ラボ 07: 省略可能 — Microsoft Entra Connect を使用してハイブリッド ID を追加する

このラボは、ラボホスト以外の環境でのみ機能します。個人用アカウントを使用して試す場合は、動作するはずです。クラス内では実行できません。

注 - このラボには、省略可能というタイトルが付いています。完了には少なくとも 1 時間かかります。ラボの手順で詳しく説明する必要があります。時間の許す限り、自由に行ってください。会社でハイブリッド構成を既に設定している場合、または Microsoft Entra Connect を使用する予定がない場合は、このラボを省略してください。

ラボのシナリオ

会社にはオンプレミスの Active Directory Domain Services があります。 ID およびアクセス管理ソリューションとしてオンプレミスの Active Directory を引き続き使用したいと考えていますが、ユーザーが同じユーザー名とパスワードでクラウドアプリケーションにアクセスできるようにする必要もあります。

予想所要時間: 60 分

演習 1 - オンプレミスインフラストラクチャを設定する

タスク 1 - オンプレミスの Active Directory インフラストラクチャを作成する

デプロイテンプレートにはこのリンクからアクセスできます: オンプレミスのテストラボガイド。

学習者と MCT への注意 - このテンプレートのデプロイには 30 分から 60 分かかる場合があるため、この手順で休憩を取るか、コースの講義セクションの前にデプロイを実行する準備をしてください。

ラボプロバイダーへの注意 - 可能であれば、ラボ環境のセットアップの一部として完了してデプロイすることが学生に役立ちます。
[TLG (テストラボガイド) - 3 VM 基本構成 (v1.0)] ページで、 [Azure へのデプロイ] を選択します。

注 - 3 VM 基本構成では、指定したドメイン名を使用して DC1 という名前の Windows Server 2016 Active Directory ドメインコントローラーと、Windows Server 2016 を実行している APP1 という名前のドメインメンバーサーバーがプロビジョニングされます。また、Windows 10 を実行しているクライアント VM をプロビジョニングするオプションも提供されますが、ラボでは使用しません (主に、Azure で VM Windows 10 を実行するときに適用されるライセンス要件が原因です)。ドメインメンバーサーバー (APP1) には、.NET 4.5 と IIS が自動的にインストールされています。

注 - このラボに必要な VM は DC1 です。
[カスタムデプロイ] ページで、次の設定を指定し、 [確認と作成] を選択してから [作成] を選択します。
- リソースグループ: (新規作成) hybrididentity-RG
- 場所: ラボ環境の Azure VM をホストする Azure リージョンの名前。
- 構成名:TlgBaseConfig-01
- ドメイン名: corp.contoso.com
- サーバー OS:2016-Datacenter
- 管理者ユーザー: demouser
- 管理パスワード: 覚えておく必要があるセキュリティで保護されたなパスワードを入力します
- クライアント VM をデプロイする:”いいえ”
- クライアント VHD URI: 空白のままにします
- VM サイズ:Standard_D2s_v3
注 - サブスクリプションで一覧表示されているサイズがサポートされていない場合は、同様の VM サイズを使用します。ドキュメントは https://docs.microsoft.com/en-us/azure/virtual-machines/windows/sizes にあります。
- DNS ラベルプレフィックス:有効なグローバルに一意の DNS 名 (文字、数字、ハイフンで構成される一意の文字列。文字で始まり、最大 47 文字まで)。
- _artifacts の保存先:”既定値をそのまま使用します”
- _アーティファクトロケーション SAS トークン: 空白のままにする
[確認および作成] を選択します。
検証に合格したら、 [作成] を選択します。
デプロイが完了するまで待ちます。これには 60 分ほどかかる場合があります。

タスク 2 - ラボ環境の Azure VM を構成する

Azure portal が表示されているブラウザーウィンドウで、DC1 Azure VM に移動し、リモートデスクトップ経由で接続します。サインインを求められたら、次の認証情報を使用してサインインします。
- ユーザー名: demouser
- パスワード: タスク 1 で作成したセキュリティで保護されたパスワードを使用します
DC1 へのリモートデスクトップセッション内で、Windows PowerShell ISE を起動し、[スクリプト] ウィンドウを開きます。次に、[スクリプト] ウィンドウに次のスクリプトを追加して実行し、DC1 と APP1 の両方の Azure VM で、Internet Explorer セキュリティ強化の構成とユーザーアクセス制御を無効にします。
```
$vmNames = @('dc1','app1')
Invoke-Command -ComputerName $vmNames {Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Active Setup\Installed Components\{A509B1A7-37EF-4b3f-8CFC-4F3A74704073}" -Name "IsInstalled" -Value 0}
Invoke-Command -ComputerName $vmNames {Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Active Setup\Installed Components\{A509B1A8-37EF-4b3f-8CFC-4F3A74704073}" -Name "IsInstalled" -Value 0}
Invoke-Command -ComputerName $vmNames {Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "ConsentPromptBehaviorAdmin" -Value 00000000}
```
注: 同じファイルで複数の PowerShell スクリプトを実行するために、特定のスクリプトを強調表示し、緑色の再生ボタンの横にある [選択範囲の実行] を選択できます。
[Windows PowerShell ISE] ウィンドウ内で、スクリプトペインに次のスクリプトを追加し、それを実行して DC1* と **APP1 の両方の Azure VM にリモートサーバー管理ツールをインストールします。
```
$vmNames = @('dc1','app1')
Invoke-Command -ComputerName $vmNames {Install-WindowsFeature RSAT -IncludeAllSubFeature} 
```

