Microsoft Entra Connect Health agentsのインストールで最初に確認すべきことは、インストール手順そのものではなく、ライセンス、管理者ロール、対象サーバー、通信経路、TLS、プロキシ、既存のMicrosoft Entra Connectのバージョンです。AD FS環境ではAD FSサーバーとWeb Application Proxyサーバー、同期環境ではMicrosoft Entra Connect Syncサーバーが主な対象になります。公式ページは日本語版でも「Last updated on 2026-05-26」と表示されていますが、本稿では2026年5月27日時点で管理者が確認すべき実務ポイントとして整理します。(Microsoft Learn)
Microsoft Entra Connect Health agentsで最初に確認すべき結論
Microsoft Entra Connect Health agentsは、オンプレミスのID基盤をMicrosoft Entra側から監視するためのエージェントです。AD FS、Microsoft Entra Connect Sync、AD DSなどの状態を収集し、アラート、パフォーマンス、利用状況分析をMicrosoft Entra管理センターで確認できるようにします。(Microsoft Learn)
今回の確認で特に重要なのは、次の5点です。
| 確認項目 | 管理者が見るべきポイント | 実務上の判断 |
|---|---|---|
| ライセンス | Microsoft Entra ID P1またはP2が必要 | ライセンスがないと構成作業を完了できないため、導入前にテナント単位で確認する |
| 管理者ロール | グローバル管理者またはハイブリッドID管理者を使用 | 以前の運用手順が「グローバル管理者のみ」前提なら見直す |
| 同期用エージェント | Microsoft Entra Connect 2.5.79.0以降では同期用Health agentがMicrosoft Entra Connectの一部としてインストールされる | 別途古いエージェントを入れるのではなく、Microsoft Entra Connect自体を最新化する |
| 通信要件 | 最新エージェントではTCP 443のみでよい構成に移行できる | 古いファイアウォール申請書にTCP 5671前提が残っていないか確認する |
| TLS | 2026年2月のバージョン履歴ではTLS 1.0/1.1のサポート廃止、TLS 1.2のみ対応とされている | TLS検査、古いOS設定、プロキシ装置のTLS設定を確認する |
Microsoft Learnの前提条件では、Microsoft Entra ID P1またはP2、職場または学校アカウント、サポート対象のWindows Server、PowerShell 5.0以降、送信接続、TLS検査への配慮が求められています。さらに、Windows Server CoreではMicrosoft Entra Connect Health agentのインストールがサポートされていません。(Microsoft Learn)
変更点として押さえるべきポイント
ハイブリッドID管理者ロールでの導入が明確化された
公式ドキュメントでは、Microsoft Entra Connect HealthがハイブリッドID管理者ロールを使用したインストールをサポートするようになったと説明されています。Microsoft Entra Connect SyncをハイブリッドID管理者アカウントでインストールした場合、Health agentは自動的にアクティブになり、グローバル管理者アカウントで再インストールする必要はありません。(Microsoft Learn)
これは、最小権限の運用を進めている組織には大きな意味があります。従来の手順書に「グローバル管理者でサインイン」とだけ書かれている場合、運用担当者が不要に高い権限を使い続ける原因になります。
見直すべき箇所は次の通りです。
- インストール手順書の使用ロール
- 作業用アカウントのMFA有無
- 非対話登録に使う一時アカウントの権限範囲
- 作業後のロール削除、パスワードローテーション、アカウント無効化の手順
特に複数サーバーへ展開する場合、一時的なアカウントを使った自動登録を検討することがあります。ただし作業後は、ロール割り当ての削除、パスワード変更、アカウント無効化または削除までを手順に含めるべきです。公式手順でも、複数サーバー展開後にローカルアカウントのアクセスを削除する選択肢が示されています。(GitHub)
TLS 1.2前提の確認が必須になった
Microsoft Entra Connect Healthのバージョン履歴では、2026年2月のMicrosoft Entra Connect Health version 4.5.2549.0で、TLS 1.0とTLS 1.1のサポートが廃止され、TLS 1.2のみがサポートされるようになったとされています。(Microsoft Learn)
管理者が確認すべき対象は、エージェントをインストールするWindows Serverだけではありません。経路上のプロキシ、SSL/TLS検査装置、ファイアウォール、古いセキュリティ製品も確認対象です。
| 確認対象 | よくある問題 | 対応の考え方 |
|---|---|---|
| Windows Server | 古い暗号化設定が残っている | OSのTLS 1.2設定と更新状態を確認する |
| プロキシ | TLS 1.2通信を中継できない | プロキシ装置側の対応バージョンと証明書設定を確認する |
| TLS検査 | 登録やデータアップロードが失敗する | Microsoft Entra Connect Health関連通信で検査・終端が影響しないか確認する |
