Microsoft Entra Connect のインストール ロードマップで管理者が最初に押さえるべき点は、「新規インストール手順の確認」だけではありません。既存の Microsoft Entra Connect Sync を使っている環境では、バージョン、Connect Health エージェント、権限、TLS、ファイアウォール、移行方針をまとめて見直す必要があります。
特に重要なのは、Microsoft Entra Connect Sync の古いバージョンを使い続けないことです。Microsoft は、バージョン 2.5.79.0 以降でない Microsoft Entra Connect Sync の同期サービスが、2026年9月30日に動作を停止すると案内しています。サービス停止を避けるには、単に「いつか更新する」ではなく、サーバー要件、Health 監視、ステージング環境、Cloud Sync への移行可否まで含めて計画することが重要です。(Microsoft Learn)
Microsoft Entra Connect のインストール ロードマップで何が整理されたのか
Microsoft Entra Connect and Microsoft Entra Connect Health installation roadmap は、Microsoft Entra Connect と Microsoft Entra Connect Health を導入する際の選択肢と進め方を整理した公式ドキュメントです。内容としては、単一フォレスト向けの簡単設定、複数フォレストや認証方式を細かく指定するカスタム設定、DirSync や Azure AD Sync からのアップグレード、インストール後の確認、Connect Health の導入がまとまっています。(Microsoft Learn)
このロードマップは、単なるインストーラーの案内ではなく、ハイブリッド ID 環境の設計図として読むべきです。オンプレミス Active Directory と Microsoft Entra ID を同期している環境では、同期サーバーが停止すると Microsoft 365、Teams、Exchange Online、SharePoint、業務アプリのサインインやユーザー管理に影響する可能性があります。
管理者が確認すべき観点は、次の3つです。
| 確認項目 | 見るべきポイント | 対応の優先度 |
|---|---|---|
| インストール経路 | 簡単設定、カスタム設定、既存環境からのアップグレードのどれに該当するか | 高 |
| 同期と認証方式 | パスワード ハッシュ同期、パススルー認証、AD FS、サードパーティ IdP のどれを使うか | 高 |
| 監視と運用 | Microsoft Entra Connect Health、ステージングサーバー、障害時の切り戻し方法があるか | 高 |
新規導入であれば「どの設定で入れるか」が中心です。一方、既存環境では「今の構成が今後もサポートされるか」「アップグレードしても同期ルールやフェデレーションに影響しないか」を確認する必要があります。
影響を受ける環境
今回の内容で特に影響を受けるのは、オンプレミス Active Directory と Microsoft Entra ID を連携している組織です。以下のいずれかに該当する場合は、早めに棚卸しを行うべきです。
| 対象環境 | 影響の内容 | 最初に確認すること |
|---|---|---|
| Microsoft Entra Connect Sync を利用中 | 古いバージョンでは同期停止リスクがある | 現在のバージョンが 2.5.79.0 以降か |
| AD FS を利用中 | 証明書、信頼関係、WAP、Health 監視が影響範囲に入る | AD FS / WAP に Health エージェントが入っているか |
| 複数フォレスト構成 | カスタム設定、同期ルール、フィルター設計の確認が必要 | どの OU・属性・ドメインを同期対象にしているか |
| パスワード ライトバックやデバイス ライトバックを利用 | 同期機能の設定変更やアップグレード時の検証が必要 | 有効化しているオプション機能一覧 |
| プロキシ・ファイアウォール制限が厳しい環境 | Health エージェント登録やデータ送信が失敗する可能性 | 必要な URL、TCP 443、プロキシ設定 |
| Cloud Sync への移行を検討中 | Connect Sync と Cloud Sync の機能差を評価する必要 | 現行機能が Cloud Sync で代替できるか |
見落としやすいのは、「同期が動いているから問題ない」と判断してしまうケースです。Microsoft Entra Connect は一度導入すると長く使われがちですが、認証方式、証明書、TLS、SQL、Windows Server、Health エージェントは時間とともに要件が変わります。
管理者が最優先で確認すべき変更点
