Hybrid Microsoft Entra Joinとは？（旧称Hybrid Azure AD Join）

更新日 : 2024年02月15日

Microsoft社として、新しいPCはMicrosoft Entra ID Joinを推奨しているものの、諸般の事情で移行したくてもできないとお悩みのシステム担当者の方も多いのではないでしょうか。

Active Directoryに参加しているデバイスを救済する措置として用意されているのがHybrid Microsoft Entra Joinです。

本コラムではHybrid Microsoft Entra Joinとはなにか、Microsoft Entra IDとの違い、どんな企業に向いているかなどをご紹介します。

Hybrid Microsoft Entra Joinとは

Hybrid Microsoft Entra Joinとは、Windows PCの管理方法の一つです。Microsoft Entra ID Join（Azure AD Join）が困難な場合によく検討されます。

Microsoft Entra Connect（Azure AD Connect）を構築し、Active DirectoryとMicrosoft Entra IDを同期します。これによりオンプレミスとクラウドのアカウント二重管理が不要になります。

Microsoft Entra ID（Azure AD）を導入するからにはActive Directoryを廃止しなければいけない、ということはありません。既存ドメインの参加状態はそのままにMicrosoft Entra IDにも登録され、オンプレミスActive DirectoryのIDを利用してPCにログオンできます。

Hybrid Microsoft Entra Joinのイメージ

おさらい：Windows PC管理方法

ここでは、Hybrid Microsoft Entra Joinを含むWindows PCの管理方法をまとめています。

【既存ドメイン参加PCの救済】Hybrid Microsoft Entra Join

既存のオンプレミスActive Directory基盤を活用しつつ、クラウドを利用する場合に適している
オンプレミスActive DirectoryのIDを利用してPCにログオン
Domain Joinの状態はそのまま
デバイスの情報はActive DirectoryとMicrosoft Entra両方に保持
デバイスのポリシー適用はGPO（グループポリシー）にて実施
クラウド、オンプレミス両方へのシングルサインオンを提供

【新しいPCはこれ！】Hybrid Microsoft Entra

クラウドを中心とした管理を行う場合に適している
Microsoft EntraのIDを利用してPCにログオン
デバイスの情報はMicrosoft Entraに保持
デバイスへのポリシー適応はMicrosoft Intune（MDM）で実施
クラウド、オンプレミス両方へのシングルサインオンを提供

【ユースケースで利用】Microsoft Entra registered

会社で管理されていないデバイス（例：組織外のデバイス、BYOD）を想定した管理
PCへのログオン方法はローカルアカウントかActive Directoryアカウント
クラウドリソースに対するシングルサインオンを提供

Microsoft Entra ID Joinとの違い

ここでMicrosoft Entra ID Joinとの違いをまとめてみました。

	Microsoft Entra ID Join	Hybrid Entra ID Join
デバイスの登録場所	Microsoft Entra IDに登録	Microsoft Entra IDおよびオンプレミスActive Directory両方に登録
シングルサインオン	オンプレミス・クラウド両方のリソースに可能	オンプレミス・クラウド両方のリソースに可能
対応OS	Windows 11、Windows 10（Homeエディションを除く）	Windows 11、Windows 10、Windows 8.1（Homeエディションを除く）
構成方法	Autopilotで半自動化が可能（ユーザー操作を伴う）	構成は管理者作業のみ
デバイス管理方法	MDM（Intune Co-managementも可）	GPO、SCCM（Intune Co-managementも可）

Hybrid Microsoft Entra Joinのメリット

Hybrid Microsoft Entra Joinのメリットとして主に5つ挙げられますが、もっとも大きなメリットは1つ目にあげた点です。Hybrid Microsoft Entra Joinを導入することで、クラウド・オンプレミス問わずシングルサインオンで利用できます。

クラウドリソースとオンプレミスのリソースどちらにもシングルサインオンが可能
リモートワークのユーザーに最適な認証を提供
精密なデバイスアクセス制御が可能
ユーザーがパスワードを忘れても、ログイン画面からリセットが可能
Windows Hello for Businessが規定で有効

また、Windows AutopilotとMicrosoft Intuneを利用したHybrid Microsoft Entra Joinを活用すると、情報システム担当者がデバイスに触ることなく、ユーザーがサインインするだけで必要な設定が構築されます。

こんな企業に向いています

主に下記のような要件に当てはまった場合、Hybrid Microsoft Entra Joinを選択するケースが多いでしょう。

Active Directoryを廃止できない
クラウド、オンプレミス両方へのシングルサインオンを提供したい
従来のPC管理からの移行がすぐには難しい

向いていないケース

Hybrid Microsoft Entra Joinが不向きなケースもあるので注意が必要です。例えば、O365専用フォレスト構成や、グループ会社のユーザーを本社フォレストに作成している場合、Hybrid Microsoft Entra Joinは向いていません。（Disconnected Forest問題）

この場合はMicrosoft Entra Connectの構成を各フォレストから繋ぐように構成しなおす、または、デバイスをユーザーフォレストに移行する必要があります。