Microsoft Entra Cloud Sync と Entra Connect の比較：適切なハイブリッド ID ツールの選び方

By Mirko Peters · 2026-08-15

Microsoft Entra Cloud Sync と Entra Connect を比較し、組織の IT アーキテクチャにどちらのハイブリッド ID 同期ツールが適しているかを判断します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 のハイブリッド ID 戦略を計画する際、IT 管理者は Microsoft Entra Cloud Sync と従来型の Entra Connect のどちらかを選択する必要があります。このガイドでは、両者の基本的なアーキテクチャの違い、高可用性モデル、機能セットを解説し、組織のインフラストラクチャに最適な同期ツールの選択を支援します。

重要なポイント

• Entra Cloud Sync は、軽量なローカル エージェントを使用して、中核となるプロビジョニング処理を Microsoft クラウドに移します。
• Entra Connect は、ローカルの SQL データベースを基盤とする、大規模なオンプレミス同期エンジンに依存しています。
• Cloud Sync は、複雑なフェールオーバー構成を必要とせずに、複数のアクティブ/アクティブ型プロビジョニング エージェントによる高可用性をネイティブにサポートします。
• 合併や買収によって生じた切断された Active Directory フォレストも、Cloud Sync を使えば単一のテナントに簡単に同期できます。
• 高度なカスタム ルール、パススルー認証、複雑なフェデレーション シナリオでは、引き続き Entra Connect が必要です。

アーキテクチャの変化を理解する

長年にわたり、ハイブリッドな Microsoft 365 環境を管理する組織は、主にオンプレミスに専用の同期エンジンを配置するという従来型のパターンに大きく依存してきました。この古典的なモデルでは、ローカルの Active Directory のレコードを読み取り、ビジネス ルールをローカルで処理し、ローカルの SQL データベースを管理して、更新内容を Microsoft Entra ID へ送信します。この構成は複雑なディレクトリ環境に対して高い柔軟性をもたらしましたが、同時にローカルでの大きな運用負荷も生みました。IT チームは同期サーバーにパッチを適用し、ローカル データベースの状態を監視し、予期しないハードウェア障害に備えて手動のディザスター リカバリー計画を策定しなければなりませんでした。

これに対して、クラウド管理型の同期は、重い処理がどこで行われるかを根本から変えます。企業のデータセンター内で処理ロジックを実行する代わりに、サービスが大半のプロビジョニング ルールを Microsoft クラウド内で直接処理します。ローカルのフットプリントは、軽量なプロビジョニング エージェントへと大幅に縮小されます。このエージェントは安全な運び役として働き、アウトバウンド接続を使ってローカルの Active Directory の属性を読み取り、クラウドへ安全に送信します。計算負荷をローカルのインフラストラクチャから移すことで、組織は日々の管理負担を大幅に軽減できます。

高可用性とマルチフォレスト機能

クラウド管理型の同期方式を採用する最も説得力のある運用上の理由の一つは、組み込みの回復力です。従来の構成では、ディスク障害や予期しないメンテナンスによってプライマリの同期サーバーがオフラインになると、新規作成されたユーザー アカウントやパスワードの変更がクラウドに届く前に停止してしまいます。このような停止から復旧するには、多くの場合、ステージング モードのサーバーを手動で昇格させる作業が必要です。

Cloud Sync は、複数エージェントによる回復力でこの運用上の課題を解決します。管理者は、Entra 管理センターで同じ構成を参照する複数の軽量プロビジョニング エージェントを、異なるローカル サーバーにインストールできます。Microsoft Entra はこれらのエージェントを自動的に監視し、プライマリ エージェントがオフラインになった場合は、正常なセカンダリ エージェントを経由してトラフィックをシームレスに振り分けます。複雑なデータベース クラスタリングやステージング サーバーの昇格ワークフローを構成する必要はありません。

合併と買収の簡素化

さらに、切断された Active Directory フォレスト（企業の合併・買収後によく見られるシナリオ）を運用している組織にとって、このアーキテクチャは大きなメリットがあります。孤立したローカルフォレスト同士を直接ネットワークで信頼させる複雑な構成に数か月を費やす代わりに、IT 部門は各ネットワーク境界内にプロビジョニングエージェントを配置できます。各エージェントは、ローカルディレクトリを同じ単一の Microsoft Entra テナントに独立して同期させるため、ローカルネットワークの早急な再構成を行うことなく、統合されたクラウド環境を利用できます。