Microsoft Entra Connect Sync はバージョン 2.5.79.0 以降か確認する
最も優先度が高いのは、Microsoft Entra Connect Sync のバージョン確認です。Microsoft は、2.5.79.0 以降でない同期サービスについて、2026年9月30日に動作を停止すると案内しています。古いバージョンのまま期限を迎えると、最新バージョンへアップグレードするまで同期サービスが失敗する可能性があります。(Microsoft Learn)
管理者は、次の順番で確認すると安全です。
| 手順 | 確認内容 | 判断基準 |
|---|---|---|
| 1 | Microsoft Entra Connect サーバーにログオン | 本番機とステージング機を取り違えない |
| 2 | インストール済みバージョンを確認 | 2.5.79.0 以降か |
| 3 | 自動アップグレードの状態を確認 | 無効化されていないか、失敗していないか |
| 4 | カスタム同期ルールの有無を確認 | アップグレード前に影響確認が必要 |
| 5 | ステージングサーバーで検証 | 本番切り替え前に同期結果を比較 |
バージョン確認だけで終わらせず、アップグレード後に何を検証するかまで決めておくことが大切です。たとえば、ユーザー、グループ、デバイス、Exchange 関連属性、パスワード ライトバック、フェデレーション設定など、組織ごとに重要な同期対象は異なります。
Microsoft Entra Connect Health の権限要件を見直す
Microsoft Entra Connect Health は、同期、AD FS、AD DS の状態を監視し、アラート、パフォーマンス監視、利用状況分析を確認するための機能です。Connect Health を使うには、対象サーバーに Health エージェントをインストールし、Microsoft Entra ID P1 または P2 が必要です。(Microsoft Learn)
重要なのは、Health エージェントの権限に関する扱いです。Microsoft Learn の Connect Health エージェントのインストール手順では、Microsoft Entra Connect Health が Hybrid Identity Administrator ロールでのインストールをサポートするようになったこと、Hybrid Identity Administrator アカウントで Microsoft Entra Connect Sync をインストールした場合でも Health エージェントが自動的にアクティブになることが案内されています。(Microsoft Learn)
これにより、日常運用で Global Administrator を使う場面を減らしやすくなります。ただし、すべての作業を Hybrid Identity Administrator だけで完結できるとは限りません。AD FS や PingFederate のフェデレーション構成では、Hybrid Identity Administrator に加えて Domain Name Administrator など別の権限が必要になる場合があります。(Microsoft Learn)
実務では、次のように整理すると判断しやすくなります。
| 作業内容 | 推奨する考え方 |
|---|---|
| 通常の同期構成 | Hybrid Identity Administrator の利用を検討 |
| Connect Health エージェント登録 | Hybrid Identity Administrator で対応可能か確認 |
| AD FS / PingFederate 構成 | 必要ロールを別途確認 |
| 緊急対応 | Global Administrator を常用せず、必要時のみ使用 |
| 運用設計 | PIM、MFA、専用管理者アカウントを組み合わせる |
権限を広く持たせるほど作業は楽になりますが、侵害時の影響は大きくなります。Microsoft Entra Connect サーバーは ID 基盤の中核なので、便利さよりも最小権限を優先すべきです。
Connect Health エージェントの通信要件を確認する
Connect Health エージェントは、Microsoft Entra Connect Health サービスへデータを送信します。そのため、インストール時と実行時の通信要件を満たしていないと、登録や監視データのアップロードに失敗します。
公式手順では、Health エージェントは Windows Server 2016、2019、2022、2025 をサポートし、送信通信、TLS 検査、ファイアウォール、PowerShell 5.0 以降などの要件が示されています。また、最新バージョンのエージェントでは TCP 5671 が不要となり、TCP 443 のみで済むと案内されています。(Microsoft Learn)
