LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

アカウントは社内のActive Directoryで管理しているのに、Microsoft 365のアカウントは別に増えていく。サーバーの更新が近づき、買い替えるかクラウドへ移すか決めかねている——。Windowsのドメインで社内を管理してきた会社では、こうした迷いが起こりがちです。Active Directory移行とは、ここでは社内のADが担ってきた管理を、Microsoftのクラウドの認証基盤Microsoft Entra ID（旧Azure AD）へ移す取り組みを指します。

移行は両方を並べて動かす期間を経て少しずつ進めます。ただし万能ではなく、古いアプリのようにすぐには移せないものも残ります。本記事では、情報システムの担当者に向けて、移行の全体像、ハイブリッド構成の考え方、同期ツールの選び方、移行の5ステップ、そして外部に頼むときに確認したい点を整理します。

Active Directory移行とは

Microsoftは、この移行を5つの状態を順に進むものとして説明し、大きな組織では複数年かかるのが一般的だとしています。^*1 移す対象は次の3つです。

• ユーザーとグループ：社員のアカウントと、権限をまとめるためのグループ
• デバイス：ドメインに参加している社員のPC
• アプリケーション：社内のアプリと、それを動かすドメイン参加のサーバー

注意したいのは、両者が同じ製品の新旧ではない点です。Entra IDには、ドメインやフォレスト（複数のドメインのまとまり）の信頼という考え方がありません。^*1 設定を写すのではなく、管理のやり方を置き換える移行になります。

LinuxのサーバーでWindowsのドメインを動かす方法はSamba ADとは？ドメインコントローラーの仕組みと導入を解説で、OpenLDAPからの移行はOpenLDAPとActive Directoryの違いで扱っています。本記事はEntra IDへ移す場合に絞ります。

ハイブリッド構成と完全クラウドの違い

移行の途中は、ADとEntra IDの両方を使うハイブリッド構成（社内とクラウドで同じアカウントを使う形）が続きます。5つの状態を整理すると次のとおりです。

Microsoftは、組織が最も長く過ごすのは状態3で、ADを一部残す終わり方もあるとしています。^*1 最初から状態5を目指すより、いまの状態と次に進む先を決めるほうが計画を立てやすくなります。

同期ツールの選び方

ハイブリッド構成の要は、ADのユーザーやグループをEntra IDへ写す同期です。Microsoftは最初の作業として、Entra ConnectかCloud Syncで同期を始めることを挙げています。^*2 前者は社内のサーバーで動くアプリケーション、後者は社内に軽いエージェント（中継役のプログラム）を置き、設定をクラウドで管理する仕組みです。

Microsoftは、新しい機能は主にCloud Syncで開発しており、ほとんどの組織に勧めるとしています。ただし、1ドメインのオブジェクトが15万を超える場合や複雑な同期ルールがある場合は、移す時期を見極めるよう案内しています。^*5 古いAzure AD Connect V1は2022年8月31日に廃止されています。^*4

移行の5ステップ

Microsoftの移行ガイドは、土台を作り、新しいものはクラウドで作るルールを決め、既存のものを移す順番を示しています。^*1 担当者の作業にすると次の5つです。

• ステップ1：現状を棚卸しする（ユーザーとグループ、ドメインに参加したPC、ADでログインを確かめているアプリを一覧にする）
• ステップ2：同期ツールを選び、ADとEntra IDの同期を始める
• ステップ3：サインインの確かめ方（認証方式）を選ぶ
• ステップ4：PCの参加方法を決める（いまのPCはハイブリッド参加、新しいPCはEntra IDに参加）
• ステップ5：アプリ、ファイル、印刷を順に移し、ADに残るものを減らす

ステップ3で、Microsoftはパスワードハッシュ同期（パスワードを元に戻せない形に変えて同期する方式）を強く勧めています。^*2 パススルー認証（サインインのたびに社内のADへ確かめる方式）は、アカウントのロックなどをすぐ反映したい企業向けです。^*6

ステップ4は、既存のPCをハイブリッド参加にし、新しいPCはEntra IDに参加させるのがMicrosoftの勧めです。^*2 管理はIntuneなどで行います（Intune導入支援の選び方）。つまずきやすいのはステップ5です。KerberosやLDAPでADに直接問い合わせる古いアプリは、^*3 改修か置き換えかを1本ずつ判断します。

外部に頼むときに確認しておきたい点

Active Directory移行は、PC・ネットワーク・アプリの担当者や人事までまたがる作業です。構築や移行を外部に頼むときは、見積もりの前に次の点を確かめておきます。

