Entra ハイブリッド参加からEntra参加への移行

前提
Entra Connect/Entra ID側
クライアント側
1. ドメイン離脱
2. 移行における注意点
  1. 参考

前提

Microsoft Entra Connect を利用して同期中

Entra Connect/Entra ID側

同期方式が PHS(パスワードハッシュ同期) の場合

1. PHS では、Microsoft Entra ID に同期されたパスワードハッシュを使用して、Microsoft Entra ID 側で認証が行われます。
そのため、オンプレミス AD を廃止する前に、対象となるすべてのユーザーについて最新のパスワードハッシュが正常に同期されていることを確認します。

2. 複数の代表的なテストユーザーを使用して、クラウドサービスへのサインインが成功することを確認します。確認後、後述の共通手順に従ってディレクトリ同期を停止します。

既存のパスワードハッシュを引き続き使用できるため、通常、移行に伴う全ユーザーの一括パスワードリセットは必要ありません。

同期方式が PTA(パススルー認証）の場合

PTA では、オンプレミスに配置された PTA エージェントを経由し、オンプレミス AD に対してパスワードが検証されます。
このため、PTA のままオンプレミス AD または PTA エージェントを停止すると、ユーザーがサインインできなくなる可能性があります。

なお、PTA 環境でも PHS が併用されている場合があります。
ただし、PHS が有効であっても、PTA から PHS への認証方式の切り替えは自動では行われません。

オンプレミス AD を廃止する前に、以下を実施します。

1. Microsoft Entra Connect の [構成] から同期オプションのカスタマイズを開き、[オプション機能] で PHS が有効になっていることを確認します。

2. PHS が無効である場合は有効化し、対象となるすべてのユーザーについて、完全なパスワードハッシュ同期が完了したことを確認します。
また、PHS の診断結果およびイベントログを確認し、パスワードハッシュ同期にエラーが発生していないことを確認します。

3. Microsoft Entra Connect の [構成] – [ユーザーサインインの変更] から、サインイン方式を PHS に変更します。

4. サインイン方式を PHS に変更した後、複数の代表的なテストユーザーでクラウドサービスへのサインインを実施します。
あわせて、Microsoft Entra ID のサインインログで、対象ユーザーのサインインが成功していることを確認します。

5. 後述の共通手順に従ってディレクトリ同期を停止します。

PHS を使用せずに移行する場合、Microsoft Entra ID 側に利用可能なパスワードがないユーザーについては、クラウド側であらためてパスワードを設定する必要があります。

共通手順

1. オンプレミス AD や Microsoft Entra Connect に依存しない、クラウド専用の緊急用管理者アカウントを用意し、サインインできることを確認します。

2. Microsoft Entra Connect に同期エラーがないこと、および対象となるユーザー、グループ、UPN、必要な属性が最新の状態まで同期されていることを確認します。

3. 移行作業中はオンプレミス AD 側の変更を停止し、最終同期を実行します。
※ユーザーをオンプレミス AD から削除したり、先に同期対象 OU から除外したりしないようにします。
先にこれらの操作を行うと、Microsoft Entra ID 側の同期ユーザーが削除される可能性があります。

4. PHS によるサインインを確認した後、Microsoft Entra Connect をアンインストールします。
PTA を使用していた場合は、サインイン方式を PHS に変更し、PHS によるサインインを確認した後、追加の PTA エージェントもアンインストールします。

・Microsoft 365 のディレクトリ同期をオフにする
https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/turn-off-directory-synchronization
＜抜粋＞
テナントでの同期を完全に無効にする場合は、最初に同期クライアント (Connect Sync や Cloud Sync など) をアンインストールする必要があります。

5. Microsoft Graph PowerShell を使用して、テナントのディレクトリ同期を無効化します。
これにより、同期されていたユーザーおよびグループがクラウド管理へ変換されます。

6. 管理ポータルより、ディレクトリ同期の状態が無効になったことを確認します。

7. ユーザーおよびグループを Microsoft Entra ID 側から編集できること、ならびにユーザーのサインインやパスワード変更が正常に行われることを確認します。

8. 一定期間、問題が発生しないことを確認した後、オンプレミス AD を廃止します。

なお、テナントのディレクトリ同期を無効化した後、再度有効化する場合は、無効化の操作から 72 時間待つ必要があります。

クライアント側

ドメイン離脱

ドメイン離脱後は Entra ハイブリッド参加も自動的に解除されるため、既存の Entra ID へのデバイス登録について追加の削除作業は不要です。
一方で、Entra 参加については、デバイス登録の観点から以下紹介します。

<Entra 参加の展開方法>
展開方法は以下の 3 つがあります。
・OOBE / 設定でのセルフサービス
・Windows Autopilot (Intune ライセンス要)
・一括登録 (Intune ライセンス要)

運用要件や展開規模に応じて適切な方法を選択する必要があります。詳細については以下の公開情報を参照ください。

・OOBE / 設定でのセルフサービス
https://support.microsoft.com/ja-jp/account-billing/–ef4d6adb-5095-4e51-829e-5457430f3973

・Windows Autopilot
https://docs.microsoft.com/ja-jp/mem/autopilot/windows-autopilot
https://docs.microsoft.com/ja-jp/mem/autopilot/enrollment-autopilot#create-an-autopilot-deployment-profile
https://docs.microsoft.com/ja-jp/mem/autopilot/profiles

・一括登録
https://docs.microsoft.com/ja-jp/mem/intune/enrollment/windows-bulk-enroll

移行における注意点

Entra ハイブリッド参加で利用していたユーザープロファイルは、Entra 参加へ移行する際にそのまま再利用することができません。
そのため、既存のローカルプロファイル上のデータやユーザー設定を新しいプロファイルへ移行する必要があり、移行作業に伴うユーザー影響が発生する可能性があります。
このような影響を最小限に抑えるため、PC のリプレースのタイミングにあわせて移行を実施するのが推奨されています。