの Microsoft Entra Connect では、一時パスワードと Microsoft Entra ID の同期はサポートされていませんでした。 オンプレミスの Active Directory ユーザーで [Change password at next logon]\(次回ログオン時にパスワード変更が必要\) オプションが設定されている場合、パスワードは一時的なものと見なされます。 これらの以前のバージョンでは、次のエラーが返されます。

一時パスワードがエクスポートされない

一時パスワードの同期を有効にするには、Microsoft Entra Connect バージョン 2.0.3.0 以降がインストールされていて、 ForcePasswordChangeOnLogon 機能が有効になっている必要があります。

パスワード同期の前回の試行結果を使用できない

既定では、Microsoft Entra Connect では、パスワード ハッシュ同期の試行結果が 7 日間保存されます。 選択した Active Directory オブジェクトについて使用できる結果がない場合は、次の警告が返されます。

パスワードが同期されない: 診断コマンドレットによるトラブルシューティング

パスワードが同期されない理由を確認するには、Invoke-ADSyncDiagnostics コマンドレットを使用できます。

診断コマンドレットを実行する

パスワードが同期されない問題のトラブルシューティングを行うには:

1. [管理者として実行] オプションを指定して、Microsoft Entra Connect サーバーで新しい Windows PowerShell セッションを開きます。

2. Set-ExecutionPolicy RemoteSigned または Set-ExecutionPolicy Unrestricted を実行します。

3. Import-Module ADSyncDiagnostics を実行します。

4. Invoke-ADSyncDiagnostics -PasswordSync を実行します。

1 つのオブジェクトがパスワードを同期していない: 診断コマンドレットを使用したトラブルシューティング

Invoke-ADSyncDiagnostics コマンドレットを使用して、1 つのオブジェクトがパスワードを同期していない理由を特定できます。

診断コマンドレットを実行する

ユーザーのパスワードが同期されない問題のトラブルシューティングを行うには:

1. [管理者として実行] オプションを指定して、Microsoft Entra Connect サーバーで新しい Windows PowerShell セッションを開きます。

2. Set-ExecutionPolicy RemoteSigned または Set-ExecutionPolicy Unrestricted を実行します。

3. Import-Module ADSyncDiagnostics を実行します。

4. ユーザーの DistinguishedName (DN) を取得し、次のコマンドレットを実行します。

   Invoke-ADSyncDiagnostics -PasswordSync -ADConnectorName <Name-of-AD-Connector> -DistinguishedName <DistinguishedName-of-AD-object>
   

   例えば次が挙げられます。

   Invoke-ADSyncDiagnostics -PasswordSync -ADConnectorName "contoso.com" -DistinguishedName "CN=TestUserCN=Users,DC=contoso,DC=com"
   

パスワードが同期されない: 手動によるトラブルシューティング手順

パスワードが同期されない理由を確認するには、次の手順に従います。

1. Connect サーバーはステージング モードですか。 ステージング モードのサーバーは、パスワードを同期しません。

2. 「パスワード同期設定の状態の取得」セクションにあるスクリプトを実行してください。 これにより、パスワード同期の構成の概要が示されます。

   

3. この機能が Microsoft Entra ID で有効になっていない場合、または同期チャネルの状態が有効になっていない場合は、接続インストール ウィザードを実行します。 [同期オプションのカスタマイズ] を選択し、パスワード同期の選択を解除します。この変更により、一時的に機能が無効になります。 その後、もう一度ウィザードを実行し、パスワード同期を再度有効にします。スクリプトを再実行して、構成が正しいことを確認します。

4. イベント ログでエラーを調べます。 問題を示す次のイベントを探します。

   ソース: "ディレクトリ同期 "
   ID: 0、611、652、655

   これらのイベントが表示されている場合は、接続に問題があります。 イベント ログ メッセージに、問題のあるフォレストの情報が含まれています。

5. ハートビートが表示されない場合、または他に何も動作していない場合は、「すべてのパスワードの完全同期の開始」を実行します。 スクリプトは 1 回のみ実行してください。

