Azure AD Connect 構成手順（代替UPNサフィックス編）

# はじめに
Azure AD Connect を構成するためには、オンプレミスドメイン側の UPN と、Azure AD テナント側の UPN を合わせておく必要があります。
この UPN を合わせるためには、いくつかの方法がありますが、この記事では 代替UPNサフィックス を使って構成する方法をお伝えしています。

Azure AD Connect って何？ とか、何のために実装するのか？ や、代替UPNサフィックス以外の方法の説明については、以下の記事を参照ください。

https://qiita.com/carol0226/items/487874f07d2fe90f8e0c

# Azure AD Connect の前提条件
Azure AD Connect を構成するための前提となる条件です。
以下のサイトを参考に、環境を整えてください。

https://learn.microsoft.com/ja-jp/azure/active-directory/hybrid/connect/how-to-connect-install-prerequisites?wt.mc_id=mvp_407731

**2025/2/17 追記**
特に、TLS1.2 強制として、以前には無かった手順が追加されています。
過去にインストール出来ていた人も、今後は、こちらも注意してください。

https://learn.microsoft.com/ja-jp/entra/identity/hybrid/connect/reference-connect-tls-enforcement?wt.mc_id=mvp_407731
（上記より抜粋）
記事内には、レジストリのことも書かれていますが、そこはスルーして、以下の PowerShell をコピーして実行するだけで OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/031c0f1b-686c-43c6-8685-28612161b0f7.png)

# 同期の際のドメイン名について
Azure AD Connect を構成する際には、オンプレミス側ユーザーの UPN と Azure AD テナントの UPN が揃っている必要があります。
以下のように、ドメイン名が揃っていない場合は、対策が必要です。
|オンプレミス<br>ドメイン名|Azure AD<br>テナント名|
|:-:|:-:|
|avd.server-on.net|既定のドメイン<br>xxx.onmicrosoft.com<br>カスタムドメイン<br>carol226.com|

以下の ① または ② のように 代替UPNサフィックス を構成して、テナント側のドメイン名を揃える事で Azure AD Connect で同期をすることが可能になります。

||オンプレミス<br>代替UPNサフィックス|Azure AD<br>ドメイン名|
|:-:|:-:|:-:|
|①カスタムドメイン名 に合わせる|carol226.com|カスタムドメイン<br>carol226.com|
|②既定のドメイン名 に合わせる|xxx.onmicrosoft.com|既定のドメイン<br>xxx.onmicrosoft.com|

後述する手順や画面キャプチャで使われているドメイン名は、「①カスタムドメインに合わせる」の構成を前提としています。
皆さんの環境のドメイン名に置き換えながら 参照ください。

# 手順について
1. 代替UPNサフィックスの構成
1. ユーザーの UPN を 代替UPN に変更する
1. Azure AD Connect のインストール

## 1. 代替UPNサフィックスの構成
この手順は、オンプレミスのドメインコントローラーで操作します。
1. 「Active Directory ドメインと信頼関係」のツールを開き、左ペインから「Active Directory ドメインと信頼関係」を右クリックし「プロパティ」を選択する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/19b9af87-d51b-ccb9-2eb1-4d98663b21ad.png)
1. 以下の画面で「代わりのUPNサフィックス」欄に Azure AD テナントのドメイン名を入力し「追加」を押す
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ccd1fe86-9158-c321-7860-35dd208f275b.png)

## 2. ユーザーの UPN を 代替UPN に変更する
この手順は、オンプレミスのドメインコントローラーで操作します。
1. 「Active Directory ユーザーとコンピューター」のツールを開き、Azure AD テナントへ同期させたいユーザーのプロパティを開く

1. 「アカウント」タブを選び、ユーザーログオン名 の右側の選択肢（UPNサフィックス欄）から、先ほど設定した「代わりのUPNサフィックス」を選択<br>Azure AD テナントと同一の UPNサフィックス を選択したユーザーが 同期されるようになります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3944cd03-de39-7365-3d08-d696edfeeaf5.png)

上記のように １ユーザーずつ 手動操作で UPNサフィックスを変更しても良いのですが、ユーザー数が多い場合は、以下の情報も参考にしてください。

（参考）ドメイン内のすべてのユーザーの UPN を一括で変更する方法
https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/prepare-a-non-routable-domain-for-directory-synchronization?wt.mc_id=mvp_407731#use-powershell-to-change-the-upn-suffix-for-all-of-your-users

## 3. Azure AD Connect のインストール
この手順は、オンプレミスのドメインに参加したメンバーサーバーで操作します。
※検証時などは、ドメインコントローラーへダウンロード＆インストールしても動作します。

1. ブラウザを起動し、Azure Portal を開きます。<br>インストール前は、赤下線のように「未インストール」になっています。<br>赤枠の「Azure AD Connect のダウンロード」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0c4c082d-68a6-796e-2ff0-bd7fbea9ad72.png)

1. 以下の画面（サイトは英語ですが ブラウザ翻訳しています）で「ダウンロード」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/30ccc7de-483b-32c9-41b5-b2a975ca589d.png)

