クラウド活用が当たり前になった現代、社内システムとクラウドサービスをスムーズに連携させたい、と考えたことはありませんか？特に、これまで社内で使ってきた認証システム（Active Directory）を、クラウド上でも安全かつ便利に使いたいというニーズは高まっています。そんな悩みを解決してくれるのが、マイクロソフトが提供する「Microsoft Entra Domain Services」です。
この記事では、「Microsoft Entra Domain Servicesって何？」「どんなことができるの？」「導入するとどんないいことがあるの？」といった疑問にわかりやすくお答えします。
クラウドへの移行を検討している方、既存のITインフラの管理を楽にしたいと考えている方は、ぜひ最後までご覧ください。
Microsoft Entra Domain Services とは？わかりやすく解説
Microsoft Entra Domain Servicesは、一言でいうと「面倒な管理はMicrosoftが行ってくれるActive Directoryドメインサービス」です。
以前は「Azure Active Directory Domain Services（Azure AD DS）」と呼ばれていましたが、2023年にMicrosoftが「Entra」を発表し、「Azure AD Domain Services」も「Microsoft Entra Domain Services」へと名称が変更されました。
そもそもActive Directoryって何？
そもそもActive Directoryとは、会社のような組織内で、たくさんのパソコンや社員のアカウント（IDとパスワード）をまとめて管理するための仕組みのことです。多くの会社では、社内に専用のサーバーコンピューターを置いて、このActive Directoryを動かし、社員がパソコンにログインする時の認証や、どのファイルに誰がアクセスできるか、といった権限の管理を行っています。
しかし、最近はインターネット上のサービス（クラウドサービス）を仕事で使うことが増えてきました。そこで「社内で使っているActive Directoryと同じような仕組みを、クラウド上でも使いたい」という声が多く聞かれるようになったのです。
ここで活躍するのがMicrosoft Entra Domain Servicesです。これは、Microsoftが提供するAzure上で動くサービスで、利用者が自分でActive Directory用のサーバーを用意したり、難しい設定や管理をしたりする手間なく、従来のActive Directoryとほぼ同じ機能を使えるようにしてくれるものです。
社内（オンプレミス）のActive Directoryとの違い
これまで社内にActive Directoryを設置して運用するには、次のような作業が必要でした。
- サーバー本体の購入や置き場所の確保
- OS（コンピューターを動かす基本ソフト）やActive Directoryのソフトウェアのインストールと設定
- 定期的なアップデート（パッチ適用）、データのバックアップ、もしもの故障に備えた対策や対応
これらの作業は、専門的な知識がないと難しく、管理担当者の大きな負担になっていました。
その点、Microsoft Entra Domain Servicesは、これらのサーバー管理や日々の運用を、すべてマイクロソフトが肩代わりしてくれる「マネージドサービス」と呼ばれる形態をとっています。
利用者は、サーバーの物理的な管理やOSのアップデートなどを気にする必要がなくなり、Active Directoryの便利な機能を使うことだけに集中できるのです。Microsoft Entra Domain Servicesは、管理の手間を大きく減らしてくれる画期的なサービスと言えるでしょう。
Microsoft Entra IDとの関係は？
マイクロソフトのサービスには、「Microsoft Entra ID」（以前はAzure Active Directoryと呼ばれていました）という、よく似た名前のものもあります。これは主に、インターネット上の様々なサービス（Microsoft 365や他の会社のクラウドサービスなど）に安全にログインするためのID管理サービスです。
Microsoft Entra Domain Servicesは、このMicrosoft Entra IDと協力して動きます。Microsoft Entra IDに登録されている社員のアカウント情報を、Microsoft Entra Domain Servicesにコピー（同期）することで、クラウド環境でも、社内と同じようなドメイン管理（パソコンをドメインに参加させる、グループポリシーで設定を統一するなど）を実現できるようになります。