[Windows PowerShell ISE] ウィンドウ内で、スクリプトペインに次のスクリプトを追加し、それを実行して DC1* と **APP1 の両方の Azure VM で TLS 1.2 を有効にします。


$vmNames = @('dc1','app1')
Invoke-Command -ComputerName $vmNames {New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force}
Invoke-Command -ComputerName $vmNames {New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force}
Invoke-Command -ComputerName $vmNames {New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'Enabled' -value 1 –PropertyType DWORD}
Invoke-Command -ComputerName $vmNames {New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'DisabledByDefault' -value 0 –PropertyType DWORD}
Invoke-Command -ComputerName $vmNames {New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'Enabled' -value 1 –PropertyType DWORD}
Invoke-Command -ComputerName $vmNames {New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'DisabledByDefault' -value 0 –PropertyType DWORD}
Invoke-Command -ComputerName $vmNames {New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value 1 –PropertyType DWORD}

[Windows PowerShell ISE] ウィンドウ内で、次のスクリプトをスクリプトペインに追加し、それを実行してAPP1 Azure VM でホストされている既定の Web サイトで Windows 統合認証を構成します。


$vmNames = @('app1')
Invoke-Command -ComputerName $vmNames {Enable-WindowsOptionalFeature -Online -FeatureName IIS-WindowsAuthentication}
Invoke-Command -ComputerName $vmNames {Set-WebConfigurationProperty -Filter "/system.webServer/security/authentication/anonymousAuthentication" -Name Enabled -Value False -PSPath IIS:\ -Location "Default Web Site"}
Invoke-Command -ComputerName $vmNames {Set-WebConfigurationProperty -Filter "/system.webServer/security/authentication/windowsAuthentication" -Name Enabled -Value True -PSPath IIS:\ -Location "Default Web Site"}

タスク 3 - Azure VM を再起動する

[Windows PowerShell ISE] ウィンドウ内で、コンソールペインから以下を実行して APP1 を再起動します。
```
 Restart-Computer -ComputerName 'APP1'
```
[Windows PowerShell ISE] ウィンドウ内で、コンソールペインから以下を実行して DC1 を再起動します。
```
 Restart-Computer -ComputerName 'DC1'
```

タスク 5 - ccontoso.local Active Directory を構成する

リモートデスクトップ経由で DC1 Azure VM にもう一度接続します。サインインを求められたら、次の認証情報を使用してサインインします。
- ユーザー名: demouser
- パスワード: demo\@pass123 - 覚えておくことができる安全なパスワードを入力することを強くお勧めします。
DC1 へのリモートデスクトップセッション内で、Internet Explorer を起動して、以下のリンクに移動します。
```
https://github.com/microsoft/MCW-Hybrid-identity/tree/main/Archive/Hands-on%20lab/studentfiles
```
[Active Directory デモ/テスト環境のユーザー/グループの作成] ページで、 [CreateDemoUsers.ps1] リンクを選択し、ライセンス条項に同意して、対応するスクリプトをローカルファイルシステムに保存します。
[Active Directory デモ/テスト環境のユーザー/グループの作成] ページで、 [CreateDemoUsers.csv] リンク (PowerShell コードセクションのすぐ上) を選択し、対応する csv ファイルを CreateDemoUsers.ps1 ファイルと同じ場所に保存します。
DC1 へのリモートデスクトップセッション内で、エクスプローラーを起動し、両方のファイルをダウンロードしたフォルダーに移動し、ファイル CreateDemoUsers.ps1 を右選択し、 [プロパティ] を選択し、 [CreateDemoUsers.ps1 のプロパティ] ダイアログボックスで [ブロック解除] チェックボックスをオンにして、 [OK] を選択します。
エクスプローラーウィンドウ内で、もう一度ファイル CreateDemoUsers.ps1 を右選択し、 [編集] を選択します。
[管理者:Windows PowerShell ISE] ウィンドウで、148 行目を次のように変更します。
```
 $UserCount = 1000 #Up to 2500 can be created
```
to
```
 $UserCount = 2500 #Up to 2500 can be created
```
[Windows PowerShell ISE] ウィンドウで、変更を保存し、CreateDemoUsers.ps1 スクリプトを実行してラボ環境の組織単位階層を作成し、テストユーザーアカウントを設定します。

