Azure Managed Service Column ＜Azure運用コラム＞Azure AD Joinとは？オンプレミスADからAzure ADへの移行時に留意すべきポイントについて徹底解説！

オンプレミスADを廃止して、Azure ADへ移行する場合は段階的な移行が推奨される。

自社のアカウント管理のために、 AD （ Active Directory ）を使用されている企業は多いのではないでしょうか。 Azure AD を代表とするクラウドサービスとして提供される AD は近年、業務で使用するクラウドサービスの増加やテレワークなど多様な働き方との親和性の高さから、多くの企業で導入が進んでいます。

さまざまなメリットを享受できるクラウドサービスの AD ではありますが、その一方でオンプレミス AD 環境に依存しているシステムが社内に存在している場合、容易にオンプレミス AD を廃止することはできません。

本稿では、アカウントやデバイス管理を Azure AD へ移行したい企業に向けて、デバイスから Azure AD へ参加できる「 Azure AD Join 」について紹介します。またオンプレミス AD を廃止できないケースや、 AD に依存するシステムは何があるのか、その代替となるソリューションについてもまとめますので、是非最後までご覧ください。

1.Azure AD Joinとは

Azure AD Join について理解するうえで、 Microsoft Azure が提供する「 Azure AD 」がなぜおすすめなのかについて整理しておきます。

なぜAzure ADがおすすめなのか

クラウドベースで提供される Azure AD は、さまざまなメリットを享受できることから多くの企業で導入されています。選ばれている理由は、以下4点です。

1．管理者の負担軽減

SaaS として提供されるサービスのため、ハードウェアや OS などを自社で管理する必要がなくなります。クラウドベースでアカウント情報を一元管理できるため、ユーザーの追加・削除などの変更を行う際においても出社をせずに作業を終わることができるため、管理者の負担軽減につながります。

2.コスト削減

オンプレミス AD と比べて、サーバーの購入といった初期費用やデータセンターの保守・運用コストを抑えることができます。 Azure AD の運用費用はサブスクリプション型の従量課金制のため、必要とするサービスのみを契約することで不要な出費が少なくなり、コスト削減の効果を期待できます。

3.規模や機能の拡張性

クラウドベースで提供されるため、自社サーバーの構築が不要で、機能追加やユーザー数の増加にともなうサーバーの拡張が、容易にかつ迅速に実施できます。また業務で使用するクラウドサービスが増加した場合においても、連携するだけで簡単にアカウント管理を統合できるため、拡張性に優れています。

4.社内外を問わず業務が可能

最近はテレワークなどの働き方やクラウドサービスを利用して業務を行うケースが増加しています。従来の AD では社内ネットワークでの接続を強要されるため、働き方の選択肢を狭め、またクラウドサービスを使用できないなど制限がありました。しかし Azure AD へアカウント管理を移行した場合、オンプレミス AD やそれ以外の端末、クラウドサービスなどに対して同一アカウントの認証情報だけでアクセスができるようになります。

ユーザーは一度 Azure AD に参加すると、以降は PIN や Windows Hello でサインインできるため利便性が向上し、環境を問わずどこからでも業務に必要なシステムを利用できます。

Azure AD Joinとは

Azure AD Join とは、デバイスから Azure AD に直接参加して、そのデバイスを Azure AD上で管理できるようにする方法です。

＜Azure AD joined Devices＞

Azure AD Join を活用すると、管理者は Azure AD 上でアカウントを一元管理できるようになり、従業員は Microsoft 365 や Azure AD に統合されているその他の SaaS アプリケーションに容易にアクセスできるようになります。

Azure AD Join で Azure AD に認証ができている端末は、社内外の場所からオンプレミス環境のファイルサーバー、プリンターサーバー、その他のアプリケーションなどのリソースへもアクセスできるため、柔軟な働き方の取り入れや業務の効率化が促進されます。

2.オンプレミスADを廃止できないケース

実際にAzure AD Join を使いアカウント管理をクラウド移行しようと検討する場合、自社のオンプレミス AD を廃止できるのかどうかは重要なポイントです。現在使用しているオンプレミス AD を廃止することによって、今までアカウント情報をオンプレミス AD から見ていた場合、システムにログイン出来なくなる場合があります。

ここでは、オンプレミス AD を廃止にできないケースについて紹介します。またオンプレミス AD に依存している具体的なシステムについてもまとめます。

オンプレミスADに依存しているシステムがある

社内ネットワークで使用することを前提として、オンプレミス AD に依存する形でアカウント管理を行っているシステムがある場合、オンプレミス AD を廃止することは難しくなります。

