用語の確認
Entra ハイブリッド参加とは
UPN(User Principal Name)とは
AD や Entra IDで使う「ユーザーのログイン名」のこと。
「UPNプレフィックス」と「UPNサフィックス」で構成される
AD環境でドメイン名やUPNサフィックスにインターネット上で名前解決できないドメインを利用している組織は多い
（例）
ADドメイン名：contso.local
UPNサフィックス：contso.local （※既定ではADドメイン名が使用される）
実現したいこと
UPNサフィックスに「.local」のようなインターネットで名前解決できないドメインを利用している環境における Entra ハイブリッド参加
問題点：UPNサフィックスが「.local」のままではEntra ハイブリッド参加ができない
原因
UPNサフィックスに「.local」のようなインターネットで名前解決できないドメインを利用しているため（そういう仕様）。
※ 問題となるのはUPNサフィックスであり、ADドメイン名自体が contso.local であること自体は、この制約の対象ではない
※ 一般的なEntraハイブリッド参加の実現方法であるPHS／PTA構成でこの問題が発生する。 AD FS構成では問題は発生しない（ただし、AD FS自体レガシーな仕組みであり、極力利用しない方がよい）
解決方法：UPNサフィックスをインターネットで名前解決可能なドメインへ変更する
【ポイント】
・ドメイン名自体の変更は不要
・UPN変更は、UPNを識別子として利用している業務システム・スクリプト等に影響する可能性があるため注意が必要
よくある追加要件①：社員番号UPNプレフィックスとは別のExchange Onlineメールアドレスを使いたい
実現したいこと
ADのUPNプレフィックスに、社員番号を利用しているケースがある。
その場合、Exchange Onlineのメールアドレスにも、社員番号が含まれてしまい、使い勝手が悪い
※ Entra IDのメールアドレス属性（Primary SMTP Address)は、オンプレADのメールアドレス属性（mail／proxyAddresses）の設定状況に依存します。上記図のようにオンプレADのメールアドレス属性（mail／proxyAddresses）が空の場合は、UPN属性の値を元に、Entra IDのメールドレス属性（Primary SMTP Address)が設定されます。
実現方法：メールアドレス属性を個別に設定
たまにある追加要件②：Entra ID の UPN属性もExchange Onlineメールアドレスと同じ値にしたい
実現したいこと
実現方法
※代替ログインIDは、すべての Microsoft 365 ワークロードと互換性があるわけではありません。そのため、特別な理由がない限りは、利用しないのが無難だと思います。
※メールアドレス属性をEntra IDへのサインインIDとして利用したいだけであれば、「Entra IDのメールによる代替サインイン」という選択肢もあります（この場合、Enra IDのUPN属性は変更する必要はありません）
コメント