記事公開日 2026/08/17

【Microsoft Entra】初心者向け！Microsoft Entra Cloud Syncを導入してみよう

本記事の目的とできること
導入前に押さえておきたいポイント
手順1：プロビジョニングエージェントのダウンロード
手順2：プロビジョニングエージェントのインストール

インストーラーの起動と初期設定
Microsoft Entra IDへの認証
サービスアカウント（gMSA）の設定
ADドメインの接続確認
最終確認と構成の実行

手順3：Microsoft Entra ID管理センターでのクラウド同期設定
手順4：スコープフィルターの設定（同期対象の絞り込み）
手順5：オンデマンドプロビジョニングによる動作検証
よくあるエラーと対処方法
参考：Microsoft Entra ConnectからCloud Syncへ移行する場合
まとめ

1. 本記事の目的とできること

本記事は、Microsoft Entra Cloud Syncを初めて導入する方に向けて、導入の目的と具体的な設定手順をわかりやすく解説するものです。

Microsoft Entra Cloud Sync（以下、Cloud Sync）とは、オンプレのActive Directory（以下、AD）にあるユーザー情報を、クラウド側のID管理サービスであるMicrosoft Entra IDへ同期するためのサービスです。

Entra Connect等の従来の同期ツールと異なり、同期に関する設定や管理のほとんどをクラウド側で行い、オンプレ側には「プロビジョニングエージェント」と呼ばれる軽量なプログラムを1台配置するだけで済むという特徴があります。

そのため、オンプレに大きなサーバーを構築・維持する必要がなく、導入や運用の負担を大幅に軽減できます。

本記事では以下の内容に取り組みます。

プロビジョニングエージェントのダウンロードからインストールまでの手順
Microsoft Entra ID管理センターでの同期設定（クラウド同期の構成）
同期対象を特定の組織単位(以下、OU)に絞り込むスコープフィルターの設定
オンデマンドプロビジョニング機能を使った動作検証
設定時によく発生するエラーへの対処方法

それでは、実際の手順を1つずつ見ていきましょう。

2. 導入前に押さえておきたいポイント

このセクションでは、手順に入る前に知っておくべき前提知識を紹介します。

Cloud Syncの導入では、オンプレ側のWindows Serverに「プロビジョニングエージェント」という専用ソフトウェアをインストールし、そのエージェントをMicrosoft Entra IDと連携させる、という大きな流れになります。

作業はおおよそ次の3段階に分かれます。

エージェントのダウンロードとインストール（オンプレサーバー上で実施）
Microsoft Entra ID管理センターでのクラウド同期の構成（ブラウザ上で実施）
動作検証（実際にユーザーが同期されるかの確認）

⚠ ご注意ください：
インストール作業を行う際は、ドメインの管理者権限を持つアカウントでオンプレサーバーにサインインしている必要があります。ローカルアカウントでサインインしていると、後述するエラーの原因となりますので、あらかじめご注意ください。

3. 手順1：プロビジョニングエージェントのダウンロード

まずは、オンプレサーバーのADと同期を行うための専用ソフトウェアを入手します。

具体的な操作は以下のとおりです。

Microsoft Entra ID管理センターにアクセスし、「Entra ID > Entra Connect > クラウド同期 > クラウド同期 | エージェント」と進みます。
画面内の「オンプレミスのエージェントをダウンロードします」をクリックします。
続いて使用条件への同意を求められるので、「使用条件に同意してダウンロードする」をクリックし、インストーラーをダウンロードします。

ダウンロードが完了したら、次のインストール作業に進みます。

4. 手順2：プロビジョニングエージェントのインストール

ダウンロードしたインストーラーを使って、実際にエージェントをオンプレサーバーへ導入していきます。この手順が本導入作業の中で最もステップ数が多い部分ですので、1つずつ丁寧に進めてください。

4-1. インストーラーの起動と初期設定

ダウンロードしたインストーラーを起動します。
表示された画面で、「Connect to your Active Directory domain(s)」のチェックボックスにチェックが入っていることを確認します（オンプレADとの同期を行う場合、このチェックは必須です）。
「Next」をクリックし、Microsoft Entra IDへの認証処理画面へ進みます。

4-2. Microsoft Entra IDへの認証

ハイブリッドアイデンティティ管理者、またはグローバル管理者を持つMicrosoft Entra IDを入力します。
「Authenticate」をクリックします。
ポップアップで表示されるサインイン画面で、該当アカウントのパスワード入力と多要素認証（MFA）を完了させます。
認証が完了したら、画面の指示に従い次のステップへ進みます。

4-3. サービスアカウント（gMSA）の設定

Cloud Syncは、オンプレADに安全にアクセスするために「gMSA（グループ管理サービスアカウント）」という専用アカウントを使用します。作成方法は2種類あり、状況に応じて選択します。