たとえばオンプレミス AD に依存するシステムとしては以下があります。

• オンプレミスのファイルサーバー
• 社内で使用するプリンターサーバー
• オンプレミスのアプリケーション など

もしクラウドへの完全移行を実現したい場合は、代替となるソリューションを選定し、段階的に移行を進める必要があるでしょう。

オンプレミスリソースへのアクセス制御

オンプレミスのリソースはアクセス制御リスト（ ACL ）に基づいて、アクセスの許可や制限を制御しています。アクセス制御リストに登録できるアカウント（ユーザーアカウントやグループ）は原則オンプレミスのアカウントのみのため、オンプレミスのリソースへのアクセス制御を行う場合はオンプレミス AD が必要となります。

また、自社だけでなく子会社など関連する会社とオンプレミス AD によりアカウント管理を連携させている場合は自社の AD を廃止すると、関連会社のオンプレミスリソースへアクセスできなくなるため、正確な判断が必要です。

3.Azure ADに切り替えた時のシステム代替

前述の廃止できないケースの場合、代替手段として以下のような方法が考えられます。

オンプレミスADに依存しているシステムの代替

オンプレミスのファイルサーバーがある場合

Microsoft の提供している「シェアポイント」を使用するのがおすすめです。

シェアポイントはオンライン上でファイル管理を提供するサービスで、管理者側でアクセス制限やユーザー制限が可能です。自社内のサーバーにアプリケーションをインストールするだけで、複数のユーザーでファイルや情報を共有できるようになります。

また Azure AD に認証している端末は、シェアポイントへのシームレスなアクセスを可能とするため利便性が向上し、リモートワークやテレワークにも対応できます。

オンプレミスのプリンターサーバーがある場合

Microsoft の提供している「 Universal Print 」を使用すると、印刷の実行や企業全体のプリンターの統合管理をクラウドベースで行えるようになります。

Universal Print はインターネットに接続されていて Azure AD に認証済みの端末なら、どこからでも印刷ができ、プリンタードライバーのインストールは不要です。

オンプレミスでのプリンターサーバーが不要となるため、 IT 管理者の負担軽減につながり、また Azure AD の提供するアクセス制御を使用してセキュリティを保護しながら、印刷作業のシンプル化を実現できます。

オンプレミスのアプリケーションがある場合

「 Azure AD Application Proxy 」を使用することで、オンプレミスのシステムやアプリケーションを社外から使用できるようになります。

アプリケーションへの認証は Azure AD で行われるため、他のクラウドサービスと同様に認証済みの端末であれば容易にアクセスが可能となり、利便性の向上につながります。

また Azure のゼロトラストのデータ保護機能を導入できるため、多要素認証や二段階認証を組み合わせることで、自社の情報資産のセキュリティ強化も図れます。

＜Azure AD Application Proxy＞

オンプレミスリソースへのアクセス制御

「 Azure AD Connect 」を使用することで、オンプレミスの AD と Azure AD のアカウント情報を同期させて、オンプレミスのリソースのアクセス制御が可能です。

Azure AD Connect はユーザーをグループ単位で管理でき、アプリケーションの割り当てなどの一元管理を提供します。 アカウント管理が一元化されることで、組織編成時の権限付与や権限の削除などが容易となり、 IT 管理者の管理工数の削減や負荷軽減につながります。

ただ、オンプレミス AD と Azure AD のユーザーを同期する Azure AD Connect を導入するには、専門的なノウハウや知識が必要となるため、インフラのハイブリッド構成を構築する場合は、外部のサポートを受けて進めるのがおすすめです。

まとめ

クラウドのメリットを享受するために、クラウド移行を進める企業にとって、 Azure AD に参加して Azure 上で自社の端末を管理することは重要な意味をもちます。

Azure AD Join はオンプレミスの AD がなくても、Azure AD へ直接参加することで、オンプレミスやクラウドのリソースおよびアプリケーションへのアクセスを可能とします。端末管理における管理者の負担軽減につながると同時に、業務効率化の優れた基盤として活用できます。

自社の AD を Azure AD へ移行する際は、 AD を廃止できないケースを理解したうえで、「段階的な移行」を目指してみてください。

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag： Azure AD Join

• 

  今注目を集めるデバイス管理 Microsoft Intune のアプリケーションの配布機能について解説します

• 

  アカウントの流出、盗用を防ぐ Azure AD Identity Protection とは？アカウント管理の保護に有効な仕組み、機能、設定方法を解説