パスワード ハッシュ同期とパススルー認証: ハイブリッド ID の適切な方式の選び方

By Mirko Peters · 2026-08-15

Microsoft Entra Connect におけるパスワード ハッシュ同期とパススルー認証を比較し、組織に適したハイブリッド ID の方式を選ぶ方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft Entra Connect で適切な認証方式を選ぶことは、ハイブリッド ID を成功させるうえで極めて重要です。この詳細解説では、パスワード ハッシュ同期とパススルー認証を比較し、そのアーキテクチャ、セキュリティへの影響、耐障害性の利点を分析します。IT 管理者が自社の環境に最適な方式を選べるように支援することが目的です。

重要なポイント

• パスワード ハッシュ同期では、サインインのたびにオンプレミスの Active Directory に問い合わせることなく、Microsoft Entra ID がクラウド認証を独立して実行できます。
• パススルー認証では、クラウドへのサインイン要求を安全なオンプレミスのエージェント経由で転送するため、すべてのパスワード検証に Active Directory が継続的に関与します。
• パスワード ハッシュ同期の主な利点はクラウドの耐障害性です。社内ネットワークやドメイン コントローラーが一時的に障害を起こしても、サインインは成功し続けます。
• クラウド認証とオンプレミスでの検証のどちらを選ぶかは、組織のセキュリティ要件、コンプライアンス要件、インフラストラクチャの依存関係に基づいて決めるべきです。

ハイブリッド認証モデルの理解

オンプレミスの Active Directory 基盤を維持したまま、ワークロードを Microsoft 365 へ移行する組織は、ハイブリッド ID の世界に入ることになります。この移行プロセスで IT 管理者が行うべき最も基本的なアーキテクチャ上の判断の一つが、ユーザーの認証方法を決めることです。同期は、社内の台帳とクラウドの受付窓口の間で ID 情報を一致させますが、認証は、ユーザーが本当に本人であることを実際に確かめる作業です。

Microsoft Entra Connect では、オンプレミスのディレクトリをクラウド認証に接続するための複数の方法をサポートしています。しかし、組織は主要な 2 つの方式、つまりパスワード ハッシュ同期（PHS）とパススルー認証（PTA）のどちらを選ぶべきか迷うことがよくあります。どちらの方式もパスワードの検証方法が異なり、固有の可用性への依存関係をもたらし、モダン ワークプレイスの全体的な耐障害性に影響します。

パスワード ハッシュ同期の解説

一見すると警戒されがちな名前ですが、パスワード ハッシュ同期は、Microsoft 365 環境で最も広く展開され、推奨されている認証方式です。Entra Connect が、読み取り可能な平文の従業員パスワードをクラウドにコピーすることはありません。代わりに、Active Directory はパスワード情報を強力に保護されたハッシュ形式で保存しています。

同期の際、Entra Connect はこの保護された情報を受け取り、さらに暗号化の処理を加えたうえで、その結果のハッシュを Microsoft Entra ID に同期します。従業員が Teams、Exchange Online、SharePoint にサインインしようとすると、Microsoft Entra ID は入力されたパスワードを、この同期済みのハッシュと直接照合して検証します。オンプレミスの Active Directory 基盤は、クラウドへのサインイン要求のすべてに関与する必要はありません。

耐障害性とパフォーマンスの利点

Password Hash Synchronizationの最大の利点は、アーキテクチャ上の回復力です。認証がすべてMicrosoft'sのクラウド内で完結するため、ローカルのデータセンターで障害が発生したり、ドメインコントローラーが停止したり、オフィスとローカルネットワーク間のインターネット接続が一時的に切断されたりしても、ユーザーはサインインを続け、クラウドの生産性アプリにアクセスできます。リモートワーカー、モバイルデバイス、分散した支店を支える現代の企業にとって、このクラウドファーストの検証は重大なボトルネックを取り除き、常時稼働するローカルインフラへの依存を減らします。

パススルー認証の仕組み

Pass-Through Authenticationは、根本的に異なるアーキテクチャモデルに従います。この方式では、従業員がMicrosoft 365アプリケーションに資格情報を入力すると、Microsoft Entra IDがサインイン要求を受け取りますが、単独ではパスワードを検証できません。代わりにEntra IDは、社内ネットワーク内のサーバーにインストールされたセキュアなソフトウェアエージェントに要求を渡します。

これらのPTAエージェントは、ローカルのActive Directoryドメインコントローラーに対してパスワードを直接検証し、その後、はい／いいえの応答をクラウドに返します。つまり、クラウドへのサインインのたびに、パスワードの検証プロセスを完全に管理するのはローカル環境です。

インフラストラクチャの依存関係とリスク

Pass-Through Authenticationは、サインインのたびにローカルのディレクトリの関与を求めるような特定のコンプライアンス要件や組織のポリシーを満たしますが、大きな運用上の依存関係をもたらします。ローカルネットワークがダウンした場合、PTAエージェントが故障した場合、またはドメインコントローラーが応答しなくなった場合、組織全体のクラウドサインインが停止する可能性があります。単一障害点を避けるには、複数の認証エージェントを別々のローカルサーバーに展開して高可用性を維持する必要があります。

組織に適した方式の選び方

Password Hash SynchronizationとPass-Through Authenticationのどちらを選ぶかには、組織のビジネス要件とリスク許容度を冷静に評価することが必要です。高可用性、ローカルインフラの運用負荷の最小化、リモートワーカーにとってのシームレスなクラウド体験が主な目標であれば、Password Hash Synchronizationがほぼ常に最適です。不要な認証の依存関係を排除しつつ、高いセキュリティ基準を維持できます。

反対に、厳格な規制の枠組みや社内のガバナンスポリシーにより、パスワードの検証が社内データセンターの物理的な境界の外で行われることが明確に禁じられている場合は、堅牢なエージェント基盤の維持に必要なリソースを投資することを前提に、Pass-Through Authenticationがそのようなローカルでの制御を提供します。ハイブリッドIDの基本や、同期が日々どのように機能するかを詳しく知りたい場合は、専門家の知見と実践的な戦略を得るために、ぜひエピソード全体を聴いてください。

よくある質問

Password Hash Synchronizationは、読み取り可能なパスワードをクラウドに保存しますか？

いいえ。Password Hash Synchronizationは、ローカルのActive Directoryから保護されたパスワードハッシュを処理し、暗号化されハッシュ化された形式に変換してMicrosoft Entra IDに送信します。平文のパスワードが同期されたりクラウドに保存されたりすることはありません。

PHSを使用している場合、ローカルネットワークの障害中でもMicrosoft 365にサインインできますか？

はい。Microsoft Entra IDは、同期されたパスワードハッシュを使用して認証を直接検証するため、ローカルのActive Directoryドメインコントローラーやオフィスネットワークが完全にオフラインになっても、クラウドへのサインインは引き続き機能します。

Pass-Through Authenticationエージェントがオフラインになった場合はどうなりますか？

Pass-Through Authenticationエージェントがすべて接続を失ったり故障したりすると、ユーザーはMicrosoft 365のクラウドサービスにサインインできなくなります。そのため、業務継続性を確保するには、エージェントを冗長に展開することが不可欠です。

Entra Connectは多要素認証と条件付きアクセスを処理しますか？

いいえ。Entra Connectは、IDの同期と認証方法の接続を管理します。多要素認証（MFA）と条件付きアクセスポリシーは、最初のサインイン検証の後にMicrosoft Entra IDによってネイティブに適用されます。