ActiveDirectoryとAzureADでのHybridAzureADJoined設定と必要なADユーザーの情報変更

こんにちは

Office365を利用する中でActiveDirectory(AD)とAzureAD(AAD)の同期でHybridAzureADJoined設定が必要になるケースがあります。

例えば

IntuneとMECM(旧名SCCM)の共同管理を利用する
オンプレADドメイン参加済みWindowsPCのIntuneへの自動登録
Windows10 E3 or Windows10 E5のライセンス自動適用
WindowsVirtualDesktopで作成するデバイスをオンプレADに参加させる

等々、設定が必要になってくるケースがあることと、HybridADJionするWindowPCの状態にも依存していて最初に調べた時に結構困ったので、内容を記録しておきたいと思います！

※2はHybridAzureADJoin時に登録しないと自動登録されなくなるみたいで後から登録したいってなると再度HybridAzureADJoinさせないといけなくなるので事前に計画して実施するなら先に設定してください。

設定方法はこれです。

kbtblog.hatenablog.com

ということで今回は「AzureADConnectを利用したHybridAzureADJoined設定」について書いていきます！

まず初めにHybridAzureADJoinedは書くと長いので以後HAADJと略していきます！

そもそもAzureADにデバイスを参加させる方法は３つあります。

AzureAD参加
ハイブリッドAzureAD参加
AzureAD登録

このあたりの違いについては僕が書くよりもとってもいい資料があるのでご紹介です！笑

※Micorosoft社の方が書いてくれておりめっちゃ読みやすいんです！

https://github.com/yusukekodama/PMActivities/blob/master/Webinar/Schedule.md

過去記事の以下のタイトルの内容を読んでくださいね！

Azure AD の新しいデバイス管理パターンを理解しよう
Modern device management with Azure AD

HAADJの動き(AzureADConnectのみの場合)

ActiveDirectoryとAzureAD間でAzureADConnectでユーザーオブジェクトを同期する
同期されたユーザーにてクライアントPCにログオンする←ここめっちゃ重要
クライアントPCがActiveDirectoryとAzureADに情報を受け渡し(クライアントPC内のタスクスケジューラにて実行)、ActiveDirectory内の自身のクライアントPC(ログオンしたコンピューターオブジェクト)のUserCertificateに証明書の値を追加
AzureADConnectは同期対象のOUかつコンピューターオブジェクトであれば「UserCertificate」に値が入っている場合、AzureADに同期
AzureADにコンピューターオブジェクトが同期され、AzureADにてログオンされたユーザー情報との紐付けを実施

何が重要かというと２のPCでのログオンユーザーがAzureAD(Office365)のログオンユーザーIDと一緒でないといけないです！

下図みたいなパターンだとADのユーザー(ユーザーA)の社員番号が1234と仮定すると恐らく、WindowsPCにtest\1234もしくは1234@test.localでログオンしているかと思います。

AzureAD(Office365)には1234@test.localなんてユーザーはいないためHAADJは失敗します。

f:id:KKubo19:20200804184834p:plain

つまりADユーザーのUserPrincipalNameをAzureAD(Office365)と一緒にする必要があります。(今回は下図のとおりプレフィックスもサフィックスも変更しています。)

f:id:KKubo19:20200804192045p:plain

ADユーザーの情報を上記状態(UserPrincipalNameのみでOK)に変更すると、ユーザーはWindowsに「ユーザーA@test.co.jp」でログオンすることができるようになります。

するとAzureAD(Office365)のIDとも一致し、HAADJが成功します。

※ユーザーはWindowsへのログオン名が変化するため注意する必要があります。

～2020/08/20追記～

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

UPN変更さえしていれば、sAMAccountname(test\1234)でログオンしてもHAADJが成功しました！！知らなかった！そうだったのか

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

プレフィックスとサフィックスの変更による影響は以下に参考になるものがありました。

https://docs.microsoft.com/ja-jp/azure/active-directory/hybrid/howto-troubleshoot-upn-changes

HybridAzureADJoinの動作やAzureADの動作について細かな内容は以下に記載がありました。

https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-how-it-works-device-registration