| ファイアウォール | 古いポート設計のまま | 最新エージェントではTCP 443中心の設計に見直す |
公式前提条件では、ネットワーク層で送信トラフィックのTLS検査または終端がある場合、エージェント登録やデータアップロードが失敗する可能性があるとされています。(Microsoft Learn)
影響範囲はAD FS、Web Application Proxy、同期サーバーに分けて考える
Microsoft Entra Connect Health agentsの影響範囲は、どの機能を監視したいかで変わります。AD FSだけを使っているのか、Microsoft Entra Connect Syncも監視するのか、AD DSも対象にするのかを分けて整理すると、展開ミスを防げます。
| 監視対象 | インストール先 | 主な確認ポイント |
|---|---|---|
| AD FS | AD FSサーバー | AD FS監査ログ、ホスト名、サービス稼働、送信通信 |
| 外部アクセス | Web Application Proxyサーバー | AD FSと同様にエージェント配置。ただしAD FS監査有効化手順はWAPには不要 |
| 同期 | Microsoft Entra Connect Syncサーバー | Microsoft Entra Connectのバージョン、同期用Health agentの自動インストール、サービス状態 |
| AD DS | ドメインコントローラー | AD DS監視を使う場合のみ対象。今回の主題がAD FSと同期なら優先度は下げてよい |
AD FSからデータを取得するには、AD FSサーバーとWeb Application Proxyサーバーにエージェントをインストールする必要があります。同期用Health agentは、Microsoft Entra Connect 2.5.79.0以降のインストールの一部として導入されます。(Microsoft Learn)
AD FS用エージェントの展開で失敗しやすいポイント
同期サーバーにAD FS用エージェントを入れない
AD FSサーバーは同期サーバーとは別にする必要があり、同期サーバーにAD FS agentをインストールしないよう注意が必要です。さらに、古いAD FS用Health agentをMicrosoft Entra Connectサーバーに入れようとするとエラーになる場合があります。(Microsoft Learn)
実務では、サーバー名だけで判断せず、役割を一覧化してから作業します。
| サーバー | 役割 | インストールするもの |
|---|---|---|
| ADFS01 / ADFS02 | AD FS | AD FS用Microsoft Entra Connect Health agent |
| WAP01 / WAP02 | Web Application Proxy | AD FS監視用Health agent |
| AADConnect01 | Microsoft Entra Connect Sync | Microsoft Entra Connectに含まれる同期用Health agent |
| DC01 / DC02 | ドメインコントローラー | AD DS監視を使う場合のみAD DS用Health agent |
AD FS用エージェントをインストールする前には、AD FSサーバーのホスト名が一意で、AD FSサービス内に存在しないことも確認します。(Microsoft Learn)
AD FS監査ログを有効にしないと利用状況分析が使えない
AD FSの利用状況分析にはAD FS監査ログが必要ですが、既定では有効ではありません。AD FSサーバーでは、監査権限、auditpol、AD FSの監査レベル、イベントビューアーでの確認までを作業に含めます。Web Application Proxyサーバーでは、このAD FS監査有効化手順は不要です。(Microsoft Learn)
代表的な確認コマンドは次の通りです。
auditpol.exe /set /subcategory:"Application Generated" /failure:enable /success:enable
Set-AdfsProperties -AuditLevel Verbose
Get-AdfsPropertiesGet-AdfsPropertiesの結果で、AuditLevelがVerboseになっていることを確認します。さらに、イベントビューアーの「Windowsログ」>「セキュリティ」で、イベントソースとして「AD FS Auditing」を確認します。(Microsoft Learn)
注意したいのはグループポリシーです。公式ドキュメントでは、グループポリシーによってAD FS監査が無効化される可能性があり、その場合ログインアクティビティの利用状況分析を利用できないと警告されています。(Microsoft Learn)
同期用エージェントはMicrosoft Entra Connectのバージョン確認が先
同期用のMicrosoft Entra Connect Health agentは、最新のMicrosoft Entra Connectでは自動的にインストールされます。エージェント単体の導入を先に考えるのではなく、まずMicrosoft Entra Connect本体のバージョンとサポート状態を確認してください。(Microsoft Learn)
特にAzure AD Connect V1をまだ使っている環境は要注意です。Microsoft Entra Connect Health for SyncにはMicrosoft Entra Connect Sync V2が必要で、Azure AD Connect V1は2022年8月31日に廃止され、Microsoft Entra Connect Health for Syncは2022年12月にV1との連携を停止しています。(Microsoft Learn)