ネットワーク担当者に依頼する場合は、「Microsoft のクラウドに接続できるようにしてください」では不十分です。次のように具体化すると、切り分けが早くなります。
| 確認項目 | 失敗しやすいポイント | 対応例 |
|---|---|---|
| TCP 443 | プロキシで認証や SSL インスペクションが入る | Health エージェントの通信先を許可 |
| TLS 検査 | 登録やアップロードが失敗する | Microsoft 指定の通信要件に沿って例外設定 |
| プロキシ設定 | WinHTTP とアプリ側設定の違いを見落とす | Health エージェント用 PowerShell コマンドで設定確認 |
| URL 許可 | 一部 URL のみ許可して登録が止まる | 公式の必要エンドポイントを一覧で確認 |
| サーバー Core | Health エージェントがサポートされない | GUI 付き Windows Server を利用 |
特に、セキュリティ製品で TLS を中間復号している環境では、見た目上はインターネット接続できていても Health エージェントだけ失敗することがあります。登録後の疎通確認には、Test-MicrosoftEntraConnectHealthConnectivity の利用も検討してください。
新規インストール時の判断基準
Microsoft Entra Connect を新規に導入する場合は、最初に「簡単設定でよいか、カスタム設定が必要か」を判断します。
単一フォレストなら簡単設定が候補になる
単一フォレストの Active Directory で、複雑な同期ルールやフェデレーションを使わない場合は、簡単設定が候補になります。簡単設定では、パスワード ハッシュ同期により、オンプレミスとクラウドで同じパスワードを使える構成になります。(Microsoft Learn)
ただし、単一フォレストでも次の条件に当てはまる場合は、最初からカスタム設定を検討してください。
| カスタム設定を検討すべき条件 | 理由 |
|---|---|
| 同期対象 OU を限定したい | 既定では広い範囲が同期対象になるため |
| 特定属性でフィルターしたい | 部門、雇用形態、システム用アカウント除外などが必要なため |
| パススルー認証を使いたい | サインイン方式の選択が必要なため |
| AD FS やサードパーティ IdP を使う | フェデレーション設計が必要なため |
| パスワード ライトバックを使う | オンプレミス側のポリシーとの整合が必要なため |
最初に簡単設定で入れてから後で直すこともできますが、同期範囲を誤ると不要なオブジェクトが Microsoft Entra ID に作成されることがあります。検証環境またはステージングモードで確認してから本番同期するのが安全です。
複数フォレストや特殊な認証方式ではカスタム設定を選ぶ
複数フォレスト、複数ドメイン、リソースフォレスト、AD FS、サードパーティ IdP、属性ベースのフィルターを使う場合は、カスタム設定が前提になります。ロードマップでも、カスタム設定は複数フォレストや多様なオンプレミストポロジ、サインインオプション、同期機能のカスタマイズに使うものとして整理されています。(Microsoft Learn)
カスタム設定で特に注意したいのは、以下の項目です。
| 設定項目 | 注意点 |
|---|---|
| 同期対象 OU | テスト OU から始め、段階的に拡大する |
| UPN サフィックス | Microsoft Entra ID 側の検証済みドメインと一致しているか確認 |
| sourceAnchor / ImmutableId | 既存クラウドユーザーとの照合に影響 |
| 属性フィルター | 将来の組織変更で対象外ユーザーが出ないよう設計 |
| パスワード ハッシュ同期 | セキュリティポリシーと監査要件を確認 |
| AD FS | 証明書、WAP、DNS、名前解決、信頼関係を含めて検証 |
ID 同期は「一度動けば終わり」ではありません。人事異動、退職、M&A、ドメイン変更、クラウドアプリ追加のたびに影響を受けます。初期設定時点で、将来の運用変更を想定しておくことが重要です。
既存環境のアップグレードで確認すべきポイント
既存の Microsoft Entra Connect Sync をアップグレードする場合は、インストーラーを実行する前に現状を記録しておきます。特に、カスタム同期ルール、フィルター、AD FS 設定、パスワード ライトバック、デバイス ライトバックを使っている環境では、アップグレード後の差分確認が欠かせません。
アップグレード前チェックリスト
| チェック項目 | 確認内容 |
|---|---|
| 現在のバージョン | 2.5.79.0 未満なら計画的なアップグレードが必要 |
| Windows Server | サポート対象バージョンか、Server Core ではないか |
| .NET Framework | 要件を満たしているか |
| TLS | TLS 1.2 が有効か |