つまり、Microsoft Entra Domain Servicesは、Microsoft Entra IDの機能をさらに広げ、昔からActive Directoryを使っていた会社が、その仕組みやアプリケーションをスムーズにクラウドへ移行できるように手助けしてくれる、頼もしい存在なのです。
Microsoft Entra Domain Servicesの便利な機能
Microsoft Entra Domain Servicesは、従来のActive Directoryと互換性のある、以下のような中心的な機能を提供しています。
- ドメイン参加:
Azure上に作った仮想的なパソコン（Windows ServerやWindows 10/11など）を、Microsoft Entra Domain Servicesが提供する管理下のグループ（ドメイン）に参加させることができます。これにより、社員は会社で使っているのと同じアカウント情報で、クラウド上のパソコンにもログインできるようになります。 - グループポリシー: ドメインに参加しているパソコンや利用者に対して、「こういうセキュリティ設定にしなさい」「このソフトウェアを使いなさい」「デスクトップの壁紙はこれにしなさい」といったルールを一斉に適用できる「グループポリシー」という機能が使えます。これで、会社全体のパソコン設定を効率よく、統一的に管理できます。Microsoft Entra Domain Servicesを使えば、この便利な機能をクラウドでも活用できます。
- LDAP対応: 少し専門的になりますが、多くのアプリケーションは、利用者の認証や情報を検索するために「LDAP（エルダップ）」という共通言語（プロトコル）を使っています。Microsoft Entra Domain ServicesはこのLDAPに対応しているので、これまで社内でLDAPを使って動いていた古いシステムやアプリケーションも、クラウド上でそのまま使い続けられる可能性が高まります。
- Kerberos/NTLM認証: Windowsの環境で標準的に使われている本人確認の仕組み（認証方式）である「Kerberos（ケルベロス）」や「NTLM（エヌティーエルエム）」にも対応しています。これにより、一度ドメインにログインすれば、ファイルサーバーなど他のサービスにも再度パスワードを入力せずアクセスできる「シングルサインオン」などが実現できます。
- DNSサーバー機能: ドメイン環境を動かすために欠かせない「DNSサーバー」（コンピューターの名前とIPアドレスを結びつける役割）の機能も含まれています。ドメインに参加したパソコンが、他のコンピューターを名前で見つけられるように、自動で設定してくれます。
- カスタムOU (組織単位): アカウントやパソコンを部署ごとなどのグループ（OU）に分けて整理できます。これにより、グループごとに異なるポリシーを適用するなど、管理がしやすくなります。Microsoft Entra Domain ServicesでもこのOUを作成・管理できます。
導入によるメリット
Microsoft Entra Domain Servicesを導入することで、主に次のようなメリットが期待できます。
- 管理の手間が激減: これが最大のメリットかもしれません。Active Directoryサーバーの準備、設定、日々のメンテナンス（アップデート、バックアップ、故障対応など）から解放されます。これらの面倒な作業はマイクロソフトが担当してくれるため、会社のIT担当者は、もっと重要な他の業務に時間と労力を割けるようになります。
- 既存システムとの相性の良さ: LDAPやKerberos/NTLM認証などに対応しているため、これまで社内で使ってきたActive Directoryに依存するシステムやアプリケーションを、大きな変更なしにクラウド環境へ移行できます。これは、古いけれど重要なシステムを使い続けたい企業にとって、非常に大きな助けとなります。Microsoft Entra Domain Servicesは、この互換性を大切にしています。
- Microsoft Entra IDとのスムーズな連携: Microsoft Entra IDで管理しているアカウント情報をそのまま使えるので、ID管理がシンプルになります。利用者は、社内、クラウドサービス、Microsoft Entra Domain Services管理下の仮想マシンなど、どこでも同じIDとパスワードでログインできるため、利便性が向上します。
- 高い安定性と信頼性: Microsoft Entra Domain Servicesは、マイクロソフトの複数のデータセンターに分散して配置され、サービスが停止しにくいように設計されています（高可用性）。標準で冗長構成（片方が故障しても大丈夫な仕組み）が組み込まれているため、安心して利用できます。
