Microsoft Entra Connect Sync の Windows Server 2025 対応は、ハイブリッド ID 基盤を更改する管理者にとって「待っていた移行判断の材料」です。2026年4月16日時点の更新として、Microsoft は Microsoft Entra Connect Sync が Windows Server 2025 を正式にサポートしたことを案内しています。つまり、これまで Windows Server 2025 への移行を保留していた同期サーバーについて、サポート対象の構成としてアップグレード計画に組み込めるようになりました。(TECHCOMMUNITY.MICROSOFT.COM)
ただし、これは「今すぐ本番サーバーをそのまま上書きアップグレードしてよい」という意味ではありません。Microsoft Entra Connect Sync はオンプレミス Active Directory と Microsoft Entra ID をつなぐ重要な Tier 0 相当のコンポーネントです。OS 更改、Entra Connect Sync のバージョン更新、Cloud Sync への移行可否、既知の Windows Server 2025 更新プログラム、切り戻し手順まで含めて計画する必要があります。
Microsoft Entra Connect Sync の Windows Server 2025 対応で何が変わるのか
今回のポイントは、Microsoft Entra Connect Sync を Windows Server 2025 上にインストールし、実行する構成が正式サポート対象になったことです。Microsoft のリリース情報では「Microsoft Entra Connect Sync now officially supports Windows Server 2025」と明記されており、Windows Server 2025 のセキュリティ、パフォーマンス、管理性の改善を利用しながら、サポートされたハイブリッド ID 同期環境を維持できると説明されています。(Microsoft Learn)
管理者目線で見ると、変化は主に次の3つです。
| 変更点 | 管理者への意味 |
|---|---|
| Windows Server 2025 上の Entra Connect Sync が正式サポート対象に | OS 更改計画で Windows Server 2025 を選択しやすくなる |
| 同期サーバーの延命ではなく刷新を検討しやすくなる | Windows Server 2016/2019/2022 からの更新判断がしやすい |
| Cloud Sync との比較検討がより重要になる | 既存構成を維持するのか、クラウド中心の同期へ寄せるのかを見直す機会になる |
特に、Windows Server 管理者とハイブリッド ID 管理者が別チームの場合、この発表は連携のきっかけになります。OS チームだけで「サーバー更改」を進めると、同期構成、カスタム同期ルール、パスワードハッシュ同期、パスワードライトバック、ステージングサーバーの有無といった ID 側の要件が抜け落ちやすいためです。
今回の対応は「Connect Sync」の話であり「Cloud Sync」全般ではない
混同しやすい点として、今回の Windows Server 2025 対応は Microsoft Entra Connect Sync に関するものです。Microsoft Entra Cloud Sync のエージェントについては、少なくとも Microsoft Learn の前提条件ページでは Windows Server 2025 はサポート対象外とされ、将来リリースでの対応予定と説明されています。(Microsoft Learn)
そのため、次のように整理すると判断しやすくなります。
| 構成 | Windows Server 2025 対応の考え方 |
|---|---|
| Microsoft Entra Connect Sync | 2026年4月時点で正式サポート対象として案内済み |
| Microsoft Entra Cloud Sync | 公式前提条件では Windows Server 2025 は未サポートとされているため、最新ドキュメント確認が必要 |
| Connect Sync から Cloud Sync への移行 | OS 更改とは別プロジェクトとして要件比較が必要 |
| Connect Sync と Cloud Sync の併用 | 同期対象や属性競合を分離して設計する必要がある |
「Windows Server 2025 がサポートされたから、この機会に Cloud Sync へも同じ OS で統一しよう」と考えるのは危険です。Connect Sync と Cloud Sync は名前が似ていますが、サポート OS、得意なシナリオ、制限事項が異なります。
Windows Server 2025 へ移行すべき環境の判断基準
すべての環境が直ちに Windows Server 2025 へ移行すべきとは限りません。判断の軸は「現在の OS が古いか」だけでなく、「同期サーバーの構成をどこまで変更するか」です。
移行を前向きに検討したい環境
次の条件に当てはまる場合は、Windows Server 2025 対応を機に更改計画を具体化する価値があります。
| 状況 | 推奨される検討 |
|---|---|
| Windows Server 2016 で Entra Connect Sync を運用している | OS サポート、セキュリティベースライン、運用負荷を踏まえて新サーバー移行を検討 |