同期用エージェントがインストールされているかは、サーバー上で次のサービスを確認します。
Microsoft Entra Connect Agent Updater
Microsoft Entra Connect Health Agent構成が完了していれば、これらのサービスは実行中になっているはずです。構成が未完了の場合は、構成が終わるまで停止していることがあります。(Microsoft Learn)
手動登録は「登録失敗時のみ」に使う
Microsoft Entra Connectを正常にインストールした後、同期用Health agentの登録が失敗した場合に限り、PowerShellで手動登録できます。公式ドキュメントでも、このPowerShellコマンドは登録失敗後にのみ使うものとされています。(Microsoft Learn)
Register-MicrosoftEntraConnectHealthAgent -AttributeFiltering $true -StagingMode (Get-ADSyncScheduler).StagingModeEnabledAttributeFilteringは、既定の属性セットではなくカスタムのフィルター済み属性セットを使っている場合に$trueを指定します。StagingModeは、サーバーがステージングモードかどうかに応じて指定します。認証には、Microsoft Entra Connectの構成に使ったグローバル管理者またはハイブリッドID管理者アカウントを使います。(Microsoft Learn)
ネットワーク、ポート、プロキシの確認ポイント
Microsoft Entra Connect Health agentsは、インストール時と実行時の両方でMicrosoft Entra Connect Healthサービスのエンドポイントへ送信接続します。ファイアウォールで送信接続を制限している環境では、必要なURLやエンドポイントを許可リストに追加する必要があります。公式ドキュメントでは、これらのURLに対するセキュリティ監視や検査を無効化するのではなく、他のインターネット通信と同様に許可する考え方が示されています。(Microsoft Learn)
最新エージェントではTCP 443中心で考える
前提条件にはTCP 443とTCP 5671が示されていますが、最新バージョンのエージェントではポート5671は不要で、TCP 443のみが必要になるよう最新バージョンへのアップグレードが案内されています。(Microsoft Learn)
ただし、現場でいきなり「5671を閉じてよい」と判断するのは危険です。まず対象サーバーのエージェントバージョン、実際の通信ログ、ファイアウォールルール、プロキシ経由の有無を確認してください。古い申請書や設計書に「5671必須」と残っている場合は、最新仕様に合わせて文書を更新します。
プロキシ設定はnetshだけでは不十分
Microsoft Entra Connect Health agentは、HTTPプロキシを使うように構成できます。ただし、Netsh WinHttp set ProxyServerAddressはサポートされておらず、エージェントはWindows HTTP ServicesではなくSystem.Netを使ってWeb要求を行います。また、HTTPBasicを使う認証プロキシはサポートされていません。(Microsoft Learn)
プロキシを使う環境では、次のコマンドを運用手順に入れておくと確認しやすくなります。
Get-MicrosoftEntraConnectHealthProxySettings
Set-MicrosoftEntraConnectHealthProxySettings -ImportFromWinHttp
Set-MicrosoftEntraConnectHealthProxySettings -HttpsProxyAddress proxy01.contoso.local:443
Restart-Service AzureADConnectHealthAgent*プロキシ設定を更新した後は、すべてのMicrosoft Entra Connect Health agentサービスを再起動する必要があります。(Microsoft Learn)
接続テストと展開後の確認
展開後は、Microsoft Entra管理センターで見えるかどうかだけでなく、サーバー側から接続テストを実行します。エージェントが2時間以上Microsoft Entra Connect Healthサービスにデータを送信できない場合、ポータルに「Health Service data is not up to date」に相当するアラートが表示されます。(Microsoft Learn)
接続確認には、次のPowerShellコマンドを使います。
Test-MicrosoftEntraConnectHealthConnectivity -Role ADFS
Test-MicrosoftEntraConnectHealthConnectivity -Role Sync
Test-MicrosoftEntraConnectHealthConnectivity -Role ADDSRoleパラメーターには、ADFS、Sync、ADDSを指定できます。ただし、この接続ツールを使うには、先にエージェント登録が完了している必要があります。(Microsoft Learn)
移行・更新時に管理者と開発者が確認すべきこと
Microsoft Entra Connect Health agentsの導入は、単なる監視エージェント追加ではありません。AD FS、Microsoft Entra Connect Sync、アプリケーション認証、ネットワーク境界にまたがる変更です。
管理者が確認すること
- AD FS、WAP、同期サーバーの一覧を作る