- セキュリティの向上: マイクロソフトの高いセキュリティ基準のもとで運用されており、安全な認証基盤を利用できます。また、グループポリシーを使って会社全体のセキュリティ設定を強化・維持することも可能です。Microsoft Entra Domain Servicesは、セキュリティを重視する企業にとって信頼できる選択肢です。
- コスト削減の可能性: サーバー機器の購入費用や置き場所代、電気代、そして運用管理にかかる人件費などを削減できる可能性があります。特に、Active Directory専門の管理者を雇うのが難しい中小企業にとっては、コストパフォーマンスの良い選択肢となりえます。
このように、Microsoft Entra Domain Servicesは、従来のActive Directoryの良いところはそのままに、クラウドならではの手軽さや安定性をプラスした、とても便利なサービスなのです。
Microsoft Entra Domain Services の利用料金
Microsoft Entra Domain Servicesは、使った分だけ支払う従量課金制です。最初に高価なサーバー機器を買う必要がないので、比較的小さな規模から始めやすいのが特徴です。
料金が決まる主な要素は、以下の2つです。
- インスタンスの種類 (SKU):
Microsoft Entra Domain Servicesには、「Standard」「Enterprise」「Premium」といったいくつかのプランが用意されています。 - ユーザー数:利用するユーザー数によって料金が変わります。
具体的な料金を調べるには
Azure公式サイトの料金ページ: Microsoft Entra Domain Servicesのサービス紹介ページや、料金に関する公式ドキュメントで、最新の価格表を確認できます。
利用を始める前には、まず自社の要求（どんな機能が必要か、ユーザー数は何人か、どれくらいの利用が見込まれるかなど）を整理し、最適なプランを選んだ上で、料金計算ツールなどを使っておおよそのコストを把握しておくことが大切です。
Microsoft Entra Domain Services を導入する手順
Microsoft Entra Domain Servicesの導入作業は、Azureの管理画面（Azureポータル）から、比較的ステップに沿って進めることができます。ただし、始める前にいくつか確認しておくことや、設定する項目があるので、大まかな流れを知っておきましょう。
ここでは、導入の主なステップを説明します。細かい設定の手順については、作業する際に必ず最新のマイクロソフト公式ドキュメントを確認してください。
ステップ1: 事前準備
- サブスクリプション
- Microsoft Entra ID テナント
- Azure仮想ネットワーク (VNet)
- 必要な権限:Microsoft Entra IDに対して、設定変更などを行える管理権限（例: グローバル管理者など）を持つアカウントが必要です。
- パスワード情報の同期 (Microsoft Entra Connect): もし、社内のActive DirectoryとMicrosoft Entra IDの間でアカウント情報を同期している場合、Microsoft Entra Domain Servicesでパスワードを使った認証（NTLMやKerberos）を有効にするためには、「パスワードハッシュ同期」という設定を有効にしておく必要があります。これを行わないと、ユーザーはMicrosoft Entra Domain Services環境でログインできません。
ステップ2: Microsoft Entra Domain Services の作成
- 管理者権限のあるアカウントでAzureポータルにアクセスします。
- 画面左上などの「リソースの作成」メニューから「Microsoft Entra Domain Services」を探して選択します。
- 基本情報の入力:
- サブスクリプションを選びます。
- リソースグループを選択。
- Microsoft Entra Domain Servicesで使用する「DNSドメイン名」（例: contoso.com や aadds.contoso.com など）を決めます。これは後から変更できないので、よく考えて決定しましょう。
- リージョン）を選びます。仮想ネットワークと同じ地域を選ぶ必要があります。
- 必要な機能に応じてプラン（SKU）を「Standard」「Enterprise」「Premium」から選びます。
- ネットワークの設定:
- 事前に準備した仮想ネットワークを選びます。
- その仮想ネットワークの中の、Microsoft Entra Domain Servicesを設置するサブネットを選びます。このサブネットはMicrosoft Entra Domain Services専用にすることが推奨され、必要な通信が通るようにネットワークセキュリティグループ（NSG）の設定が必要です。