[Windows PowerShell ISE] ウィンドウ内で、次のスクリプトをスクリプトペインに追加し、それを実行して、このラボで使用する AD ユーザーアカウントの設定を変更します。


$adUser1 = Get-ADUser -Filter {samAccountName -eq "AGAyers"}
$adUser1groups = $adUser1 | Get-ADPrincipalGroupMembership 
$adUser1groups | foreach { if ($_.name -ne 'Domain Users') {Remove-ADPrincipalGroupMembership -MemberOf $_.name -Identity $adUser1.DistinguishedName} }
Add-ADPrincipalGroupMembership -MemberOf 'Engineering' -Identity $adUser1.DistinguishedName
Move-ADObject -Identity $adUser1.DistinguishedName -TargetPath 'OU=NJ,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com'

Set-ADAccountPassword -Identity 'CN=Ayers\, Ann,OU=NJ,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com' -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "demo@pass123" -Force)

$adUser2 = Get-ADUser -Filter {samAccountName -eq "TFBell"}
$adUser2groups = $adUser2 | Get-ADPrincipalGroupMembership 
$adUser2groups | foreach { if ($_.name -ne 'Domain Users') {Remove-ADPrincipalGroupMembership -MemberOf $_.name -Identity $adUser2.DistinguishedName} }
Add-ADPrincipalGroupMembership -MemberOf 'Engineering' -Identity $adUser2.DistinguishedName
Move-ADObject -Identity $adUser2.DistinguishedName -TargetPath 'OU=VT,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com'

Set-ADAccountPassword -Identity 'CN=Bell\, Teresa,OU=VT,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com' -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "demo@pass123" -Force)
Get-ADGroup -Identity 'Domain Admins' | Add-ADGroupMember -Members 'CN=Ayers\, Ann,OU=NJ,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com'
Get-ADGroup -Identity 'Enterprise Admins' | Add-ADGroupMember -Members 'CN=Ayers\, Ann,OU=NJ,OU=US,OU=Users,OU=Demo Accounts,DC=corp,DC=contoso,DC=com'

[Windows PowerShell ISE] ウィンドウ内で、スクリプトペインに次のスクリプトを追加し、それを実行して Servers と Clients という名前の追加の組織単位を作成し、APP1 コンピューターアカウントを 1 つ目に移動します。


New-ADOrganizationalUnit -Name 'Servers' -Path 'OU=Demo Accounts,DC=corp,DC=contoso,DC=com'
New-ADOrganizationalUnit -Name 'Clients' -Path 'OU=Demo Accounts,DC=corp,DC=contoso,DC=com'

Move-ADObject -Identity 'CN=APP1,CN=Computers,DC=corp,DC=contoso,DC=com' -TargetPath 'OU=Servers,OU=Demo Accounts,DC=corp,DC=contoso,DC=com'

DC1 からサインアウトします。

演習 2:Active Directory フォレストを Azure Active Directory テナントと統合する

タスク 1:Azure Active Directory テナントを作成し、EMS E5 試用版をアクティブ化する

このタスクでは、次の設定で Azure Active Directory テナントを作成します。

組織名:Contoso
初期ドメイン名:有効な一意のドメイン名。
国またはリージョン:米国

ラボコンピューターから新しい Web ブラウザーウィンドウを起動し、Azure portal (https://portal.azure.com) に移動します (まだの場合)。
メッセージが表示されたら、Before Hands-On Lab 演習でリソースをデプロイした Azure サブスクリプションにサインインします。
ラボコンピューターで、Azure portal の [+ リソースの作成] を選択します。
[新規] ページの [Marketplace の検索] テキストボックスに「Azure Active Directory」と入力し、結果のリストで [Azure Active Directory] を選択します。
[Azure Active Directory] ページで、 [作成] を選択します。
[ディレクトリの作成] ページで、次の設定を指定して、 [作成] を選択します。

[基本] タブ: - テナントの種類を選択する: [Azure Active Directory] を選びます

[構成] タブ: - 組織名:Contoso

-   初期ドメイン名:有効な一意のドメイン名。

-   国またはリージョン:**米国**

作成されたら、Azure Active Directory を開きます。
[概要] ページで、 [テナントの管理] を選びます。
新しく作成したディレクトリにチェックを入れます。
ページの上部にある [切り替え] を選びます。

注:すべてが正しく表示されるまで数分かかる場合があります。
[Contoso - 概要] ページで、 [ユーザー] を選択します。
この新しいテナントには単一の ExternalAzureAD ユーザーしかいないことに注意してください。