6. 「パスワードを同期していない 1 つのオブジェクトのトラブルシューティング」セクションを参照してください。

接続の問題と AD DS のアクセス許可

Microsoft Entra Connect が Microsoft Entra ID に接続できるかどうかを確認します。

AD DS コネクタ アカウントには、すべてのドメインでパスワード ハッシュを読み取るために必要なアクセス許可が必要です。

Express 設定を使用して Microsoft Entra Connect をインストールした場合、必要なアクセス許可が自動的に構成されました。

カスタム インストールを使用した場合は、次の手順に従ってアクセス許可を手動で割り当てます。

1. Active Directory コネクタで使用されるアカウントを検索するには、Synchronization Service Manager を起動します。

2. [コネクタ] に移動し、トラブルシューティングを行うオンプレミスの Active Directory フォレストを検索します。

3. コネクタを選択し、[プロパティ]選択します。

4. [Active Directory フォレストに接続] を選択します。

   
   ユーザー名と、アカウントがあるドメインをメモしておきます。

5. Active Directory ユーザーとコンピューターを起動し、先ほど見つけたアカウントに、フォレスト内のすべてのドメインのルートに次のアクセス許可が設定されていることを確認します。

   • ディレクトリの変更のレプリケート
   • ディレクトリの変更をすべてにレプリケート

6. ドメイン コントローラーは、Microsoft Entra Connect からアクセスできますか? Connect サーバーですべてのドメイン コントローラーに接続できない場合は、 優先ドメイン コントローラーのみを使用するように構成します。

   

7. Synchronization Service Manager と [ディレクトリ パーティションの構成] に戻ります。

8. [ディレクトリ パーティション] でドメインを選択し、[優先ドメイン コントローラーのみを使用] チェック ボックスをオンにして、それから [構成] を選択します。

9. 一覧で、Connect がパスワード同期に使用するドメイン コントローラーを入力します。同じ一覧がインポートとエクスポートにも使用されます。 すべてのドメインに対してこの手順を実行します。

10. スクリプトによってハートビートがないことが示されたら、「すべてのパスワードの完全同期の開始」にあるスクリプトを実行します。

1 つのオブジェクトがパスワードを同期していない: 手動によるトラブルシューティング手順

オブジェクトの状態を確認することで、パスワード ハッシュ同期の問題を簡単に解決できます。

1. [Active Directory ユーザーとコンピューター] で、ユーザーを検索し、 [ユーザーは次回ログオン時にパスワードの変更が必要] チェック ボックスがオフになっていることを確認します。

   

チェック ボックスがオンになっている場合、ユーザーは、サインインしてパスワードを変更するよう求められます。 一時パスワードは Microsoft Entra ID と同期されません。

2. パスワードが Active Directory で正しく表示されたら、同期エンジンのユーザーをフォローします。 オンプレミスの Active Directory から Microsoft Entra ID にユーザーをフォローすると、オブジェクトにわかりやすいエラーがあるかどうかを確認できます。

   ａ. Synchronization Service Manager を起動します。

   b。 コネクタを選択します。

   c. ユーザーが存在する Active Directory コネクタを選択します。

   d. [Search Connector Space (コネクタ スペースの検索)] を選択します。

   e. [スコープ] ボックスで、 [DN or Anchor]\(DN またはアンカー\) を選択し、トラブルシューティングを行うユーザーの完全な DN を入力します。

   

   f. 探しているユーザーを見つけて、[プロパティ] 選択して、すべての属性を表示します。 ユーザーが検索結果に含まれていない場合は、フィルター規則 を確認し、変更を適用して確認するために 実行し、ユーザーが「接続」に表示されるようにしてください。

   g. 過去 1 週間のオブジェクトのパスワード同期の詳細を表示するには、[ログ選択します。

   

   オブジェクト ログが空の場合、Microsoft Entra Connect は Active Directory からパスワード ハッシュを読み取ることができません。 接続エラーのトラブルシューティングに進みます。 [成功] 以外の値が表示される場合は、「パスワード同期ログ」の表をご覧ください。

   h. [系列] タブを選択し、 [PasswordSync] 列の少なくとも 1 つの同期規則が True であることを確認します。 既定の構成では、同期規則の名前は [In from AD - User AccountEnabled]\(AD からの受信 - ユーザー AccountEnabled) です。

   

   一. [メタバース オブジェクト プロパティ] を選択して、ユーザー属性の一覧を表示します。

   

   cloudFiltered 属性が存在しないことを確認します。 ドメイン属性 (domainFQDN と domainNetBios) に必要な値があることを確認します。

   j. [コネクタ] タブを選択します。オンプレミスの Active Directory と Microsoft Entra ID の両方へのコネクタが表示されていることを確認します。

   

   k. Microsoft Entra ID を表す行を選択し、[プロパティ]、[系列] タブの順に選択します。コネクタ スペース オブジェクトでは、[PasswordSync] 列のアウトバウンド規則が True に設定されている必要があります。 既定の構成では、[Out to Microsoft Entra ID - User Join] という名前の同期規則です。