| Entra Connect Sync のバージョンが古い | OS 更改と同時に最新版への更新を計画 |
| ステージングサーバーがない | 本番切替前にステージング構成を作る好機 |
| 同期対象が多い、カスタムルールが多い | インプレースよりスウィング移行を優先 |
| 将来的に Cloud Sync へ移りたい | まず現行 Connect Sync の棚卸しを行い、Cloud Sync で代替できる範囲を確認 |
Microsoft は Microsoft Entra Connect Sync のサービス継続に関して、少なくともバージョン 2.5.79.0 以上でない場合、2026年9月30日に同期サービスが停止すると案内しています。OS 更改だけを済ませても、Entra Connect Sync のバージョン要件を満たしていなければリスクは残ります。(Microsoft Learn)
すぐに移行しない方がよい環境
一方で、次のような環境では、まず調査と検証を優先すべきです。
| 状況 | 理由 |
|---|---|
| 現在の同期状態にエラーが残っている | 移行後の問題切り分けが難しくなる |
| カスタム同期ルールの設計書がない | ステージング環境で同等構成を再現できない可能性がある |
| Entra Connect サーバーに他の役割を同居させている | セキュリティとサポートの観点で再設計が必要 |
| Cloud Sync へ移行する予定がある | Connect Sync の OS 更改と Cloud Sync 移行を同時に行うとリスクが高い |
| Windows Server 2025 の社内標準イメージが未確定 | セキュリティ製品、監視、バックアップ、プロキシ設定の検証が不足しやすい |
ハイブリッド ID の更改では、「OS を新しくすること」よりも「同期の一貫性を壊さないこと」が優先です。
推奨はスウィング移行。インプレースアップグレードは最後の選択肢
Microsoft Entra Connect Sync サーバーの OS をアップグレードする場合、Microsoft は希望する OS の新しいサーバーを用意し、スウィング移行を行う方法を推奨しています。ドキュメント上は Windows Server 2016/2019/2022 から Windows Server 2025 へのインプレース OS アップグレードもサポートされていますが、推奨は新サーバーを使った切替です。(Microsoft Learn)
スウィング移行が向いている理由
スウィング移行では、新しい Windows Server 2025 サーバーをステージングサーバーとして構築し、同期構成を検証してから本番側へ切り替えます。
この方法の利点は明確です。
| 観点 | スウィング移行の利点 |
|---|---|
| 切り戻し | 既存サーバーをすぐに破壊しないため、検証中の安全性が高い |
| 検証 | フルインポート、フル同期、属性差分を事前確認できる |
| 影響範囲 | 本番同期を停止する時間を最小化しやすい |
| 構成整理 | 古い設定、不要な同期ルール、退役済みフォレストを見直せる |
| 運用標準化 | 監視、バックアップ、セキュリティ設定を新基準で作り直せる |
特に、10万オブジェクト以上を同期している環境、複数フォレスト構成、Exchange ハイブリッド、カスタム属性同期、グループ書き戻し、パスワードライトバックを使っている環境では、スウィング移行を基本方針にするべきです。
インプレースアップグレードが向くケース
インプレースアップグレードが現実的なのは、比較的小規模で構成が単純な環境です。たとえば、単一フォレスト、同期対象が少ない、カスタム同期ルールがない、ステージング用サーバーを用意できない、といった場合です。
ただし、インプレースでは失敗時の切り戻しが難しくなります。スナップショットだけに頼るのではなく、Entra Connect の構成エクスポート、同期ルールの控え、サービスアカウント、証明書、プロキシ設定、ファイアウォール許可、監視設定まで確認してから実施する必要があります。
Windows Server 2025 で確認すべき前提条件
Microsoft Entra Connect Sync を Windows Server 2025 上で動かす場合、OS がサポートされたことだけで安心してはいけません。Microsoft Learn では、Entra Connect サーバーはドメイン参加済みであること、Windows Server 2025 または Windows Server 2022 が推奨されること、GUI 付きサーバーが必要で Server Core はサポートされないことなどが示されています。(Microsoft Learn)
最低限、次の項目を移行前チェックリストに入れてください。
| 確認項目 | 見るべきポイント |
|---|---|
| OS エディション | Windows Server Standard 以上か |
| インストール形態 | Server Core ではなく GUI 付きか |
| ドメイン参加 | 対象 AD ドメインに正しく参加しているか |
| TLS | TLS 1.2 が有効か |
| .NET | 必要な .NET Framework 要件を満たすか |
| Windows Update | Windows Server 2025 の既知問題に対応する更新プログラムが適用済みか |
| ネットワーク | ドメインコントローラー、グローバルカタログ、Microsoft Entra ID への通信が可能か |