1. 以下のように AzureADConnect.msi ファイルがダウンロードされるため、ダブルクリックで起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/14b698ed-907b-a5dd-b362-4e6914c545d0.png)

1. インストーラーが起動すると、以下の画面で処理が進みます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/55900318-3042-5ff5-85c8-49d06889f1f4.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3eb2aebc-390a-d08f-02b8-cbaa72f12af1.png)

1. 以下の画面が表示されたら 同意欄に チェックを入れて「続行」します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/26a8bafb-a160-2942-d9c8-fc69cd431070.png)

1. 以下の画面では、「カスタマイズ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5f6ff28a-cfe9-144b-f01f-2a5acb01eed2.png)

1. 以下の画面では、「インストール」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/83c57e36-7ed3-64ed-d9de-61139017e12a.png)

1. 以下の画面で処理が進みます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cc1e7945-0be6-d533-3418-d74100d95233.png)

1. 赤枠の「パスワードハッシュ同期」を選択して「次へ」を押します。<br>緑枠の"シングルサインオンを有効にする" の機能については、[こちらのリンク先の記事](https://qiita.com/carol0226/items/ebb140fe92fca5471212 "Microsoft Entra シームレスSSO を AVD で動作させてみた") で説明しています合わせて確認してみてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/98b75534-aa8b-3cbd-1599-dd4ed291c470.png)


1. Azure AD テナントの グローバル管理者 のアカウントで認証し「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9b56fdd3-5a76-b348-a078-6d9edd65ef12.png)

1. 以下のような認証ウィンドウが開くので認証します。<br>アカウントが多要素認証になっていても問題なく動作します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1f69a6be-964c-3fed-b085-755bbbd9149b.png)

1. 「ディレクトリの追加」ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ffe785db-0fbc-c9dd-4532-16d97a462901.png)

1. 以下の画面では「新しい AD アカウントを作成」を選択しますが「エンタープライズ管理者ユーザー名」には、既存のドメイン環境の エンタープライズ管理者のアカウントを入力します。<br>「既存」を選びたくなるところですが、ここでは「新規」を選択することがポイントです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9c85d65f-23bc-373f-1722-31976204ad26.png)

1. ドメインへの認証が正常に行われると 以下の画面になるため「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f3c7fe22-1739-6733-f86a-95bfa8b19d00.png)

1. 以下の画面の 緑枠 のように、事前に ユーザーに割り当てたドメイン名 "carol226.com" が "確認済み" として表示されれば OK です。<br>元のドメイン名である "avd.server-on.net" は、"追加されていません" と表示されていても問題ありません。<br>赤枠のチェック欄にチェックを入れて「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/58569d69-b829-55f4-26c0-37aa54f76ec4.png)

1. 以下の画面では 選択した一部の OU のみを Azure AD へ同期させたい場合に利用します。<br>すべての OU を同期する場合は、赤枠 を選択して、「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/51eae41e-8914-8030-2039-e45d0f20f6f5.png)

1. 以下の画面では、特に設定値を変更せず「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0a870c04-5d25-f997-c0c0-73bb4f3c3087.png)

1. 以下の画面では、特に設定値を変更せず「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/296ff14d-2888-250c-ccac-02c87a5015a1.png)

1. 以下の画面では 特に設定値を変更せず「次へ」を押します。<br>なお、赤枠「パスワードの書き戻し」にチェックを入れておくことをお勧めします。こうしておくと ユーザーが Azure AD 側でパスワードを変更した場合に オンプレミスへ逆同期させることができます。<br>この仕組みを [パスワードライトバック](https://learn.microsoft.com/ja-jp/azure/active-directory/authentication/concept-sspr-writeback "パスワードライトバック") と言います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4bdd86f7-a5aa-8b73-60f7-2fde48d185bd.png)

1. 以下の画面では、特に設定値を変更せず「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bfc630e0-7ed0-d5ac-6f35-49f5ba369275.png)

1. Azure AD Connect の構成が完了すると、以下の画面になるため「終了」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d05aced2-ac6e-9570-3d9f-c8a4b9b754ae.png)

1. インストールしたサーバーのアプリケーションを確認すると、以下の表示になっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1f9e3b61-f5f9-4235-738b-b0e4e6fef193.png)

# 動作確認
## Azure AD Connect のステータス
下図の通り「同期状態」が「有効」に変更されています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9cf42bed-a64a-c479-8ea5-7cfdffb528df.png)

## ユーザーの一覧
以下のようになります。
- 橙色 = オンプレミスから同期されたユーザー
- 水色 = Azure AD テナントで発行されたユーザー 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c1ca09b8-89a9-f4d0-2ce2-2b7428d2aa25.png)

# Azure AD Connect をアンインストールするには？
アンインストールの方法は、ハマりどころがあります。
以下の記事に纏めました。

https://qiita.com/carol0226/items/fdb787ef9f7445affd02

# 参考
この記事で紹介する 代替 UPN サフィックスｎ手順は、以下の公開情報で説明されている内容をもとにしています。

https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/prepare-a-non-routable-domain-for-directory-synchronization?wt.mc_id=mvp_407731