MicrosoftのAzureを利用していると「ハイブリッド Azure AD 参加」という言葉を耳にすると思います。
今回、ハイブリッド Azure AD 参加（Hybrid Azure AD Joined 構成）の前提条件を確認し、Azure AD Connect サーバでの設定変更の手順を確認したいと思います。
ハイブリッド Azure AD 参加というのは、オンプレミスADのデバイスをAzureへ同期（参加）させることで、Azure AD参加デバイスで得られるメリットを享受するために利用する機能です。
たとえば、オンプレAD参加デバイスに Windowsサインイン後、 資格情報を利用してクラウドアプリケーションの利用（SSO）が実現できます。また、条件付きアクセスなど制御も可能となります。
以下の内容を書いていきます
近年、リモートワークの普及などにより、クラウドアプリケーションの利用が促進されています。
コンプライアンス・セキュリティ保護対策のため、Azure AD とのハイブリッド構成を行い、デバイスを管理する方法が普及していくのではないかと思います。
前提条件はシンプル
「ハイブリッド構成とは何か？」というのは、オンプレADにドメイン参加しているWindows 10 デバイスをAzureADへ同期させて管理できるようにすることです。
インフラ構成
オンプレミスに必要なサーバーとして、「ドメインコントローラーサーバー」「Azure AD Connect サーバー」のみです。
ドメインに参加するWindows10デバイスが、Azure AD Connect サーバーの機能により、Azure AD へ同期し、ハイブリッド Azure AD参加させます。
Azure AD に「登録」と「参加」とでは、機能に違いがありますので、以下の公式ブログを参照ください。
■Azure AD 登録 と Azure AD 参加 の違い
https://jpazureid.github.io/blog/azure-active-directory/azure-ad-join-vs-azure-ad-device-registration/
また、Azure AD Connect サーバーの前提条件や構築方法は以下の記事を参照ください。
■Azure AD Connect のインストール前に確認したい要件
https://infra-memorandum.com/preparing_azure_ad_connect/
■Azure AD Connect カスタムインストールして、オンプレミスADとの同期を行う【手順解説】
https://infra-memorandum.com/azure_adconnect_customised_installation/
デバイス環境
ドメイン参加した Windows 10 デバイスを同期させますので、ドメインのOUを作成してあらかじめデバイス同期する設定にしておきます。
オンプレミスADとの同期を行う手順の中で、同期範囲を追加しておきましょう。
パブリックドメインへの通信
以下のURLにアクセスできるよう、ファイアーウォール・セキュリティデバイスから除外しておきます。
https://enterpriseregistration.windows.net
https://login.microsoftonline.com
https://device.login.microsoftonline.com
https://autologon.microsoftazuread-sso.com
ハイブリッド Azure AD 参加の設定方法
ハイブリッド Azure AD 参加の設定を行っていきます。
手順はウィザードに従っていけばよいので、簡単に設定できてしまいます。
ハイブリッド Azure AD 参加の手順
１．Azure AD Connect サーバーにログインして、[スタートメニュー] ＞ [Azure AD Connect] ＞より、Azure AD Connectを起動します。
「構成」をクリックします。
２．追加のタスク一覧の [デバイスオプションの構成] を選択します。
「次へ」をクリックします。
３．「次へ」をクリックします。
４．Azureテナントの全体管理者名およびパスワードを入力します。
「次へ」をクリックします。
５．オプションの [ハイブリッド Azure AD 参加の構成] を選択します。
「次へ」をクリックします。
６． [Windows 10 以降のドメインに参加しているデバイス] にチェックを入れます。
「次へ」をクリックします。
７． 認証サービスに [Azure Active Directory] を選択し、[追加] よりオンプレミスドメインの管理者ID・パスワードを入力します。
「次へ」をクリックします。
８．「構成」をクリックします。
９．自動的に設定が実行されます。「終了」をクリックします。
３．まとめ
簡単にハイブリッド Azure AD 参加（Hybrid Azure AD Joined 構成）の設定ができました。
Azureポータルより、デバイスの状態を確認しますと、”Hybrid Azure AD Joined” となっていれば成功です。
もし Hybrid Azure AD Joined になっていない場合は、以下の公式ブログが参考になります。
たいていはMicrosoftのリソース（外部URL）に接続できないとかが多いように思います。
また、プロキシサーバー環境では注意が必要です。一部端末が参加できなくてハマってしまったことがあります。
■Hybrid Azure AD Join 失敗時の初動調査方法について (マネージド編)
https://jpazureid.github.io/blog/azure-active-directory/troubleshoot-hybrid-azure-ad-join-managed/