| プロキシ | 同期サービスの実行コンテキストで外部接続できるか |
| 権限 | Hybrid Identity Administrator など必要な管理ロールを準備しているか |
| セキュリティ | Tier 0 相当として管理アクセスを制限しているか |
重要なのは、Windows Server 2025 には Entra Connect Sync で同期問題が発生する可能性がある既知の問題があり、Microsoft は KB5070773 以降の更新プログラム適用と再起動を案内している点です。新規構築でも OS イメージが古い場合は、この更新が含まれていない可能性があります。(Microsoft Learn)
移行前に棚卸しすべき Entra Connect Sync の設定
Windows Server 2025 への移行は、同期構成の棚卸しを行う好機です。次の情報が整理されていない場合、障害時の復旧や移行後の差分調査に時間がかかります。
必ず確認する項目
| 項目 | 確認内容 |
|---|---|
| 同期対象 OU | 除外 OU、追加予定 OU、退役済み OU がないか |
| 同期対象フォレスト | 使われていないフォレスト接続が残っていないか |
| サインイン方式 | Password Hash Sync、Pass-through Authentication、AD FS のどれか |
| オプション機能 | パスワードライトバック、グループライトバック、デバイスライトバックなど |
| カスタム同期ルール | 既定ルールを直接変更していないか、エクスポート可能か |
| 属性マッピング | 業務アプリや人事システムが依存している属性がないか |
| サービスアカウント | パスワード期限、権限、委任範囲に問題がないか |
| SQL 構成 | LocalDB か外部 SQL Server か |
| 監視 | Entra Connect Health、イベントログ監視、ジョブ失敗通知の有無 |
| バックアップ | 構成エクスポート、サーバーバックアップ、復旧手順の有無 |
特に危険なのは、既定の同期ルールを直接編集している環境です。アップグレード時に既定ルールが戻る、または期待しないフル同期が走る可能性があります。カスタムルールは独自ルールとして作成し、優先順位と適用条件を明確にしておくべきです。
実務で使える移行手順の流れ
Windows Server 2025 対応を前提に、Entra Connect Sync サーバーを安全に刷新するなら、次の順序で進めると失敗しにくくなります。
| フェーズ | 作業 | 成果物 |
|---|---|---|
| 現状調査 | 現行バージョン、OS、同期対象、カスタムルール、エラーを確認 | 現状構成メモ |
| 方針決定 | Connect Sync 継続か、Cloud Sync 検討か、併用かを判断 | 移行方針 |
| 新サーバー準備 | Windows Server 2025、更新プログラム、ドメイン参加、TLS、プロキシ設定 | ステージング候補サーバー |
| Entra Connect Sync 導入 | Microsoft Entra 管理センターから MSI を取得して導入 | 新同期サーバー |
| 構成移行 | 既存設定、カスタムルール、OU フィルターを反映 | 同等構成 |
| ステージング検証 | フルインポート、フル同期、エクスポート差分確認 | 差分確認結果 |
| 切替 | 旧サーバーをステージング化し、新サーバーをアクティブ化 | 本番切替完了 |
| 監視 | 同期サイクル、エラー、ユーザー影響を確認 | 移行後確認記録 |
| 旧環境整理 | 旧サーバーのアンインストールまたは削除 | 二重同期リスクの排除 |
Microsoft は Entra Connect Sync の MSI インストールファイルを Microsoft Entra 管理センターで提供すると案内しています。古いダウンロードリンクや社内共有フォルダーに残った MSI を使うのではなく、最新の入手元とバージョン履歴を確認してから作業してください。(Microsoft Learn)
Connect Sync を続けるべきか、Cloud Sync を検討すべきか
今回の発表を「Connect Sync をこれからも使い続ける理由」と見るだけでなく、「Cloud Sync に寄せられる範囲を見直すタイミング」と捉えることも重要です。Microsoft のハイブリッド同期シナリオ比較では、Cloud Sync と Connect Sync で対応範囲が異なることが示されています。たとえば、Cloud Sync は高可用性や切断フォレストのシナリオに強みがある一方、Microsoft Entra hybrid join、リソースフォレスト、25万超の大規模ドメイン、属性値ベースのフィルターなどは Connect Sync 側の対応領域として整理されています。(Microsoft Learn)
Connect Sync を継続しやすい環境
次の条件に当てはまる場合、Windows Server 2025 上の Connect Sync 継続が現実的です。
| 条件 | 理由 |
|---|---|
| Microsoft Entra hybrid join を使っている | Connect Sync が必要な代表的シナリオ |
| Exchange ハイブリッドを運用している | Connect Sync と Cloud Sync の両方で検討可能だが、既存構成維持の判断が多い |
| リソースフォレスト構成がある | Connect Sync が適するケースがある |
