Active Directory Domain Services (Windows Server / オンプレミス)
-
従来の Windows サーバーマシン上の標準的な Active Directory の役割で、Active Directory ユーザーとコンピューター、サイトとサービス、ドメイン、および信頼関係などのツールで管理されます。
-
ユーザー、グループ、連絡先、コンピューターオブジェクトを含みます。
-
従来の Windows デスクトップおよびサーバーはこの AD に参加します。
-
ユーザーとグループは、Entra ID 接続を使用して Entra ID と同期できます。
Entra ID - Microsoft Cloud ディレクトリサービス
-
従来の Active Directory と似た名前ですが、これは Microsoft によってホストされる異なるサービスであり、Microsoft Cloud (O365、D365、Azure) の最上位オブジェクトです。
-
ユーザー、グループ、連絡先オブジェクトを含みます。
-
Windows 10 および 11 のコンピューターは Entra ID に参加できますが、古いオペレーティング システムのマシンは参加できません。
-
ADConnect ツールを介して従来の AD と同期できるため、同じユーザー名とパスワードを両方で使用できます (パスワードハッシュ同期が有効な場合)。
Entra Domain Services
-
Azure 上でホストされ、Microsoft が管理する AD DS。
-
従来のオンプレミス AD DS とほぼ同じ機能を持っていますが、Microsoft が管理する実際のドメインコントローラーへの管理アクセスがないため、一部制限があります。
-
Entra ID と自動的に同期し、オンプレミスの AD DS と同期される可能性があり、Azure で実行されている VM は、Windows OS の種類に関係なく参加できます (例: Windows 11/10/8/7 または Server 2008/2012/2016/2019)。
Microsoft Cloud サービス (Office 365、Azure Virtual Desktop (AVD)、Dynamics 365 など) を使用するには Entra ID が必要です。ユーザーがこれらのクラウドサービスにアクセスすると、すべてのユーザー認証は Entra ID で始まります。
"クラウドネイティブ" 展開を持つ組織では、ユーザー情報(例: ユーザー名、パスワード、グループメンバーシップなど) は Entra ID のみに存在し、他のディレクトリとは同期されません。顧客にオンプレミスの業務 (LOB) アプリケーションサーバーがなく、Azure で仮想デスクトップの導入も検討していない場合、この Entra ID のみのシナリオで十分であり、比較的シンプルかもしれません。
ほとんどの顧客は、オンプレミスで稼働している既存の LOB アプリケーションから始め、これらのワークロードを Azure に移行したり、Azure で稼働する新しい VM に再インストールしたり、AVD を使用して Azure で仮想デスクトップを導入したりすることを希望します。2021 年の冬以前は、LOB サーバーや仮想デスクトップ VM が正常に動作し、管理可能となるためには、Entra Domain Services ドメインに参加する必要があったため、AAD だけでは不十分でした。Microsoft は現在、AVD セッションホストに対して Entra ID Joined をサポートしており、Azure Files に対する Entra ID Joined のサポートも近日中に開始される予定です (2021 年 11 月現在)。
Azure で AD の機能を有効にするための方法は以下のとおりです。
-
Azure で自前の AD を構築する
-
Entra Domain Services PaaS。
概念的には、Azure 展開を作成する最も簡単な方法は次のとおりです。
-
サイト間 VPN でオンプレミスネットワークに接続します。
-
Azure に新しい VM をデプロイします。
-
VPN 経由で既存の Active Directory ドメインに参加させます。
-
ドメインコントローラーに昇格させ、適切なサイトやサブネットなどを構成します。
これにより、オンプレミスネットワークと Azure 展開の両方にまたがる AD 展開が実現され、サーバー VM を新しいドメインに再参加させる必要なく、またユーザーによるこれらの VM への接続を中断させることなく、オンプレミスから Azure へ移行できるようになります。
この展開の課題は、実装の難しさ、新しいドメインコントローラーの管理の必要性、そしてこれらのドメインコントローラーを稼働させるための追加 VM のコストにあります。利点は、以前に Active Directory を管理した経験がある方にとって分かりやすい展開と、完全な管理アクセスによる柔軟性が得られる点です。
Azure で自前の AD を構築する方法に関する課題に対処するため、Microsoft は Entra Domain Services を導入しました。なお、これを Entra ID と混同しないでください。
Entra Domain Services は、Microsoft が運用、監視、更新する Azure の PaaS オファリングで、管理者のアクセスは制限されています。Entra Domain Services の利点は、VM を展開および管理する必要がなく、オンプレミスのドメインと同期する際に VPN に依存しないことです。
Entra Domain Services が Azure サブスクリプションに展開されると、Microsoft は高可用性のドメインコントローラーを 2 台作成し、Entra ID からユーザーデータを同期します。
Entra Domain Services は、Entra ID に存在するユーザー、グループ、およびパスワードハッシュの読み取り専用コピーを含む新しいドメインです。 このデータは 20 分ごとに同期されます。 Azure VM はこの新しいドメインに参加でき、既存のユーザー名とパスワードを使用してこれらの VM に接続できます。これは、認証情報が Entra ID と同期されているためであり、Entra ID 接続を使用してオンプレミスの AD と同期される場合があります。
Entra ID 接続に関する詳細情報については、この Microsoft の記事を参照してください。
注意
-
Microsoft が Active Directory を展開および管理するため、管理者権限は付与されませんが、従来の AD 管理ツール (たとえば、Active Directory ユーザーとコンピューターやグループポリシー管理) を使用して接続、管理できます。
-
Entra Domain Services は、Entra ID 接続を使用して同期されている場合、既存のドメインのユーザーオブジェクトを持つ新しいドメインです。
-
Entra ID からこの新しいドメインに同期されたユーザーオブジェクトは読み取り専用です。 これらは、ソース AD (Entra ID 接続が使用されている場合) または Entra ID (顧客がクラウド専用の場合) でのみ変更できます。
-
Azure で VM を作成すると、この新しいドメインに参加します。 それらの VM はオンプレミスの既存のドメインの一部ではなく、Azure にある新しいドメインの一部です。
-
既存のオンプレミスのドメインに参加しているサーバーは、新しい Entra Domain Services ドメインの一部ではなく、ユーザーオブジェクトのみがレプリケートされます。Entra Domain Services とオンプレミス AD DS 環境との間に、認証を可能にする信頼関係はありません。
-
オンプレミスから Azure へのサーバーのリフトアンドシフト移行を行う際に、Entra Domain Services が有効になっている場合、サーバーを新しいドメインに参加させる必要があり、その後、既存のユーザーがアクセスできるようになります。 これにはサーバーの変更が必要です。
-
新しい Entra Domain Services ドメインを管理するために、RSAT がインストールされた "管理 VM " を Azure で実行する必要があります。
-
Office 365 のシングルサインオンを可能にする Active Directory フェデレーションサービス (AD_FS) 機能はサポートされていません。
-
ディレクトリスキーマ拡張機能はサポートされていません。
-
リージョン障害が発生した場合に、Entra Domain Services ドメインを他の Azure リージョンに切り替える方法はありません。
-
一度展開すると、展開を削除せずにコストを抑えるため、Entra Domain Services を一時停止することはできません。
コメント (0件のコメント)