- 各サーバーのWindows Serverバージョンを確認する
- Windows Server Coreが対象に含まれていないか確認する
- Microsoft Entra ID P1またはP2の有無を確認する
- グローバル管理者ではなくハイブリッドID管理者で作業できるか見直す
- TLS 1.2、プロキシ、ファイアウォール、送信URLを確認する
- インストール後にサービス状態と接続テストを確認する
開発者・アプリ担当者が確認すること
AD FSを使っている環境では、アプリケーション側にも影響が出る可能性があります。特に、AD FSの証明書更新、リライングパーティ信頼、OAuth/OIDC連携、社外アクセス経路に依存している業務アプリは、監視強化とあわせて影響範囲を整理しておくべきです。
Microsoft Entra Connectはフェデレーション統合を通じてAD FSインフラストラクチャを使ったハイブリッド環境構成をサポートし、同期機能ではオンプレミスのユーザーやグループのID情報をクラウドと一致させます。つまり、認証障害や同期障害はアプリのログイン失敗、権限反映遅延、ユーザー追加の遅れとして現れることがあります。(Microsoft Learn)
Cloud Syncへの移行も同時に検討する
Microsoft Entra Connect V2へ更新する前に、Microsoft Entra Cloud Syncが適しているかを検討することも推奨されています。公式ドキュメントでは、Microsoft Entra Cloud SyncはMicrosoftの同期の将来であり、Microsoft Entra Connectを置き換えるものと説明されています。(Microsoft Learn)
ただし、すべての環境で即座にCloud Syncへ移行できるとは限りません。AD FSを継続利用している、複雑な同期ルールがある、既存アプリの認証方式がAD FS依存である、といった場合は、まず現行構成を安定して監視できる状態にしてから移行計画を立てるほうが現実的です。
よくある失敗と回避策
| 失敗パターン | 起きる問題 | 回避策 |
|---|---|---|
| Microsoftアカウントでインストールしようとする | エージェントをインストールできない | 職場または学校アカウントを使用する |
| グローバル管理者だけを前提にする | 不要に強い権限で作業し続ける | ハイブリッドID管理者で対応できるか確認する |
| Server Coreに入れようとする | インストール非対応 | GUIありのサポート対象Windows Serverに展開する |
| TLS検査をそのままにする | 登録やアップロードが失敗する | Health関連通信でTLS検査・終端の影響を確認する |
| netshのプロキシ設定だけで済ませる | エージェントが期待通り通信しない | 専用のプロキシ設定コマンドを使う |
| AD FS監査を有効にしない | 利用状況分析が使えない | auditpolとAD FS監査レベルを確認する |
| 属性フィルターのカスタム構成を見落とす | 同期アラートの評価が制限される | 設定からエラーログのアップロード許可を確認する |
Microsoft Entra Connectが既定構成ではなく、属性フィルター処理をカスタム構成にしている場合、Microsoft Entra Connect Health agentがMicrosoft Entra Connect関連のエラーイベントをアップロードせず、アラート評価が制限されることがあります。必要に応じて、Microsoft Entra管理センターの設定から、すべてのエラーログをアップロードできるようにします。(Microsoft Learn)
導入時の実務チェックリスト
最後に、実際の展開前に確認すべき項目をチェックリストとして整理します。
| タイミング | チェック項目 |
|---|---|
| 計画時 | AD FS、WAP、同期サーバー、必要に応じてDCの一覧を作る |
| 計画時 | Microsoft Entra ID P1またはP2の有無を確認する |
| 計画時 | 作業ロールをグローバル管理者にするか、ハイブリッドID管理者にするか決める |
| 事前確認 | Windows Server 2016、2019、2022、2025のサポート対象に収まっているか確認する |
| 事前確認 | Windows Server Coreが含まれていないか確認する |
| 事前確認 | TLS 1.2、プロキシ、送信URL、TCP 443の通信を確認する |
| 展開時 | AD FS agentを同期サーバーに入れない |
| 展開時 | 同期用Health agentはMicrosoft Entra Connect 2.5.79.0以降の導入状態を確認する |
| 展開後 | Microsoft Entra Connect Agent UpdaterとMicrosoft Entra Connect Health Agentのサービス状態を確認する |
| 展開後 | Test-MicrosoftEntraConnectHealthConnectivityで接続確認する |
| 運用開始後 | Microsoft Entra管理センターでアラート、同期遅延、AD FS利用状況を確認する |
Microsoft Entra Connect Health agentsは、導入すれば終わりではありません。AD FSの監査、同期サーバーのバージョン、TLS 1.2、プロキシ、ロール設計まで含めて確認して初めて、障害検知に使える監視基盤になります。まずは対象サーバーを棚卸しし、ライセンスとロール、通信要件、Microsoft Entra Connectのバージョンを確認してください。そのうえで、AD FS用と同期用を分けて展開し、接続テストとポータル上のアラート確認までを完了させるのが安全な進め方です。
コメント