| 25万を超える大規模ドメインを同期している | Connect Sync の対応範囲として整理されている |
| 属性ベースの複雑なフィルターがある | Cloud Sync 移行前に詳細な互換性確認が必要 |
Cloud Sync を検討しやすい環境
次の条件に当てはまる場合は、将来的な Cloud Sync 移行も候補になります。
| 条件 | 理由 |
|---|---|
| 新規のハイブリッド ID 構築 | クラウド管理型の設計を最初から選びやすい |
| 高可用性を重視する | 複数エージェント構成を取りやすい |
| 切断フォレストや M&A シナリオがある | Cloud Sync が対応しやすいケースがある |
| 同期対象を段階的に分離できる | Connect Sync と Cloud Sync の並行利用を検討できる |
| 複雑なカスタム同期ルールが少ない | 移行検証の負荷を抑えやすい |
ただし、Cloud Sync エージェントの Windows Server 2025 サポート状況は Connect Sync と同一ではありません。Cloud Sync を選ぶ場合は、OS 標準化よりもサポートされるエージェント要件を優先してください。
失敗しやすいポイントと回避策
Windows Server 2025 対応そのものは前向きなニュースですが、移行現場では次のような失敗が起きがちです。
| 失敗例 | 影響 | 回避策 |
|---|---|---|
| OS チームだけでサーバーを更改する | 同期ルールや権限が再現できない | ID 管理者を計画段階から参加させる |
| 古い Entra Connect Sync のまま OS だけ更新する | サポート期限や不具合リスクが残る | OS と製品バージョンをセットで更新する |
| 旧サーバーを停止せず残す | 二重同期や古い属性の上書きが起きる | 切替後に旧サーバーを完全に退役させる |
| ステージング検証を省略する | 本番反映後に大量の属性変更が発生する | エクスポート差分を確認してから切り替える |
| Windows Server 2025 の更新プログラム確認を忘れる | 既知の同期問題に遭遇する可能性 | KB5070773 以降の適用と再起動を確認する |
| Cloud Sync も同時に移行する | 問題発生時の原因切り分けが困難 | OS 更改と同期方式変更を分けて実施する |
特に「旧サーバーを念のため残しておく」はよくある落とし穴です。Microsoft のアップグレード手順でも、古い Entra Connect サーバーがネットワーク上に残ると同期問題を引き起こす可能性があるため、完全にアンインストールするか、仮想マシンであれば削除することが重要だと説明されています。(Microsoft Learn)
グローバル環境での注意点
多国籍企業や海外拠点を含む環境では、Windows Server 2025 対応の判断に追加の観点が必要です。
まず、リージョンごとの変更凍結期間を確認してください。四半期決算、給与処理、年度末、人事異動の時期に同期基盤を変更すると、アカウント作成、ライセンス付与、メール利用、Teams 利用に影響する可能性があります。
次に、フォレストやドメインごとの所有者を明確にします。ある国の AD 管理者が OU を変更しただけで、別リージョンの Microsoft Entra ID 属性に影響することがあります。移行前には、同期対象 OU、除外条件、属性依存関係を国・拠点単位で確認しておくと安全です。
また、プロキシやファイアウォールのルールは拠点ごとに異なることがあります。新サーバーから Microsoft Entra ID への通信、ドメインコントローラーへの LDAP/GC 通信、CRL 取得、監視エージェント通信が許可されているかを、ネットワークチームと事前に確認してください。
管理者が次に取るべき行動
今回の Windows Server 2025 対応を受けて、まず行うべきことは本番アップグレードではなく、現状の可視化です。
次の順番で進めると、無理のない計画になります。
| 優先度 | 実施内容 |
|---|---|
| 高 | 現在の Microsoft Entra Connect Sync バージョンを確認する |
| 高 | 2026年9月30日の必須アップグレード要件を満たすか確認する |
| 高 | Windows Server 2025 へ移行する場合、スウィング移行のサーバーを確保する |
| 中 | カスタム同期ルール、OU フィルター、オプション機能を棚卸しする |
| 中 | Connect Sync 継続か Cloud Sync 検討かをシナリオ別に整理する |
| 中 | Windows Server 2025 の更新プログラム、TLS、.NET、プロキシ設定を確認する |
| 低 | OS 標準化、監視、バックアップ、ドキュメント更新を移行後タスクに入れる |
Windows Server 2025 対応は、ハイブリッド ID 基盤を安全に近代化するための選択肢を増やす更新です。最も避けるべきなのは、OS 更改だけを急ぎ、同期基盤の設計や運用リスクを後回しにすることです。
まずは現行バージョン、同期エラー、カスタム構成、ステージングサーバーの有無を確認してください。そのうえで、Connect Sync を Windows Server 2025 上で継続するのか、Cloud Sync への移行を段階的に検討するのかを決めると、サポート切れ対応ではなく、将来の運用負荷を下げるアップグレード計画にできます。
コメント