| SQL Server | LocalDB か外部 SQL か、容量制限に近くないか |
| 同期対象数 | 100,000 オブジェクトを超える規模では SQL 設計を確認 |
| カスタム同期ルール | 既定ルールの直接編集がないか |
| ステージングサーバー | 切り戻しまたは比較検証に使えるか |
| Connect Health | エージェントが登録され、データが表示されているか |
| バックアップ | 構成エクスポート、サーバーバックアップ、復旧手順があるか |
アップグレード作業では、サーバーのスナップショットだけに頼らない方が安全です。Microsoft Entra Connect は AD とクラウドの両方に関わるため、同期設定のエクスポート、作業前後の同期結果、エラー件数、対象オブジェクト数を記録しておきましょう。
ステージングモードを活用する
頻繁に構成変更を行う環境や、停止リスクを下げたい環境では、ステージングモードのサーバーを用意するのが有効です。ロードマップでも、障害時にフェールオーバーしやすくするためのスタンバイサーバーや、構成変更が多い場合のステージングモードが案内されています。(Microsoft Learn)
ステージングモードの使い方は、次のように考えると分かりやすくなります。
| 利用シーン | 目的 |
|---|---|
| アップグレード前検証 | 新バージョンで同期結果が変わらないか確認 |
| 同期ルール変更 | 意図しない属性変更や削除を防ぐ |
| 障害時切り替え | 本番サーバー停止時の復旧時間を短縮 |
| Cloud Sync 移行準備 | 現行同期範囲を把握し、段階移行を設計 |
本番サーバーとステージングサーバーの設定差分が大きいと、いざという時に切り替えられません。定期的に設定を見直し、「本当に代替機として使える状態か」を確認してください。
Connect Health で監視すべき項目
Microsoft Entra Connect Health は、導入して終わりではなく、アラートを日常運用に組み込んで初めて価値が出ます。Health ポータルでは、Connect Sync、AD FS、AD DS の状態を確認でき、同期エラー、パフォーマンス、使用状況分析などを把握できます。(Microsoft Learn)
監視対象ごとに、次の観点を確認しましょう。
| 監視対象 | 確認すべき内容 | 放置した場合のリスク |
|---|---|---|
| Microsoft Entra Connect Sync | 同期エラー、エクスポートエラー、削除しきい値 | ユーザー属性やグループがクラウドに反映されない |
| AD FS | 証明書、認証失敗、サーバー状態、WAP | サインイン障害が発生する |
| AD DS | ドメインコントローラー、レプリケーション、認証状況 | オンプレミス側の問題がクラウド同期にも波及 |
| Health エージェント | データ未更新、登録失敗、通信断 | 障害検知が遅れる |
| RBAC | Health データを誰が見られるか | 監視担当者が必要情報を確認できない、または権限過多になる |
実務では、Connect Health のアラートを「誰が」「何分以内に」「どの手順で」確認するかまで決めておく必要があります。アラートが出ていても、担当者が見ていなければ監視していないのと同じです。
Cloud Sync への移行も選択肢に入れる
Microsoft Entra Connect Sync を使い続けるか、Microsoft Entra Cloud Sync へ移行するかは、環境によって判断が分かれます。Microsoft Entra Cloud Sync は、Active Directory と Microsoft Entra ID の間でユーザー、グループ、連絡先を同期するクラウド管理型のハイブリッド ID 同期サービスで、Microsoft はハイブリッド ID における戦略的方向性として説明しています。(Microsoft Learn)
ただし、Cloud Sync が常に Connect Sync の完全な置き換えになるとは限りません。カスタム同期ルール、複雑な属性変換、特定のライトバック機能、既存の AD FS 連携など、環境によっては Connect Sync の継続が必要です。
| 判断軸 | Connect Sync 継続が向くケース | Cloud Sync 検討が向くケース |
|---|---|---|
| 構成の複雑さ | 複雑な同期ルールや属性変換が多い | 標準的な同期が中心 |
| 運用負荷 | 専任管理者がいてサーバー運用できる | オンプレミス管理を減らしたい |
| フォレスト構成 | 既存の複雑な設計を維持したい | 切断された複数フォレストを扱いたい |
| 移行リスク | 既存業務アプリへの影響が大きい | パイロット OU で段階検証できる |
| 監視 | Connect Health を活用している | クラウド側で管理を寄せたい |
