Azure Files のファイル共有を、Active Directory ドメインに参加させるために必要な権限

この記事では、Azure Files ファイル共有を Active Directory ドメインに参加させるために使用される非管理者の委任されたドメインユーザーサービスアカウントに必要な権限について説明します。これらの権限が正しくない場合、ドメイン参加の際にエラーが発生します。エラーには、「アクセスが拒否されました」や「クライアントによって保持されていない必須の特権」といったものが含まれる場合があります。

これは Entra Domain Services 環境には適用されません。Entra Domain Services 環境では、機能を有効にするだけで、特別なサービスアカウントとしてドメインに参加する必要はありません。Nerdio Managerでは、AD に参加するドロップダウンリストでEntra Domain Servicesを選択してください。

Azure Files は、委任されたサービスプリンシパルユーザーオブジェクトとしてドメインに参加します。Azure Files ストレージアカウントをドメインに参加させるためには、提供されたサービスアカウントに、新しいユーザーオブジェクトの作成および書き込みを許可するターゲット組織単位 (OU) の権限が必要です。さらに、サービスアカウントには、Azure Files のサインインアカウントを委任されたサービスとして設定するための権限も必要です。デフォルトでは、この特権はADドメイン管理者ユーザーのみに提供されます。

ユーザーオブジェクトを作成するための権限を委任する

以下の手順では、Active Directory Users & Computers（ADUCまたはdsa.msc）を使用して、ユーザーオブジェクトを作成および書き込むための権限を委任する方法を説明します。

ユーザーオブジェクトを作成するための権限を委任するには：

1. Azure Filesを参加させるOUを見つけます。

2. OU を右クリックし、Delegate Controlを選択します。

3. Azure Files をドメインに参加させるために使用するサービスユーザーアカウントを追加します。

4. ユーザーアカウントの作成、削除、および管理の権限を委任します。

5. 変更を適用するには、完了を選択します。

委任ユーザー作成の権限を委任する

以下の手順では、Azure Filesをドメインに参加させるために使用されるサービスユーザーアカウントが、新しいオブジェクトをAzure Filesの委任されたサービスとしてマークできるようにする方法を説明します。これには、グループ ポリシー管理（gpmc.msc）で既定のドメイン コントローラー グループ ポリシー オブジェクトを変更する必要があります。

委任されたユーザー作成の権限を削除するには：

1. 既定のドメイン コントローラーのポリシーを右クリックし、編集するを選択します。

2. コンピュータの構成 > ポリシー > Windows設定 > セキュリティ設定 > ローカルポリシー > ユーザー権利の割り当てに移動します。

3. コンピュータおよびユーザーアカウントを委任のために信頼できるようにするポリシーを見つけます。

4. Azure Filesをドメインに参加させるために使用されるサービスユーザーアカウント名をポリシーに追加します。

5. エディターを閉じます。

6. すべてのドメインコントローラーでgpupdate /forceを実行します。

   注意: ポリシーの変更は、gpupdateが完了した後に適用されるまでに数分かかる場合があります。

Nerdio Managerサービスアカウントを追加します。

Nerdio ManagerのADプロファイルの下にサービスアカウントを提供する必要があります。詳細については、Entra ID 参加機能を参照してください。