- 管理者の設定:
- Microsoft Entra Domain Servicesのドメインを管理する権限を持つグループ（AAD DC Administrators）を指定します。Microsoft Entra ID内のグループを選びます。このグループのメンバーが、ドメインに参加した仮想マシンの管理などを行えます。
- サービスに関する通知を受け取るメールアドレスを設定します。
- 同期の設定:
- Microsoft Entra IDからMicrosoft Entra Domain Servicesへどのアカウント情報をコピー（同期）するか範囲を選びます。「すべて」か「特定のグループのみ」かを選択できます。
- 内容の確認と作成実行: すべての設定内容を確認し、問題がなければ「作成」ボタンをクリックします。サービスの準備が完了するまでには、通常1時間以上かかることがあります。
ステップ3: DNS設定の更新
Microsoft Entra Domain Servicesの準備が完了すると、そのドメインコントローラー（ドメインを管理するサーバー）のIPアドレスが自動的に割り当てられます。このIPアドレスを、Microsoft Entra Domain Servicesを利用したい仮想マシンが接続されている仮想ネットワークのDNSサーバー設定に追加する必要があります。
これを設定することで、仮想ネットワーク内のパソコンが、Microsoft Entra Domain Servicesのドメインコントローラーを正しく見つけられるようになり、ドメインへの参加やログインが可能になります。
ステップ4: 動作の確認
- Azure上に作成した仮想マシンを、新しくできたMicrosoft Entra Domain Servicesのドメインに参加させてみます。
- 同期された会社のアカウントで、その仮想マシンにログインできるか試してみます。
- 必要であれば、管理用のツール（RSAT）をインストールして、グループポリシーの設定などができるか確認します。
以上が、Microsoft Entra Domain Servicesを導入する際の大きな流れです。各ステップにはもっと細かい設定や注意点がありますので、実際に作業する際は、必ずマイクロソフトの公式ドキュメントを参照しながら進めてください。Microsoft Entra Domain Servicesの導入は、計画的に行うことが成功の秘訣です。
Microsoft Entra Domain Services 導入前後での注意点
Microsoft Entra Domain Servicesはとても便利なサービスですが、スムーズに導入し、安定して使い続けるためには、いくつか気をつけておきたい点があります。導入する前と、導入した後に分けて、主なポイントを見ていきましょう。
導入する前の注意点
- 導入目的をはっきりさせる: なぜMicrosoft Entra Domain Servicesが必要なのか、目的を明確にしておくことが大切です。「古いシステムをクラウドで動かしたい」「クラウドのパソコン管理を楽にしたい」など、目的によって最適な設定やプランが変わってきます。
- ネットワークの計画:
- 専用の区画（サブネット）: Microsoft Entra Domain Servicesを設置する場所（サブネット）は、他のシステムとは分けた専用のものを用意することが強く推奨されます。
- 通信の許可設定（NSG）: Microsoft Entra Domain Servicesが正しく動くためには、特定の通り道（ポート）を使った通信が必要です。
- IPアドレスの余裕: 将来的に利用が増えることも考えて、IPアドレスの数に余裕のあるサブネットを用意しましょう。
- DNSドメイン名の決定: 一度決めたDNSドメイン名は後から変更できません。社内にある既存のドメイン名との関係や、Microsoft Entra IDで使っているドメイン名などを考慮して、慎重に決めましょう。一般的には、社内のドメインとは少し違う名前（例: aadds.contoso.com のように接頭辞をつけるなど）を使うことが勧められています。
- パスワード情報の同期確認: 社内ADとMicrosoft Entra IDを同期している場合は、前にも述べた「パスワードハッシュ同期」が有効になっているか必ず確認してください。もし有効になっていない場合は、設定を変更する必要があります。これがないと、ユーザーはMicrosoft Entra Domain Services環境で自分のパスワードでログインできません。
- 同期する範囲の検討: Microsoft Entra IDのすべてのアカウントを同期するのか、それとも必要なグループだけにするのかを決めます。不要な情報まで同期すると、管理が複雑になったり、余計なコストがかかったりする可能性があるため、必要最小限の範囲にするのが良いでしょう。
