Azure AD Connect : ディレクトリ同期の基本的なポイント

こんにちは。Azure Identity チームの金森です。 今回は Azure AD Connect (AADC) ツールによるオブジェクト同期の考え方を改めて紹介したいと思います。   AADC の技術情報は以下の技術情報をはじめとして豊富に公開されています。 オンプレミスのディレクトリと Azure Active Directory の統合   アーキテクチャや実装の仕様、構成の方法など幅広く情報が公開されていますので、ぜひお時間があれば各ページをご一読いただければ幸いです。 しかし、情報量が多いがゆえに逆に勘所となるポイントがつかみづらい、というご意見にこたえる形で、今回は AADC によるオブジェクト同期のポイントをかいつまんで紹介したいと思います。   紹介するポイントは以下の通りです。   1. AADC はオンプレミス  AD 側のオブジェクトが AAD に向けて同期される 2. AADC には重要な基本設定が2つある 3. オンプレミス AD オブジェクトと AAD オブジェクトはどのように紐づくのか   それでは1つずつ見ていきましょう!   1. AADC はオンプレミス  AD 側のオブジェクトが AAD に向けて同期される   AADC ツールを構成する際、接続先のオンプレミス AD と AAD…

0

自動アップグレード機能の問題

皆さん、こんにちは。 Azure AD Connect (AADC) のサポートを担当している福島です。   今回のブログは、AADC で発生する 「本来行われるべき AADC の自動アップグレードが実施されない問題」 に関する投稿です。 “バージョン 1.1.524.0 以降 1.1.750.0 未満” の Azure AD Connect を利用している場合、気づかない間に本問題事象に該当している可能性がありますため一読ください。   概要 : バージョン 1.1.524.0 を一度でもインストールしたことがある環境では、本来行われるように設定している自動アップグレードが行われていない可能性があります。 既定で AADC は自動アップグレードが有効になっています。しかし、バージョン 1.1.524.0 を新規でインストールした、あるいはそれ以前のバージョンを利用しており自動アップグレードを利用して 1.1.524.0 がインストールされた環境では、その後自動アップグレード設定を有効にしていても 1.1.524.0 以降のバージョンにアップグレードが行われていない可能性があります。   問題となるシナリオを整理すると次の通りです。   シナリオ 1. バージョン 1.1.524.0 よりも前の AADC をインストールし、自動アップグレードを有効な状態としていた このケースでは、1.1.524.0 までは自動アップグレードによる更新が行われていました。 しかし、 1.1.524.0 のアップグレード機能に問題が存在していたため、1.1.524.0 以降への自動アップグレードが行われない状態となります。  …

0

“AAD Notification” から送られた DirSync に関するメールについて

Azure Identity サポートの橋本です。   日本時間の 4 月 18 日に、一部の Azure AD Connect のご利用者様  (テナント管理者) 宛に、以下のような、”Action required: your sync solution is no longer supported and you need to upgrade to a newer version ” という件名のメールが AAD Notification <aad-notification-noreply@azureemail.microsoft.com> より配信されました。     本メールは弊社システムにより誤って配信されてしまったメールであることが確認できました。 DirSync や ADSync をご利用の場合はアップグレードいただく必要がございますが、Azure AD Connect をすでにご利用の場合は必要ございません。 そのため、もしこのようなメールを受信されている場合は、大変申し訳ございませんが本メールは無視くださいますようお願いいたします。   ご不明な点等がありましたら、恐れ入りますが弊社サポート サービスまでお問い合わせください。   よろしくお願いします。

0

Azure AD Connect:属性フロー(変換フロー)のためのカスタム同期ルールの作り方

こんにちは、Azure & Identity サポート チームの山口です。 本記事は、米国時間 2016 年 2 月 4 日に公開された Support-Tip: (AADCONNECT) How to create a custom sychronization rule for attribute flow (transformation flow) の抄訳です。Azure AD Connect の同期ルール作成についてのチュートリアルが簡単にまとめられており、日本のサポート チームとして皆様にぜひ内容を共有させていただきたいと思います。     Identity and Access Management Support Team Blog Support-Tip: (AADCONNECT) How to create a custom sychronization rule for attribute flow (transformation flow) サポートの業務のなかで、さまざまなビジネスの規則に沿うためにカスタマイズされた同期ルールを…

0

Azure AD Connect Health Notification メールについて

こんにちは!Azure Identity サポートの谷です。 Azure AD Connect を利用してオンプレミスと Azure AD を連携している環境で最近 (2018 年 2 月) 突然次のような通知メールが届いているケースがあると思います。 この通知メールについて Q&A 形式で纏めました。 <本文サンプル>                                           Q. このメールは何を通知しているのか? A. Azure AD Connect Health Agent によるデータのアップロードがRAISED (発生日時) から RESOLVE (解決日時) まで行われていなかったことを通知しています。 Azure…