新規に作成する場合：
「Create gMSA」を選択します（推奨される標準的な方法で、AD上に自動でアカウントが生成されます）。
既存のgMSAを使う場合：
「Use custom gMSA」を選択します（ポリシーの制約でドメイン管理者権限をインストーラーに渡せない場合や、独自のOUでアカウントを管理したい場合に使用します）。

選択後は、以下の操作を行います。

ADのドメイン管理者権限を持つアカウント情報を入力します。
入力完了後、「Next」をクリックして次のステップへ進みます。

4-4. ADドメインの接続確認

「CONFIGURED DOMAINS」の一覧に、同期対象のADドメインが正しく追加されていることを確認します。
別のドメインを追加したい場合は、「DOMAIN」ドロップダウンから対象を選択し、「Add Directory」をクリックして認証を行います。
すべての同期対象ドメインが構成されていることを確認したら、「Next」をクリックして確認画面へ進みます。

4-5. 最終確認と構成の実行

表示されている設定内容（接続先ADドメイン名、gMSAアカウント名、Microsoft Entra IDの管理者アカウントなど）に誤りがないか、最終確認を行います。
内容に問題がなければ、「Confirm」をクリックし、エージェントの構成処理を開始します。
処理が完了するまで、画面の操作を行わずに待機します。

✅ 以上でエージェントのインストールは完了です。この後の作業は、すべてMicrosoft Entra ID管理センター（ブラウザ画面）から行います。

💡 ヒント：
この後の作業では、OUやユーザーの「distinguishedName(識別名)」（以下、DN）という項目の値が必要となります。
OUやユーザーのDNは、AD管理ツール上で対象のOUまたはユーザーを右クリックして「プロパティ」を開き、「属性エディター」タブから値を確認することで取得できます。
※DNの表記形式につきましては、下記サンプルをご参考ください。CN=test_cn,OU=test_ou,DC=test_dc,DC=local
サーバー側の作業中にあらかじめ同期したいOUとユーザーのDNを控えておくと、以降の手順をスムーズに進められますのでこのタイミングで確認しておきましょう。

5. 手順3：Microsoft Entra ID管理センターでのクラウド同期設定

エージェントの準備ができたら、次はクラウド側でどのユーザーをどのように同期するかを設定していきます。

「クラウド同期 | 構成」画面を表示します。
上部の操作メニューから「+ 新しい構成」をクリックし、ドロップダウンメニューから「ADからMicrosoft Entra IDへの同期」を選択します。
ドロップダウンメニューから、同期対象とするActive Directoryドメインを選択します。
パスワードハッシュ同期を有効にしたい場合は、「パスワードハッシュの同期を有効にする」のチェックボックスをオンにします。
「作成」をクリックして、構成を生成します。

これで、クラウド側の基本的な同期設定が作成されました。

6. 手順4：スコープフィルターの設定（同期対象の絞り込み）

初期状態では同期対象の範囲が広くなりがちなため、必要なユーザーだけを同期するように絞り込むことをおすすめします。

「概要」画面に表示される「スコープフィルターの追加」をクリック、もしくは管理画面左側メニューの「管理」配下にある「スコープフィルター」を選択します。
同期対象の設定オプションから「選択した組織単位」を選択します。
「オブジェクトの識別名」欄に、同期対象とするOUのDNを入力し、「追加」をクリックします。
画面上部の「保存」をクリックし、設定内容を保存します。

7. 手順5：オンデマンドプロビジョニングによる動作検証

設定が完了したら、実際に同期が正しく動くかどうかを確認します。Cloud Syncには、スケジュール（約2分間隔）を待たずにその場で同期をテストできる「オンデマンドプロビジョニング」という機能があります。

左側メニューから「オンデマンドでプロビジョニング」を選択します。
「ユーザーを入力」欄に、検証対象とするユーザーのActive DirectoryDNを入力します。
「プロビジョニング」ボタンをクリックし、即時にテストプロビジョニングを実行します（この検証は、スコープフィルターで選択したOUのユーザーに対してのみ行われます）。
処理完了後、「オブジェクトのプロビジョニング」画面で、すべての項目に緑色のチェックマークが付いていること、同期対象のユーザーがオンプレAD側とクラウド側で一致していることを確認します。

✅ すべて緑色のチェックマークが表示されれば、同期は正常に完了しています。あわせて、「オンプレミスのprovisioningエージェント」画面で対象サーバーの状態が「アクティブ」となっているかも確認しておくと安心です。

✅ 本検証ではOUの特定ユーザーのみを同期させました。そのためオンデマンドプロビジョニングでDNを入力したユーザーのみが管理センター上に表示されていればOKです。※下記画像では、オンプレサーバー側「test1」内の「test tarou」のみが同期され、「test tarou2」は同期されていないことがわかります。

8. よくあるエラーと対処方法

導入作業中に発生しやすいエラーについても、あらかじめ知っておくと安心です。

⚠ エラー例①：
エージェントのインストール中にエラーメッセージが表示される場合、多くは「ローカルアカウントでサインインしている」ことが原因です。
ドメインの管理者権限で実行しているかを確認したうえで、エージェントのインストールをやり直してください。