タスク 2: このディレクトリを管理するように Azure AD ユーザーを作成して構成する

ラボコンピューターで、Azure portal の [Contoso - 概要] ページに戻ります。
[Contoso - 概要] ページで、左側のナビゲーションの [管理] の下にある [ユーザー] を選択します。
[ユーザーすべてのユーザー] ページで、ユーザーアカウントを表すエントリを選択します。
ユーザーアカウントの [プロファイル] ページで、 [編集] を選択します。
[設定] セクションの [使用場所] ドロップダウンリストで、 [米国] エントリを選び、 [保存] を選択します。

新しい管理者を作成する

[新しいユーザー] ページで、 [ユーザーの作成] オプションがオンになっていることを確め、次の設定を指定して [作成] を選択します。
- ユーザー名: john.doe @your Azure AD テナントドメイン名。ここで、ご利用の Azure AD テナントドメイン名は、Contoso Azure AD テナントの作成時に指定したドメイン名です。
- 名前: john.doe
- 名:John
- 姓:Doe
- パスワード: パスワードの自動生成
- パスワードの表示: 有効にしてから、必ずパスワードをコピーしてください。
- グループ:グループは選択されていません
- ロール:全体管理者
- サインインのブロック: いいえ
- 利用場所:米国
- 役職:空白のままにします
- 部署:空白のままにします
注: [ユーザー名] と [パスワード] の値をメモ帳にコピーします。これらは、このラボの後半で必要になります。

タスク 5:Contoso Active Directory フォレストで DNS サフィックスを構成する

このタスクでは、新しく検証された Azure AD カスタムドメイン名と一致するように、Contoso Active Directory フォレストの DNS サフィックスを構成します。

ラボコンピューターの Azure portal で、Before Hands-On Lab 演習でリソースをデプロイした Azure サブスクリプションに関連付けられている Azure AD テナント (既定のディレクトリ) にサインインしていることを確認します。そうでない場合は、Azure portal のツールバーにある [ディレクトリ + サブスクリプション] アイコン (Cloud Shell アイコンの右側) を選択して、その Azure AD テナントに切り替えます。
Azure portal で、DC1 仮想マシンのページに移動します。
DC1 仮想マシンページで、リモートデスクトップ経由で DC1 に接続します。サインインを求められたら、demouser 名と demo\@pass123 パスワードを使用します。
DC1 へのリモートデスクトップセッション内で、 [サーバーマネージャー] ウィンドウの [ツール] にある [Active Directory ドメインと信頼関係] コンソールを起動します。
[Active Directory ドメインと信頼関係] コンソールで、左側の [Active Directory ドメインと信頼関係 [DC1.corp.contoso.com]] を右選択し、 [プロパティ] を選択します。
[Active Directory ドメインと信頼関係 [DC1.corp.contoso.com]] ウィンドウの [UPN サフィックス] タブで、 [代替 UPN サフィックス] テキストボックスに、前のタスクで検証したカスタムドメインの名前を入力し、 [追加] を選択してから、 [OK] を選択します。
DC1 へのリモートデスクトップセッション内で、 [サーバーマネージャー] ウィンドウの [ツール] にある [Active Directory ユーザーとコンピューター] コンソールを起動します。
[Active Directory ユーザーとコンピューター] コンソールで、左側の [corp.contoso.com] を展開し、ドメインの組織単位階層とドメイングループのグループメンバーシップを確認します。
DC1 へのリモートデスクトップセッション内で、Windows PowerShell ISE を起動し、[スクリプト] ペインで以下を実行して、 [エンジニアリング] グループのメンバーであるすべてのユーザーの UPN サフィックスを、Contoso Azure AD テナントのカスタムの検証済みドメイン名に一致するものに置き換えます (プレースホルダー <custom_domain_name> は、Contoso Azure AD テナントに割り当てたカスタムの検証済みドメイン名の実際の名前に置き換えます)。
```
$domainName = '<custom_domain_name>'
$users = Get-ADGroupMember -Identity 'Engineering' -Recursive | Where-Object {$_.objectClass -eq 'user'}

foreach ($user in $users) {
    $user = Get-ADUser -Identity $User.SamAccountName
    $userName = $user.UserPrincipalName.Split('@')[0] 
    $upn = $userName + "@" + $domainName 
    $user | Set-ADUser -UserPrincipalName $upn
}
```

タスク 6: Microsoft Entra Connect をインストールする

このタスクでは、Microsoft Entra Connect をインストールします。

DC1 へのリモートデスクトップセッション内で、[サーバーマネージャー] の [ローカルサーバー] を選択し、 [IE セキュリティ強化の構成] が無効になっていることを確かめます。そうでない場合は、 [IE セキュリティ強化の構成] の横にある [オン] リンクを選択し、 [管理者] 設定を [オフ] に設定し、 [OK] を選択します。