   

パスワード ハッシュ同期ログ

状態列には次の値が入ります。

パスワード ハッシュ同期の Windows イベント ビューアー ログ

パスワード ハッシュ同期機能は、Windows イベント ビューアーで包括的なアプリケーション イベントのセットを生成し、その操作アクティビティの大部分をキャプチャします。

効果的なトラブルシューティングを行うには、アプリケーション ログのサイズを大きくすることを検討してください。 この調整を行わないと、パスワード ハッシュ同期イベントが上書きされる可能性があるため、同期状態の追跡や問題の診断が困難になります。

トラブルシューティングに役立つスクリプト

パスワード同期設定の状態の取得

Import-Module ADSync
$connectors = Get-ADSyncConnector
$aadConnectors = $connectors | Where-Object {$_.SubType -eq "Windows Azure Active Directory (Microsoft)"}
$adConnectors = $connectors | Where-Object {$_.ConnectorTypeName -eq "AD"}
if ($aadConnectors -ne $null -and $adConnectors -ne $null)
{
    if ($aadConnectors.Count -eq 1)
    {
        $features = Get-ADSyncAADCompanyFeature
        Write-Host
        Write-Host "Password sync feature enabled in your Azure AD directory: "  $features.PasswordHashSync
        foreach ($adConnector in $adConnectors)
        {
            Write-Host
            Write-Host "Password sync channel status BEGIN ------------------------------------------------------- "
            Write-Host
            Get-ADSyncAADPasswordSyncConfiguration -SourceConnector $adConnector.Name
            Write-Host
            $pingEvents =
                Get-EventLog -LogName "Application" -Source "Directory Synchronization" -InstanceId 654  -After (Get-Date).AddHours(-3) |
                    Where-Object { $_.Message.ToUpperInvariant().Contains($adConnector.Identifier.ToString("D").ToUpperInvariant()) } |
                    Sort-Object { $_.Time } -Descending
            if ($pingEvents -ne $null)
            {
                Write-Host "Latest heart beat event (within last 3 hours). Time " $pingEvents[0].TimeWritten
            }
            else
            {
                Write-Warning "No ping event found within last 3 hours."
            }
            Write-Host
            Write-Host "Password sync channel status END ------------------------------------------------------- "
            Write-Host
        }
    }
    else
    {
        Write-Warning "More than one Azure AD Connectors found. Please update the script to use the appropriate Connector."
    }
}
Write-Host
if ($aadConnectors -eq $null)
{
    Write-Warning "No Azure AD Connector was found."
}
if ($adConnectors -eq $null)
{
    Write-Warning "No AD DS Connector was found."
}
Write-Host

すべてのパスワードの完全同期の開始

次のスクリプトを使用して、すべてのパスワードの完全同期をトリガーできます。

1. ローカル Active Directory $adConnector 値を割り当てる

   $adConnector = "<CASE SENSITIVE AD CONNECTOR NAME>"

2. AzureAD $aadConnector 値を割り当てる

   $aadConnector = "<CASE SENSITIVE AAD CONNECTOR NAME>"

3. AzureAD 同期モジュールをインストールする

   Import-Module adsync

4. 新しい [完全パスワード同期の強制] 構成パラメーター オブジェクトを作成する

   $c = Get-ADSyncConnector -Name $adConnector

5. 既存のコネクタを次の新しい構成で更新します。 各行を個別に実行する

   ａ. $p = New-Object Microsoft.IdentityManagement.PowerShell.ObjectModel.ConfigurationParameter "Microsoft.Synchronize.ForceFullPasswordSync", String, ConnectorGlobal, $null, $null, $null

   b。 $p.Value = 1

   c. $c.GlobalParameters.Remove($p.Name)

   d. $c.GlobalParameters.Add($p)

   e. $c = Add-ADSyncConnector -Connector $c

6. Entra ID Connect を無効にする

   Set-ADSyncAADPasswordSyncConfiguration -SourceConnector $adConnector -TargetConnector $aadConnector -Enable $false

7. Entra ID Connect を有効にして完全なパスワード同期を強制する

   Set-ADSyncAADPasswordSyncConfiguration -SourceConnector $adConnector -TargetConnector $aadConnector -Enable $true

次のステップ

• Microsoft Entra Connect Sync を使用したパスワード ハッシュ同期の実装
• Microsoft Entra Connect 同期: 同期オプションのカスタマイズ
• オンプレミス ID と Microsoft Entra ID の統合