ちなみにWindowsクライアントがADおよびAzureADにデバイス登録通信をするときにはWinHTTPを利用しているようなのでWinInetにしかプロキシ設定していないとかだと通信できずにエラーになるのでご注意を！！

※インターネットオプションのプロキシ設定だけだとNGなことあるよってことです！

構成

ActiveDirectoryサーバー兼AzureADConnectサーバー(WindowsServer2016)

※ActiveDirectoryとAzureADConnectサーバーのOSはWindows2012R2以降であればOKなようです。詳しくは以下URLをご確認ください。

https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-azuread-join-managed-domains

設定手順

１．AzureADConnectのインストール

まずはAzureADConnect(AADC)をサーバーにインストールします。本番環境ではADサーバーにAADCをインストールすることは非推奨ですが、今回は検証用なのでADサーバーにインストールしちゃいます。

https://www.microsoft.com/en-us/download/details.aspx?id=47594

にアクセスして、DownLoadボタンからAzureADConnectのモジュールをダウンロード

f:id:KKubo19:20200814145321p:plain

ダウンロードしたmsiファイルをダブルクリックで実行

f:id:KKubo19:20200814145506p:plain

カスタマイズをクリック

f:id:KKubo19:20200814145654p:plain

インストール先の指定やSQLServerを利用する場合は以下の項目をクリック

※不要であればそのままインストールをクリック

f:id:KKubo19:20200814145745p:plain

今回サインオン方式は推奨の「パスワードハッシュの同期」としています。

この違いについても上記記載のMicrosoftの方の資料に記載があります。(神かよ！)

f:id:KKubo19:20200814145851p:plain

AzureAD(Office365)のグローバル管理者のアカウントIDおよびパスワードを入力

f:id:KKubo19:20200814150201p:plain

オンプレADの情報追加

フォレストより対象のドメインを選択して「ディレクトリの追加」をクリック

f:id:KKubo19:20200814150306p:plain

オンプレADのエンタープライズ管理者(EnterPrise Admin)のユーザー情報を入力しOKをクリック

f:id:KKubo19:20200814150434p:plain

構成済みディレクトリに反映されていることを確認し次へをクリック

f:id:KKubo19:20200814150534p:plain

ユーザープリンシパル名のプルダウンでADユーザーのどの属性を利用してAzureADのIDを生成するかを決めます。

※ADドメイン(test.local)はAzureAD(Office365)のカスタムドメインとして存在していないので、以下画面のような警告が表示されます。

今回は別理由にてADユーザーのMail属性(電子メール)を利用したのでこのまま進みます。

userPrincepalNameで同期を実施する予定があり、ADとAzureADのUPNサフィックス(ドメイン名)が違う場合は、事前にADサーバーにてUPNサフィックスを追加し同期する各ADユーザーの情報を修正する必要がありますので、注意してください。

手順は下に記載します。

ADドメイン(test.local)、AzureADカスタムドメイン(test.co.jp)のような環境でUPNサフィックス追加なしでUserPrincicalNameでUserA@test.local(test\UserA)の同期を実施するとUserA@xxx.onmicrosoft.comというアカウントとしてAzureADに作成されます。

f:id:KKubo19:20200814150751p:plain — 変更前

f:id:KKubo19:20200814151607p:plain — 変更後

特定のOU配下のみIDを同期するかどうかを指定できます。

今回はOffice365というOUの配下にUsersとComputersというOUを作成し、その中にいるユーザーやコンピューターのみAzureADに同期をさせます。

HAADJではコンピューターオブジェクトを同期する必要があるため、OU「Office365」内のOU「Computers」にコンピューターオブジェクトを配置しています。

※以下図は参考情報

f:id:KKubo19:20200814153946p:plain

「選択したドメインとOUの同期」をクリックし、その配下の同期するOUのみにチェックをつけ、次へをクリック

※個人的には特定OUだけ同期するとしておいた方が、ADにはユーザーを作成したいが、Office365側は不要みたいなケースに対応できるのでいいのかな？って思っています。同期した後Office365側だけユーザーが不要になったときに同期対象OUからユーザーを移動するとOffice365側のユーザーのみが削除されるので、ADユーザーだけは残すってこともできます。

f:id:KKubo19:20200814151950p:plain