• どこまで頼むか：棚卸し、同期の設定、PCの参加方法の切り替え、アプリの移行のうち、どれを任せるか
• ADに頼るアプリの洗い出し：LDAPやKerberosでADに問い合わせているアプリを、どの方法で見つけるか
• 切り替えの試し方：一部の社員とPCから始めて、問題が無いことを確かめてから広げるか
• 止まったときの戻し方：同期サーバーや認証のエージェントが止まったとき、誰が気づき、どう戻すか
• 移行後に残るAD：ファイルや印刷など、すぐに移せないものの保守を誰が受け持つか

特に戻し方は決めないまま運用に入りやすい点です。パススルー認証では、Microsoftはエージェントを3つ置くよう勧め、障害時にパスワードハッシュ同期へは自動で切り替わらないとしています。^*6 環境づくり全体はAzure導入支援で頼める範囲で扱っています。

まとめ：Active Directory移行で確かめておきたい3つの点

Active Directory移行を進めるうえで、確かめておきたい点は3つに整理できます。第一に、5つの状態のうち自社がいまどこにいて、次にどこまで進むかを決めること。第二に、同期ツールとサインインの方式を、オブジェクトの数と使う機能で選ぶこと。第三に、ADに頼るアプリとファイル・印刷を洗い出し、移すものと残すものを分けることです。この3点を踏まえておけば、「移したはずが古いアプリのためにADも残り、管理する場所が2つに増えただけ」という事態を避けやすくなります。移行の順番や同期の設計に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Microsoft Learn「クラウドへの移行 – ID およびアクセス管理を Active Directory から Microsoft Entra ID に移行する場合にクラウドへの変革の体制を決定する」（https://learn.microsoft.com/ja-jp/entra/architecture/road-to-the-cloud-posture）。出典：移行の3つの中心要素、変革の5つの状態とその特徴、複数年かかること、ADとEntra IDは別個の製品でドメインとフォレストの信頼の概念が無いこと、おおまかな工程の記述を参照（2026年10月確認）
2. *2　参考：Microsoft Learn「クラウドへの道 – ID とアクセス管理を Active Directory から Microsoft Entra ID に移行するためのフットプリントを確立する」（https://learn.microsoft.com/ja-jp/entra/architecture/road-to-the-cloud-establish）。出典：必須のタスク（Entra ConnectまたはCloud Syncによる同期、パスワードハッシュ同期の推奨）と、既存のWindowsクライアントのハイブリッド参加・新しいデバイスのEntra参加の記述を参照（2026年10月確認）
3. *3　参考：Microsoft Learn「クラウドへの道 – ID とアクセス管理を Active Directory Domain Services (AD DS) から Microsoft Entra 移行ワークストリームに移動する」（https://learn.microsoft.com/ja-jp/entra/architecture/road-to-the-cloud-migrate）。出典：アプリケーションの分類（Kerberos・LDAP・NTLMなどのレガシプロトコルを使うアプリ）とアプリケーションの検出の記述を参照（2026年10月確認）
4. *4　参考：Microsoft Learn「Microsoft Entra Connect と Connect Health とは」（https://learn.microsoft.com/ja-jp/entra/identity/hybrid/connect/whatis-azure-ad-connect）。出典：Entra Connectがオンプレミスのアプリケーションであること、Azure AD Connect V1の廃止日、Cloud Syncへの移行の検討の記述を参照（2026年10月確認）
5. *5　参考：Microsoft Learn「Microsoft Entra Connect からクラウド同期への移行: 意思決定ガイド」（https://learn.microsoft.com/ja-jp/entra/identity/hybrid/cloud-sync/connect-to-cloud-sync-decision-guide）。出典：Connect SyncとCloud Syncの機能の比較表（切断されたフォレスト、ドメインあたりのスケール制限、グループのメンバー数、高度な同期規則など）と移行の準備状況の評価の記述を参照（2026年10月確認）
6. *6　参考：Microsoft Learn「Microsoft Entra ハイブリッド ID ソリューションの適切な認証方法を選択する」（https://learn.microsoft.com/ja-jp/entra/identity/hybrid/connect/choose-ad-authn）。出典：パスワードハッシュ同期・パススルー認証の説明、同期の間隔、パススルー認証のエージェント数とフェールオーバーの記述を参照（2026年10月確認）
7. *7　参考：Microsoft Learn「Microsoft Entra 参加済みデバイスとは何ですか?」（https://learn.microsoft.com/ja-jp/entra/identity/devices/concept-directory-join）。出典：Entra参加の対象となるオペレーティングシステムの記述を参照（2026年10月確認）

Tweet