導入した後の注意点
- DNS設定の再確認: 導入が終わったら、関係する仮想ネットワークのDNS設定が、正しくMicrosoft Entra Domain ServicesのIPアドレスを見るように設定されているか、必ず確認してください。ここが間違っていると、ドメイン参加やログインができません。
- 管理者グループの管理: ドメインを管理する権限を持つ「AAD DC Administrators」グループのメンバーは、必要最小限に絞り、誰がメンバーになっているかをきちんと管理してください。
- パスワードのルール: Microsoft Entra Domain Servicesには、初期設定でパスワードの複雑さや有効期限などのルール（パスワードポリシー）があります。必要であれば、もっと細かいルール（Fine-Grained Password Policies）を設定することもできます。
- アカウントロックアウト: 何度もログインに失敗したアカウントを一時的に使えなくする「アカウントロックアウト」の仕組みがあります。これも設定を変更できます。
- 管理用ツールの準備: Microsoft Entra Domain Servicesのドメインを管理するには、専用の管理ツール（RSAT）をインストールしたパソコン（ドメインに参加済み）が必要です。「Active Directory ユーザーとコンピューター」や「グループポリシーの管理」といったツールを使います。Microsoft Entra Domain Servicesのサーバー自体に直接ログインすることはできません。
- バックアップと復旧: データのバックアップはマイクロソフトが自動で行ってくれます。利用者が自分でスケジュールなどを設定する必要はありません。万が一の際の復旧もマイクロソフトが行いますが、特定のアカウントだけを過去の状態に戻す、といった細かい操作はできません。
- 状態の監視: Azureの監視サービス（Azure Monitor）と連携させて、Microsoft Entra Domain Servicesが正常に動いているか、おかしな点はないかを常にチェックし、問題があれば通知が来るように設定しておくことをお勧めします。
これらの注意点をしっかり理解し、計画的に導入・運用を進めることで、Microsoft Entra Domain Servicesのメリットを最大限に引き出すことができます。
まとめ
この記事では、マイクロソフトが提供する、クラウド上で利用できるお任せ型のドメインサービス「Microsoft Entra Domain Services」について、基本的な仕組みから、できること、メリット、料金、導入の手順、そして利用する上での注意点まで、解説してきました。
Microsoft Entra Domain Servicesは、これまで多くの企業で使われてきたActive Directoryの主要な機能（ドメイン参加、グループポリシー、LDAP、Kerberos/NTLM認証など）を、Azureというクラウド環境で、サーバー管理の手間なく利用できるようにする画期的なサービスです。IT担当者の負担を大きく減らしながら、使い慣れた管理方法をクラウドでも継続できる点が、最大の魅力と言えるでしょう。
特に、次のようなことを考えている企業や組織にとって、Microsoft Entra Domain Servicesは非常に有力な選択肢となります。
- 社内で使っているActive Directoryに依存した古いシステムを、あまり手間をかけずにクラウドへ移行したい。
- Azure上に作った仮想マシンを、社内と同じようにドメインに参加させ、グループポリシーで管理したい。
- 社内にあるActive Directoryサーバーの維持管理コストや手間を削減したい。
- Microsoft Entra IDと連携させて、クラウドと社内のID管理をもっとシンプルに、便利にしたい。
- Active Directoryの専門家はいないけれど、ドメイン管理の仕組みを利用したい。
もちろん、導入にあたっては、ネットワークの準備や同期の設定、権限の管理など、事前にしっかり計画し、注意すべき点もあります。しかし、これらのポイントを押さえて導入・運用すれば、Microsoft Entra Domain Servicesは、皆さんの会社のクラウド活用を大きく前進させ、より効率的で安全なIT環境を作るための強力な味方となってくれるはずです。
クラウドへの移行や、既存システムの刷新を検討されているなら、ぜひMicrosoft Entra Domain Servicesの活用を考えてみてはいかがでしょうか。この記事が、その検討を始めるための一助となれば幸いです。
コメント