DC1 へのリモートデスクトップセッション内で、 [Windows PowerShell ISE] ウィンドウを開き、このコマンドを実行して Chrome ブラウザーをインストールします。

 $LocalTempDir = $env:TEMP; $ChromeInstaller = "ChromeInstaller.exe"; (new-object System.Net.WebClient).DownloadFile('http://dl.google.com/chrome/install/375.126/chrome_installer.exe', "$LocalTempDir\$ChromeInstaller"); & "$LocalTempDir\$ChromeInstaller" /silent /install; $Process2Monitor = "ChromeInstaller"; Do { $ProcessesFound = Get-Process | ?{$Process2Monitor -contains $_.Name} | Select-Object -ExpandProperty Name; If ($ProcessesFound) { "Still running: $($ProcessesFound -join ', ')" | Write-Host; Start-Sleep -Seconds 2 } else { rm "$LocalTempDir\$ChromeInstaller" -ErrorAction SilentlyContinue -Verbose } } Until (!$ProcessesFound)

DC1 へのリモートデスクトップセッション内で、Chrome ブラウザーを起動し、Azure portal (https://portal.azure.com) に移動します。
サインインを求められたら、この演習で先ほどメモ帳にコピーした john.doe Microsoft Entra ユーザーアカウントの資格情報を入力します。
メッセージが表示されたら、john.doe ユーザーアカウントのパスワードを変更します。

注:’‘同じパスワードがこれまでに何度も使われています。より推測されにくいパスワードをお選びください’’ というメッセージが表示されたら、受け入れられるほど十分に一意になるまでパスワードを変更する必要があります。
サインインしたままにするかどうかを確認するメッセージが表示された場合は、 [いいえ] を選択します。 Azure portal インターフェイスにリダイレクトされます。
[Microsoft Azure へようこそ] ダイアログボックスが表示された場合は、 [後で] を選択します。
Azure portal で、Microsoft Entra Connect を検索します。
検索結果ページで、[Microsoft Entra Connect] を選択します。
[Microsoft Entra Connect] ページで、[Microsoft Entra Connect のダウンロード] リンクを選択します。その後、メニューから [Connect 同期] を選びます。
Microsoft ダウンロードサイトの [Microsoft Azure Active Directory Connect V2] Web ページで、[ダウンロード] を選択します。
AzureADConnect.msi を実行するか保存するかを確認するメッセージが表示されたら、 [実行] を選択します。これにより、ファイルがダウンロードされ、 [Microsoft Azure Active Directory Connect] ウィザードが自動的に起動します。
[Azure AD Connect へようこそ] ページで、 [ライセンス条項とプライバシーに関する声明に同意します] ボックスをオンにし、 [続行] を選択します。
[簡単設定] ページで、 [カスタマイズ] ボタンを選択します。
[必要なコンポーネントをインストールする] ページで、オプションの構成オプションをすべて選択解除したままにして、 [インストール] を選択します。
[ユーザーサインイン] ページで、 [パススルー認証] オプションと [シングルサインオンを有効にする] チェックボックスをオンにし、 [次へ] を選択します。
[Azure AD に接続] ページで、john.doe アカウントの資格情報を使用してサインインし、 [次へ] を選択します。
[ディレクトリの接続] ページで、corp.contoso.com エントリが [フォレスト] ドロップダウンリストに表示されていることを確めて、 [ディレクトリの追加] を選択します。 [AD フォレストアカウント] で、 [新しい AD アカウントの作成] オプションがオンになっていることを確め、 [エンタープライズ管理者ユーザー名] テキストボックスに「CORP.CONTOSO.COM\demouser」と入力し、 [パスワード] テキストボックスに「demo\@pass123」と入力して [OK] を選択します。
[ディレクトリの接続] ページに戻り、 [次へ] を選択します。
[Azure AD サインイン構成] ページで、カスタムドメイン名が検証済みの Active Directory UPN サフィックスとして一覧表示されていること、および userPrincipalName エントリが [ユーザープリンシパル名] ドロップダウンリストに表示されていることを確めます。 UPN サフィックスが検証済みのドメイン名と一致しない場合は、ユーザーがオンプレミスの資格情報を使用して Azure AD にサインインできないことを示す警告に注意してください。 [一部の UPN サフィックスが検証済みドメインに一致していなくても続行する] ボックスをオンにして、 [次へ] を選択します。

