Microsoft Entra Connect のカスタム インストールにおける「Microsoft Entra サインインの構成」ページの [User Principal Name] ドロップダウンで選択可能な属性について（代替ログインIDとして選択可能な属性について）
選択可能な属性の条件
当該ドロップダウンに表示される属性は、接続したオンプレミス Active Directory のスキーマに基づいて動的に一覧表示されます。具体的には、以下の条件を満たす属性が選択候補として表示されます。
– 単一値 (Single-valued) の文字列型属性であること
– メタバース (AD コネクタ スペース) に同期されている属性であること
そのため、選択肢の一覧はオンプレミス AD フォレストのスキーマ構成 (カスタム属性やスキーマ拡張を含む) に依存し、環境ごとに異なる場合があります。
代表的な選択可能属性
一般的な Active Directory 環境では、以下のような属性がドロップダウンに表示されます。
– userPrincipalName (既定値・推奨)
– msDS-cloudExtensionAttribute1 ~ 15
公開情報では、代替属性の例として「mail (電子メール)」が挙げられています。
参考: Microsoft Entra Connect のカスタム インストール – Microsoft Entra サインインの構成
/////一部抜粋/////
userPrincipalName 属性がルーティング不可能で、検証できない場合は、別の属性を選択できます。 たとえば、サインイン ID を保持する属性として電子メールを選択することができます。
userPrincipalName 以外の属性を使用する場合、これは “代替 ID" と呼ばれます。
/////一部抜粋/////
選択した属性値に対する要件
どの属性を選択する場合でも、その属性値が以下の要件を満たす必要があります。
1. RFC 822 形式 (username@domain の形式) に従っていること
2. Active Directory において多値属性として定義されていないこと (値が 1 つのみであっても、スキーマ上多値として定義されている属性は不可)
3. サフィックス (ドメイン部分) が Microsoft Entra ID で検証済みカスタム ドメインに一致していること (一致しない場合は .onmicrosoft.com に置換されます)
参考: Microsoft Entra Connect のユーザー サインイン オプション
★多値属性とは？
1つの項目に「値を複数入れられる属性」。
単一値属性
→ 値は1つだけ
例：displayName = 山田太郎
多値属性
→ 値を複数持てる（配列みたいなイメージ）
例：proxyAddresses = {a@example.com, b@example.com}memberOf = {GroupA, GroupB}
★上記理由により、proxyAddressesは、代替ログインIDとして利用できません
（参考: Microsoft Entra Connect のカスタム インストール – Microsoft Entra サインインの構成）
/////一部抜粋/////
代替 ID の属性値は、RFC822 標準に従う必要があります。 代替 ID は、パスワード ハッシュの同期、パススルー認証、およびフェデレーションで使用できます。
Active Directory では、値が 1 つのみであってもこの属性を複数値として定義できません。
/////一部抜粋/////
注意事項
① Microsoft としては、既定の userPrincipalName 属性をそのまま使用することが推奨している
②代替 ログインID の使用は、すべての Microsoft 365 ワークロードと互換性があるわけではない
②についての補足
代替ログイン ID を使用した場合の Microsoft 365ワークロードへの影響については、以下の公開情報に対応表が記載されています。
参考: 代替ログイン ID の構成
ただし、上記公開情報の対応表に記載されている制約は、主に先進認証 (Modern Authentication) が有効でない環境や、既にサービス終了した Skype for Business、および旧バージョンの Office クライアントを対象とした内容です
2026 年現在の環境においては、上記対応表に記載されているような制約は実質的に該当しない状況です（MSサポート確認済み）
そのため、現行の環境において代替 ログインID を使用された場合に、Microsoft 365 ワークロードに大きな影響が生じることは想定されません（MSサポート確認済み）
参考情報
Microsoft Entra Connect で代替属性を UPN として同期する方法とは別のアプローチとして、「代替ログイン ID としてメール アドレスを使用して Microsoft Entra ID にサインインする」というプレビュー機能があります。
この機能は、オンプレミスとクラウドの UPN を同じ値で同期したうえで (UPN は変更しない)、ユーザーの proxyAddresses 属性に含まれるメール アドレスでサインインできるようにする仕組みです。Microsoft Entra Connect のドロップダウンで別の属性を選択するわけではないため、上記②の「代替ログイン ID の互換性制限」とは異なるカテゴリの機能となります。
ただし、本機能は現時点でプレビュー段階であり、Microsoft Entra ハイブリッド参加デバイスでのサインインがサポートされない等の制約があります。
詳細につきましては以下の公開情報に記載されています。
参考: 代替ログイン ID としてメール アドレスを使用して Microsoft Entra ID にサインインする (プレビュー)