きめ細かなスコープ設定とリスク軽減

ID 同期では、ローカルディレクトリとクラウドの境界を越えて同期させるオブジェクトを正確に管理する必要があります。制御されていない同期では、テスト用アカウント、サービス ID、古いユーザー オブジェクトが誤って本番の Microsoft 365 テナントに取り込まれる可能性があります。どちらの同期方式にもフィルター機能がありますが、クラウド管理型のアプローチでは、組織単位 (OU) の選択やセキュリティ グループの指定によってスコープ設定が簡単になります。

パイロット展開を行う際は、グループベースのスコープ設定が特に有効です。初日から企業のディレクトリ全体をクラウドに公開するのではなく、管理者は少数のテストユーザーを含む 1 つのセキュリティ グループに同期の対象を限定できます。この段階的な展開により、IT 部門は表示名、部門のマッピング、グループのメンバーシップを安全に確認できます。

さらに、クラウド管理ツールには、オンデマンド プロビジョニングのテストといった強力な評価機能も含まれています。ルールを数千人のユーザーに適用する前に、管理者は 1 つの ID をテストして、クラウド構成がオブジェクトをどのように評価し、照合し、更新するかを正確に確認できます。意図しない大量削除が発生した場合に構成を隔離する組み込みの誤削除保護と組み合わせることで、これらの管理上の安全対策は、ディレクトリが壊滅的に破損するリスクを大幅に低減します。

Entra Connect を選ぶべき場合

クラウドファーストの同期モデルには運用上の利点がある一方で、すべての企業シナリオに対する万能の代替手段ではありません。移行を決定する前に、組織は自社の認証要件と過去のカスタマイズを慎重に評価する必要があります。

次のいずれかに依存している場合は、従来の同期方式を引き続き使用する必要があります。

• パススルー認証 (PTA) またはフェデレーション: サインアーキテクチャで、ログイン時にオンプレミスのドメイン コントローラーに対してパスワードを直接検証する必要がある場合、または外部 ID プロバイダーへ認証をリダイレクトする必要がある場合は、従来のツールが引き続き不可欠です。
• 高度にカスタマイズされた同期ルール: 長年にわたり独自の同期ルール、特殊な属性変換、複雑なフォレストをまたぐオブジェクトのマージ ロジックを持つ大規模な企業では、クラウド管理のフィールド マッピングでは高度な要件をまだ再現できないことがあります。
• Exchange ハイブリッドの書き戻しへの依存: 特定の複雑なオンプレミス Exchange ハイブリッド構成では、特定の管理属性をオンプレミスの Active Directory ドメインに書き戻す必要があり、従来のサーバーベースの処理エンジンが求められる場合があります。

まとめ

適切なハイブリッド ID 同期ツールの選択は、最終的には組織のアーキテクチャの複雑さと運用の成熟度によって決まります。単一または複数のフォレストにまたがる標準的なユーザーおよびグループのプロビジョニングに対して、合理化され、可用性が高く、管理しやすいソリューションが必要な場合、クラウド管理のアプローチは優れた最新の代替手段となります。ただし、特殊な認証方式や従来のカスタム ルールに依存している環境では、移行する前に要件を慎重に精査する必要があります。

このトピックをさらに詳しく知り、Microsoft ID アーキテクチャに関する専門家の解説を聞くには、ぜひ完全版の音声ディスカッションをご覧ください。エピソード全編を聴くと、M365 環境に役立つ実践的な知見と具体的な手法が得られます。

よくある質問

Entra Cloud Sync と Entra Connect を同時に実行できますか？

はい、ただし同じユーザーやオブジェクトを同時に管理することはできません。同期の競合を防ぐため、各ツールは固有のユーザーまたは組織単位のセットを管理する必要があります。

Entra Cloud Sync はパスワード ハッシュの同期をサポートしていますか？

はい、Cloud Sync はパスワードハッシュ同期を完全にサポートしており、ユーザーはローカルの Active Directory 資格情報を使用して安全に Microsoft 365 にサインインできます。

Cloud Sync のプロビジョニングエージェントは何台までインストールできますか?

同じ Active Directory ドメイン内の異なるサーバーに複数のプロビジョニングエージェントをインストールできます。これにより、標準で高可用性と自動フェイルオーバーを実現できます。

Entra Cloud Sync は Entra Connect を完全に置き換えるのですか?

Microsoft は標準的なプロビジョニング作業向けの Cloud Sync に引き続き多額の投資を行っていますが、高度なカスタムルールや特定の認証方式が必要な組織向けに、Entra Connect も引き続きサポートされています。