注:一部のユーザーは contoso.local UPN サフィックスを使用してまだ構成されていますが、ルーティングできず、Azure AD テナントの検証済みカスタムドメイン名として構成できないため、これは想定されることです。
[ドメインと OU のフィルター処理] ページで、 [選択したドメインと OU の同期] を選び、DemoAccounts OU とそのすべての子 OU のみが選択されていることを確かめて、 [次へ] を選択します。
[ユーザーを一意に識別] ページで、既定の設定を受け入れ、 [次へ] を選択します。
[ユーザーとデバイスをフィルタリングする] ページで、既定の設定を受け入れ、 [次へ] を選択します。
[オプション機能] ページで、既定の設定を受け入れ、 [次へ] を選択します。
[シングルサインオンを有効にする] ページで、 [資格情報の入力] を選択し、 [フォレストの資格情報] ダイアログボックスで、CORP\demouser ユーザー名と demo\@pass123 パスワードでサインインし、 [次へ] を選択します。
[構成の準備完了] ページで、 [構成が完了したら、同期プロセスを開始してください] チェックボックスがオンになっていないことを確めて、 [インストール] を選択します。

注:同期プロセスを有効にする前に、属性レベルのフィルター処理を構成します。

注:インストールにはおよそ 2 分かかります。

[構成が完了しました] ページで、 [終了] を選択します。

タスク 7:Active Directory のごみ箱を有効にする

このタスクでは、Contoso Active Directory ドメインでごみ箱を有効にします。

DC1 へのリモートデスクトップセッション内で、[サーバーマネージャー] コンソールの [ツール] メニューにある [Active Directory 管理センター] を起動します。
[Active Directory 管理センター] コンソールで、左側の [corp (ローカル)] を右選択し、 [ごみ箱を有効にする] を選択します。確認メッセージが表示されたら、[OK] を選択します。
AD 管理センターの更新を求められたら、 [OK] を選択します。

注:ハイブリッドシナリオでのごみ箱の利点については、https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sync-recycle-bin を参照してください

タスク 8:Azure AD Connect 属性レベルのフィルター処理を構成する

このタスクでは、ユーザーアカウントの同期を、ターゲットの Azure AD テナントのカスタムドメイン名と一致する UPN サフィックスを持つものに制限する Azure AD Connect 属性レベルのフィルター処理を構成します。

注:肯定のフィルター処理オプションには、少なくとも 2 つの同期規則が必要になります。そのうちの 1 つで、同期対象のオブジェクトの正しいスコープが決定されます。 2 つ目の包括的な同期規則では、同期する必要があるオブジェクトとしてまだ識別されていないすべてのオブジェクトを除外します。

DC1 へのリモートデスクトップセッション内で、[スタート] メニューの [Azure AD Connect] の下にある [同期ルールエディター] を起動します。
[同期ルールエディター] ウィンドウの [同期ルールの表示と管理] ページで、 [方向] ドロップダウンリストに [受信] が表示されていることを確めて、 [新しいルールの追加] を選択します。これにより、 [受信方向の同期規則の作成] ウィザードが起動します。
[受信方向の同期規則の作成 - 説明] ページで、次の設定を指定し、 [次へ] を選択します。
- 名前: Custom In from AD - UPN Filter
- 説明: カスタム受信規則 - Azure AD カスタムドメインに一致するように UPN が設定されたユーザーが含まれます
- 接続先システム: corp.contoso.com
- 接続先システムオブジェクトの種類: user
- メタバースオブジェクトの種類: person
- リンクの種類: join
- 優先順位:50
- タグ:”空のままにします”
- パスワードの同期を有効にする:”空のままにします”
- 無効:”空のままにします”
[受信スコープフィルターの作成] ページで、 [グループの追加] を選択し、 [句の追加] を選んで以下を指定し、 [次へ] を選択します。
- 属性: userPrincipalName
- 演算子:ENDSWITH
- 値: \@<your custom domain name>
[結合規則] ページで、 [次へ] を選択します。
[変換] ページで、 [変換の追加] を選択し、以下を指定して [追加] を選択します。
- FlowType:定数
- ターゲット属性: cloudFiltered
- 出典:False
次の同期サイクル中に完全インポートと完全同期が ‘corp.contoso.com’ で実行されることを示すメッセージを表示する [警告] ダイアログボックスが表示されたら、 [OK] を選択します。

注:これにより、新しいルールがルールリストの上部に一覧表示された、[同期ルールの表示と管理] インターフェイスに戻るはずです。
[同期ルールエディター] ウィンドウに戻り、 [同期ルールの表示と管理] ページで、 [方向] ドロップダウンリストに [受信] が表示されていることを確め、 [新しいルールの追加] をもう一度選択します。これにより、 [受信方向の同期規則の作成] ウィザードが起動します。
[説明] ページで、次の設定を指定して [次へ] を選択します。
- 名前: Custom In from AD - Catch-all Filter
- 説明: カスタム受信規則 - UPN が Azure AD カスタムドメインと一致するように設定されていないすべてのユーザーを除外します
- 接続先システム: corp.contoso.com
- 接続先システムオブジェクトの種類: user
- メタバースオブジェクトの種類: person
- リンクの種類: join
- 優先順位:51
- タグ:”空のままにします”
- パスワードの同期を有効にする:”空のままにします”
- 無効:”空のままにします”
[スコーピングファイラー] ページで、 [次へ] を選択します。
[結合規則] ページで、 [次へ] を選択します。
[変換] ページで、 [変換の追加] を選択し、以下を指定して [追加] を選択します。
- FlowType:定数
- ターゲット属性: cloudFiltered
- 出典:True にします
次の同期サイクル中に完全インポートと完全同期が ‘corp.contoso.com’ で実行されることを示すメッセージを表示する [警告] ダイアログボックスが表示されたら、 [OK] を選択します。