⚠ エラー例②：
Microsoft Entra ID（クラウド側）への登録処理が失敗した場合は、以下の点を確認します。

Microsoft Entra IDの権限が不足していないか
TLS 1.2による暗号化通信の設定が不足していないか
PowerShellの実行ポリシーによる制限に該当していないか
ファイアウォールやプロキシによって通信がブロックされていないか

このうち、TLS 1.2の設定不足が原因の場合は、オンプレサーバー上でPowerShellを管理者として実行し、以下のレジストリ設定コマンドを実行することで解消できます。※本手順で実行するレジストリ変更は、読者様ご自身の責任において実施してください。実施前には必ずレジストリのバックアップを取得することを強く推奨いたします。

PowerShell ： TLS 1.2 強制設定コマンド

# .NET Framework 4.x で強力な暗号化（TLS 1.2）を強制するレジストリ設定
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value 1 -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value 1 -Type DWord

# 64bit OS上の32bit用設定も併せて実施
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value 1 -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value 1 -Type DWord

設定後は、以下のコマンドで反映結果を確認できます。

PowerShell ：設定確認コマンド

Write-Host "=== 1. 現在のPowerShellセッションのプロトコル ===" -ForegroundColor Cyan
[Net.ServicePointManager]::SecurityProtocol

Write-Host "`n=== 2. .NET Framework レジストリ設定 (64bit) ===" -ForegroundColor Cyan
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto', 'SystemDefaultTlsVersions' -ErrorAction SilentlyContinue | Select-Object SchUseStrongCrypto, SystemDefaultTlsVersions

Write-Host "`n=== 3. .NET Framework レジストリ設定 (32bit/WOW64) ===" -ForegroundColor Cyan
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto', 'SystemDefaultTlsVersions' -ErrorAction SilentlyContinue | Select-Object SchUseStrongCrypto, SystemDefaultTlsVersions

確認結果の見方は次のとおりです。

現在のプロトコル：
「Tls12」、または「Ssl3, Tls, Tls11, Tls12」のようにTls12が含まれていれば正常です。Tls12が含まれていない場合は設定不足の可能性があります。
レジストリ設定：
「SchUseStrongCrypto」と「SystemDefaultTlsVersions」の値がどちらも1になっていれば正常です。

9. 参考：Microsoft Entra ConnectからCloud Syncへ移行する場合

すでにMicrosoft Entra Connectを利用しており、Cloud Syncへ切り替える場合は、移行時の同期の重複を防ぐために「ステージングモード」を活用します。

オンプレサーバー上の「Microsoft Entra Connect」を開き、「ステージングモード」を有効にします。
「ステージングモードを有効にする」にチェックが入っていることを確認します。

💡 ポイント：
ステージングモードを有効にすることで、Microsoft Entra Connect と Cloud Sync の両方が同時に本番同期を行ってしまう事態を避けながら、安全に切り替え作業を進めることができます。

10. まとめ

本記事では、Microsoft Entra Cloud Syncの導入手順について、目的とできることの整理から、エージェントのダウンロード・インストール、クラウド同期の設定、スコープフィルターによる同期対象の絞り込み、そして動作検証までの一連の流れを解説しました。

Cloud Syncは、オンプレ側に軽量なエージェントを1台配置するだけで、複雑な同期サーバーを構築せずにハイブリッドID環境を実現できるサービスです。

特にオンプレAD管理者権限でのインストール作業と、TLS 1.2をはじめとする通信要件の確認は、つまずきやすいポイントですので、本記事の手順とあわせて事前に確認しておくことをおすすめします。

導入後は、オンデマンドプロビジョニング機能を活用しながら、まずは少数のユーザーやOUで動作確認を行い、問題がないことを確かめたうえで、段階的に同期対象を広げていくとよいでしょう。

弊社では、Microsoft Entra ID Governanceに関する他の記事も公開しています。
ご興味のある方は、ぜひこちらもあわせてご覧ください！

Microsoft Entra ID Governance ブログ一覧 | QES ブログ
QESのエンジニアが Microsoft Entra ID Governance のアクセス制御・権限管理・ID統制の自動化ノウハウを発信中！

QUICK E-Solutionsでは、各種Microsoftソリューションを活用した業務効率化・システム導入のお手伝いをしております。
それ以外でも様々なアプリケーションの開発・導入を行っております。提供するサービス・ソリューションにつきましてはこちらに掲載しております。
システム開発・構築でお困りの問題や弊社が提供するサービス・ソリューションにご興味を抱かれましたら、ぜひ一度お問い合わせください。

※このブログで参照されている、Microsoft、Microsoft Entra、Active Directory、Windows Server、PowerShell、.NET Frameworkは、米国Microsoft Corporationの米国およびその他の国における商標または登録商標です。