移行を検討する場合は、いきなり全ユーザーを切り替えず、パイロット OU を作成して少数ユーザーから検証します。既存の Microsoft Entra Connect Sync の同期範囲から対象ユーザーを外し、Cloud Sync 側で同じユーザーが正しくプロビジョニングされるかを確認する流れが現実的です。
展開時に失敗しやすいポイント
Microsoft Entra Connect 関連の作業でよくある失敗は、技術的には小さく見えても、影響範囲が大きくなりやすいものです。
同期対象を広げすぎる
OU フィルターを設定せずに導入すると、サービスアカウント、退職者アカウント、テストアカウントまで Microsoft Entra ID に同期されることがあります。ライセンス付与や条件付きアクセスの対象にも影響するため、最初は同期対象を絞り、段階的に広げるべきです。
削除しきい値を理解していない
Microsoft Entra Connect には、クラウド側で大量削除が起きないようにする保護機能があります。既定では一度の実行で許可される削除数にしきい値があります。組織再編や OU 変更時に大量削除が発生すると同期が止まることがあるため、削除が発生する変更では事前に影響数を確認してください。(Microsoft Learn)
Global Administrator を日常作業に使い続ける
初期導入時に Global Administrator を使ったまま、日常運用でも同じアカウントを使い続けるのは危険です。Microsoft Entra Connect サーバーを侵害されると、Microsoft Entra ID 側のユーザー操作に影響する可能性があります。専用管理者アカウント、MFA、PIM、特権アクセスワークステーションを組み合わせてください。
プロキシ設定を後回しにする
閉域寄りのネットワークでは、インストール中は成功しても、Health エージェントの登録、アップロード、自動更新で失敗することがあります。プロキシやファイアウォールの変更は承認に時間がかかるため、アップグレード直前ではなく計画段階で確認しましょう。
AD FS の証明書更新を軽視する
AD FS を利用している場合、証明書やフェデレーション信頼の更新漏れはサインイン障害に直結します。Microsoft Entra Connect をフェデレーション管理に使っていない環境でも、AD FS ファームの TLS/SSL 証明書更新や信頼関係の監視は別途必要です。
管理者向けの実践チェックリスト
最後に、今日から確認できるチェックリストとして整理します。
| 優先度 | 確認項目 | 完了の目安 |
|---|---|---|
| 高 | Microsoft Entra Connect Sync のバージョン確認 | 2.5.79.0 以降、できれば最新安定版 |
| 高 | 2026年9月30日までのアップグレード計画 | 検証日、本番日、切り戻し手順が決まっている |
| 高 | Connect Health エージェントの状態確認 | ポータルで最新データが表示される |
| 高 | Health エージェントの通信要件確認 | TCP 443、プロキシ、TLS 検査、必要 URL を確認済み |
| 高 | 管理者ロールの見直し | Global Administrator 常用を避ける |
| 中 | ステージングサーバーの有無 | 本番と同等構成で待機できる |
| 中 | 同期ルールとフィルターの棚卸し | カスタムルールの目的と作成者が分かる |
| 中 | AD FS / WAP の監視 | 証明書、信頼、Health エージェントを確認済み |
| 中 | Cloud Sync 移行可否の評価 | 現行機能との差分を把握済み |
| 低 | 運用手順書の更新 | 障害時連絡先、確認コマンド、復旧手順を記載 |
まとめ：Microsoft Entra Connect は「動いているか」ではなく「継続運用できるか」で確認する
Microsoft Entra Connect のインストール ロードマップは、新規導入者だけの資料ではありません。既存の Microsoft Entra Connect Sync 環境を持つ管理者にとっても、アップグレード、Health 監視、権限、通信要件、ステージング、Cloud Sync 移行を見直すための実務的な起点になります。
まず実施すべきことは、現在の Microsoft Entra Connect Sync のバージョン確認です。2.5.79.0 未満であれば、2026年9月30日までにアップグレード計画を確定させましょう。次に、Microsoft Entra Connect Health が正しく機能しているか、Health エージェントが最新データを送信できているかを確認します。
そのうえで、単純なアップグレードでよいのか、ステージングサーバーを使って検証すべきか、将来的に Cloud Sync へ移行する余地があるのかを判断してください。ID 同期は、停止してから対応するものではなく、止めないために先回りして整備するものです。
コメント