注:これにより、新しいルールがルールリストの上部に一覧表示された、 [同期ルールの表示と管理] インターフェイスに戻るはずです。

タスク 9:ディレクトリ同期を開始して確認する

DC1 へのリモートデスクトップセッション内で、 [Azure AD Connect] デスクトップショートカットをダブル選択します。
[Azure AD Connect へようこそ] ページで、 [構成] を選択します。
[追加のタスク] ページで、 [カスタマイズ同期オプション] を選択し、 [次へ] を選択します。
[Azure AD に接続] ページで、john.doe アカウントの資格情報を使用してサインインし、 [次へ] を選択します。
[ディレクトリの接続] ページで、 [次へ] を選択します。
[ドメインと OU のフィルタリング] ページで、 [次へ] を選択します。
[オプション機能] ページで、既定の設定を受け入れ、 [次へ] を選択します。
[シングルサインオンを有効にする] ページで、 [次へ] を選択します。
[構成の準備完了] ページで、 [構成が完了したら、同期プロセスを開始してください] チェックボックスをオンにし、 [構成] を選択します。
[構成が完了しました] ページで、 [終了] を選択します。
DC1 へのリモートデスクトップセッション内で、Azure portal が表示されている Edge ブラウザーウィンドウで、Contoso Azure AD テナントの [ユーザー - すべてのユーザー] ページに移動します。
[ユーザー - すべてのユーザー] ページで、ユーザーオブジェクトのリストには、Azure AD テナントのカスタムドメイン名と一致する UPN サフィックスを持つすべてのユーザーアカウントが含まれていることに注意してください。ページを更新するか、変更が表示されるまで数分待つ必要がある場合があります。
Azure portal で、Contoso Azure AD テナントの [グループ - すべてのグループ] ページに移動し、すべての corp.contoso.com ドメイングループも同期されていることに注意してください。
Azure portal で、 [Contoso - Azure AD Connect] ページに移動し、左側にある [Azure AD Connect] を選択します。次のように設定されていることを確認します。
- Azure AD Connect 同期状態:有効
- 最後の同期:これは何らかのタイムスタンプである必要があります。
- パスワードハッシュの同期:Disabled
- フェデレーション：Disabled
- シームレスなシングルサインオン:1 ドメインに対して有効
- パススルー認証:1 エージェントで有効

注:運用環境では、冗長性のために追加のエージェントをインストールします。詳細については、「https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-pta-quick-start」を参照してください。

タスク 10:ハイブリッド Azure AD 参加を構成する

このタスクでは、Azure AD Connect デバイス同期オプションを構成します。

DC1 へのリモートデスクトップセッション内で、 [Azure AD Connect] デスクトップショートカットをダブル選択します。
[Azure AD Connect へようこそ] ページで、 [構成] を選択します。
[追加のタスク] ページで、 [デバイスオプションの構成] を選択し、 [次へ] を選択します。
[概要] ページで、ハイブリッド Azure AD 参加とデバイスのライトバックに関する情報を確認し、 [次へ] を選択します。
[Azure AD に接続] ページで、john.doe アカウントの資格情報を使用してサインインし、 [次へ] を選択します。
[デバイスオプション] ページで、 [ハイブリッド Azure AD 参加の構成] オプションがオンになっていることを確めて、 [次へ] を選択します。
[デバイスのオペレーティングシステム] ページで、 [Windows 10 以降のドメインに参加しているデバイス] と [サポートされている Windows ダウンレベルドメインに参加しているデバイス] のチェックボックスをオンにし、 [次へ] を選択します。

注:マネージドドメインのシームレスな SSO またはフェデレーションドメインの AD FS などのフェデレーションサービスを使用している場合にのみ、Windows ダウンレベルデバイスはサポートされています。
[SCP の構成] ページで、corp.contoso.com Active Directory フォレストボックスをオンにし、 [認証サービス] ドロップダウンリストで [Azure Active Directory] エントリを選び、 [追加] を選択します。
corp.contoso.com のエンタープライズ管理者の資格情報の入力を求められたら、 [Windows のセキュリティ] ダイアログボックスで、CORP\demouser ユーザー名と demo\@pass123 パスワードでサインインします。
[SCP 構成] ページに戻り、 [次へ] を選択します。
[構成の準備完了] ページで、 [構成] を選択します。
[構成が完了しました] ページで、タスクが正常に完了したことを確認し、 [終了] を選択します。