0

Azure AD Connect ビルド 1.1.749.0 の注意点

こんにちは!Azure Identity サポートの橋本です。 リリースが予定されている Azure AD Connect  ビルド 1.1.749.0 へのアップグレードについて事前に共有しておいたほうが良いと思ったことがありましたので、Azure AD Connect をご利用の方はぜひご確認ください。 近々、Azure AD Connect の最新ビルド 1.1.749.0 がリリースされることが予定されておりますが、アップグレード後は完全同期が必要となる点にご注意ください。 このビルドでは多くの機能の追加とバグ修正が行われているため、ぜひアップグレードいただきたいのですが、アップグレードすると、アップグレード完了後の最初の同期は完全同期が実行されます。 追加される設定や同期ルールなどに伴い完全同期が必要となるのですが、完全同期は、同期しているオブジェクト数によっては数日要することもある (参考: 40,000 オブジェクトで約 3~5 時間) ため、必要に応じて Azure AD Connect の自動アップグレードは無効化 (Disabled) いただき、手動でのアップグレードを後日計画いただくことを推奨いたします。   自動アップグレードを無効化するには、Azure AD Connect サーバー上で以下の PowerShell コマンドレットを実行します。 なお、自動アップグレード機能は既定で有効になっておりますのでご注意ください。 Set-ADSyncAutoUpgrade disabled なお、現在の設定は以下のコマンドレットで確認できます。 Get-ADSyncAutoUpgrade   コマンド実行結果例: 参考情報: Azure AD Connect: 自動アップグレード     ご不明な点等がありましたら、ぜひ弊社サポート サービスをご利用ください。 ※本情報の内容(リンク先などを含む)は、作成日時点でのものであり、予告なく変更される場合があります。

0

Azure AD Connect サービスアカウントに関するセキュリティ アドバイザリについて (MC125948)

こんにちは。Azure Identity サポートチームの橋本です。 先日 12 月 12 日に公開された Azure AD Connect で利用するアカウントのセキュリティ強化に関する下記セキュリティ アドバイザリについて補足情報をお知らせします。   Microsoft Security Advisory 4056318 Guidance for securing AD DS account used by Azure AD Connect for directory synchronization   セキュリティ アドバイザリの概要について 対処策について   セキュリティ アドバイザリの概要について Azure AD Connect (AADC) はオンプレミスの Active Directory に接続するためのアカウントをインストール時に作成します。 このアカウントは、同期処理を実施するためにオンプレミス AD に対してパスワードリセットなど (Exchange ハイブリッドを構成した場合はディレクトリ オブジェクトへの書き込みや、パスワードの書き戻しを構成している場合はパスワードのリセット) などの比較的強い権限を持ちます。 この権限を持つこと自体は…

0

[Azure AD Connect] ID 同期と重複属性の回復性の動作について

こんにちは、Azure & Identity サポート チームの後藤です。 2017 年 3 月に多くのテナントで有効化された ID 同期と重複属性の回復性の動作についてご紹介します。 なお、2017 年 10 月 30 日以降は例外なくすべてのテナントでこの機能は有効になっています。   以下のような流れでご紹介します。   <目次> 以前の動作の概要 ID 同期と重複属性の回復性の動作 重複状態からの解消について ID 同期と重複属性の回復性が動作しないケース   以前の動作の概要 以前は、ディレクトリ同期の際に UPN または ProxyAddresses の属性が Azure AD 内で重複するようなユーザー オブジェクトを Azure AD に同期を試みた場合、エラーが発生し、ユーザー オブジェクトを Azure AD に作成することができませんでした。   一例 : Azure AD に、UPN : user01@contoso.com (オリジナルuser01)のユーザーが存在します。 この…

0

DirSync & ADSync – 2017/12/31 で終了のお知らせ

Azure Identity サポートチームの橋本です。   もう 2 か月を切ったのでこちらでもご案内しておきます。   2017 年の 4 月 13 日にサポートが終了した旧 Azure AD 同期ツールである DirSync と ADSync ですが、今年いっぱいで遂に Azure AD への通信も行えなくなります。 公開情報としても 2017 年 7 月から掲載していますが、DirSync からの移行を検討中です、といった話をまだお客様から聞くことがあります。 Azure AD Connect への移行が完了していない皆様、移行するなら今です!   Azure AD Connect への移行方法   移行する方法は 2 通りあります。 並列デプロイ (DirSync) / スウィング移行 (ADSync) インプレース アップグレード   それぞれの特徴をリストアップしてみました。   1. 並列デプロイ/スウィング移行…

0

Azure AD Connect で実現するシングル サインオン

こんにちは! Azure Identity サポート担当の橋本です。 今回は Azure AD Connect のシームレス シングルサインオン (sSSO) 機能で実現するシングル サインオンについてご紹介します。 従来、Office 365 にシングル サインオン (SSO) といえば、AD FS が必要でしたが、Azure AD Connect の sSSO を構成することで、AD FS 無しで SSO が実現できてしまいます。 ID とパスワードはオンプレミス側で管理しつつも、Azure AD と連携しているクラウド サービスなどは、ユーザーはパスワードを入力することなくオンプレの ID を用いたシングル サインオンで利用できるようになるのです。   設定方法はとても簡単。 Azure AD Connect で シングルサインオンを有効にします。 この際、[パスワード同期] か [パススルー認証] のどちらかを [sSSO が利用できない認証要求時に利用できる代替認証方式] として組み合わせるため選択します。 ドメイン グループ ポリシーを使って、ユーザーのイントラネットゾーンの設定に次の…

0