タスク 11:ハイブリッド Azure AD 参加を実行する

ラボコンピューターの Azure portal で、Before Hands-On Lab 演習でリソースをデプロイした Azure サブスクリプションに関連付けられている Azure AD テナント (既定のディレクトリ) にサインインしていることを確認します。そうでない場合は、Azure portal のツールバーにある [ディレクトリ + サブスクリプション] アイコン (Cloud Shell アイコンの右側) を選択して、その Azure AD テナントに切り替えます。
Azure portal で、APP1 仮想マシンのページに移動します。
APP1 仮想マシンページで、リモートデスクトップ経由で APP1 に接続します。サインインを求められたら、**AGAyers\@** ユーザー名と **demo@pass123** パスワードを使用します (ここで **** プレースホルダーは、この演習で先ほど Contoso Azure AD テナントに割り当てたカスタム DNS ドメイン名を表します)。
APP1 へのリモートデスクトップセッション内で、 [サーバーマネージャー] ウィンドウの [ツール] にある [タスクスケジューラ] を起動します。
[タスクスケジューラ] コンソールで、 [タスクスケジューラライブラリ] > [Microsoft] > [Windows] > [Workplace Join] に移動します。そこから、Automatic-Device-Join タスクを有効にして実行します。
DC1 へのリモートデスクトップセッションに切り替え、Windows PowerShell ISE ウィンドウのコンソールペインから、以下を実行して Azure AD Connect の差分同期を開始します。
```
Import-Module -Name 'C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1'
   
Start-ADSyncSyncCycle -PolicyType Delta
```
APP1 へのリモートデスクトップセッションに戻り、コマンドプロンプトを起動します。
コマンドプロンプトウィンドウで、以下を実行して APP1 の Azure AD 登録状態を確認します。
```
dsregcmd /status
```

コマンドの出力が次のようになっていることを確認します。

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

     AzureAdJoined : YES
  EnterpriseJoined : NO
          DeviceId : 61eea2b8-efbe-43d9-b267-126433c8ee34
        Thumbprint : BBAAA0FB4A55E880388851BED955A2669A961A96
    KeyContainerId : 2eb75eb8-0a1d-437b-99d9-9dd161ca0d90
       KeyProvider : Microsoft Software Key Storage Provider
      TpmProtected : NO
      KeySignTest: : PASSED
               Idp : login.windows.net
          TenantId : xxxxxxx-xxxx-xxx-xxxx-xxxxxxxxxx
        TenantName : xxxxxxx-xxxx-xxx-xxxx-xxxxxxxxxx
       AuthCodeUrl : https://login.microsoftonline.com/xxxxxxx-xxxx-xxx-xxxx-xxxxxxxxxx/oauth2/authorize
    AccessTokenUrl : https://login.microsoftonline.com/xxxxxxx-xxxx-xxx-xxxx-xxxxxxxxxx/oauth2/token
            MdmUrl :
         MdmTouUrl :
  MdmComplianceUrl :
       SettingsUrl :
    JoinSrvVersion : 1.0
        JoinSrvUrl : https://enterpriseregistration.windows.net/EnrollmentServer/device/
         JoinSrvId : urn:ms-drs:enterpriseregistration.windows.net
     KeySrvVersion : 1.0
         KeySrvUrl : https://enterpriseregistration.windows.net/EnrollmentServer/key/
          KeySrvId : urn:ms-drs:enterpriseregistration.windows.net
      DomainJoined : YES
        DomainName : CORP

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

            NgcSet : NO
   WorkplaceJoined : NO
     WamDefaultSet : NO
        AzureAdPrt : NO

+----------------------------------------------------------------------+
| Ngc Prerequisite Check                                               |
+----------------------------------------------------------------------+

     IsUserAzureAD : NO
     PolicyEnabled : NO
    DeviceEligible : YES
SessionIsNotRemote : NO
  X509CertRequired : NO
      PreReqResult : WillNotProvision

DC1 へのリモートデスクトップセッションに戻り、Azure portal が表示されている Edge ブラウザーウィンドウで、Contoso Azure AD テナントの [デバイス - すべてのデバイス] ページに移動し、 [結合の種類] が [Hybrid Azure AD joined] に設定されている APP1 サーバーを表すエントリがあることを確認します。

注:Azure AD 登録の状態が正しく報告され、その Azure AD オブジェクトが Azure portal に表示されるまで待つ必要がある場合があります。