ユーザー同期のトラブルシューティング

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Microsoft Entra ID にユーザーが同期されない問題を修正します。ソースID、スコープ、属性、コネクタ、同期の正常性を、手順に沿って確認します。

Automatically translated with AI from the original post. Read the English original

この記事にたどり着いたということは、Microsoft のクラウドにユーザー アカウントが表示されないという、よくある問題に悩まされているのではないでしょうか。Microsoft Entra ID でユーザーが見つからない場合も、ハイブリッド AD の同期が不完全な場合も、なかなか解決しない単一のアカウントの場合も、ここが適切な参考先です。こうした状況は、Microsoft 365、Azure、ハイブリッド ID 環境を管理する方にとって頭痛の種です。

このガイドでは、最も一般的な同期の障害を取り上げます。同期の遅延、ユーザーの消失や重複、「見つかりません」エラー、分かりにくいステータス メッセージなどです。基本から高度なシナリオまで対応するプレイブックを用意しました。ディレクトリ エージェントの インストール失敗から、複雑なオブジェクト マッチングの競合まで扱います。ユーザー同期の問題を解きほぐす際に必要な重要チェックポイント、ログ、ツールをすべて取り上げ、なぜ段階的に丁寧な手順を踏むことが重要なのかも説明します。

手順に沿った案内、同期の仕組みの解説、対処方法、修正内容の検証方法をご紹介します。Active Directory、Windows Server、Microsoft の管理ポータルに慣れていることを前提としていますが、特別な専門知識がなくても問題なく進められます。管理者の帽子をかぶって、ユーザーを本来あるべき場所に同期させましょう。

Microsoft Entra オンプレミス統合におけるクラウド同期の障害の診断

オンプレミスの Active Directory から Microsoft Entra ID へユーザーを同期することは、クラウド サービス全体で ID とアクセス権を最新の状態に保つうえで不可欠です。このプロセスは Microsoft Entra Connect によって実行されます。Microsoft Entra Connect は、環境内の変更をクラウドにコピーする橋渡し役です。この橋が不安定になる、あるいは機能しなくなると、ユーザーや組織がログインの失敗やアカウントの欠落という形で代償を払うことになります。

統合が正常に機能するためには、堅牢なアーキテクチャ、正しい前提条件、予測可能な同期フローが基盤となります。わずかな設定ミス、見落とされたファイアウォール ルール、省略されたサービス アカウントのアクセス許可でも、ユーザーやグループが見つからない原因を長時間追うことになりかねません。そのため、詳細に踏み込む前に、全体像を把握することが重要です。具体的には、オンプレミスからクラウドへの引き継ぎ、関係するネットワーク トンネル、サービスの依存関係を理解しておく必要があります。

このセクションでは、ハイブリッド同期の仕組みと、IT チームが特に新しい要件や環境の変化に不意を突かれたときに、どこでつまずきやすいのかを説明します。各構成要素の仕組みを理解しておけば、今後のトラブルシューティングも分かりにくさが減り、ずっと速く進められるようになります。

Microsoft Entra のオンプレミス オブジェクトがクラウドと同期する仕組み

Microsoft Entra Connect の構成では、ユーザーやグループなどのオンプレミス AD オブジェクトは、一意の属性のセットを使ってクラウドにマッピングされます。その中でも重要なのが Immutable ID です。これはオンプレミス ディレクトリの objectGUID から生成され、Microsoft Entra ID における確定的な照合キーとして使用されます。

オブジェクトが作成または変更されると、Entra Connect はデータを取得し、同期ルールや属性マッピングを適用して、対応するオブジェクトをクラウドで作成、更新、またはリンクするかを判断します。これにより、名前、GUID、マッチング ロジックが正しく設定されていれば、各ユーザーの ID が環境をまたいで一貫して保たれます。ほとんどの不一致や同期の停止は、属性の不整合や、ハイブリッド環境においてどのオブジェクトが ID を「所有」しているのかの混乱に起因します。

Microsoft Cloud Sync の ポートとアクセス URL の確認

• 送信 TCP ポートの確認: 同期サーバーが Microsoft の主要サービスに接続できることを確認します。通常、送信トラフィックでは TCP ポート 80(HTTP)と 443(HTTPS)を開放する必要があり、場合によっては 8080 も必要です。
• 必要な URL へのアクセスの確認: Microsoft Entra Connect は、login.microsoftonline.com、graph.windows.net、*.servicebus.windows.net などのエンドポイントに到達できる必要があります。必要な URL の完全で最新の一覧は、Microsoft のドキュメントで確認できます。
• PowerShell またはブラウザーでのテスト: Test-NetConnection、curl、またはブラウザーなどのツールを使って、エンドポイントが応答するかを確認します。接続がブロックされている場合は、DNS、ファイアウォール、プロキシの問題が原因の可能性があります。
• ファイアウォールとプロキシのログの確認: 特に制限の厳しいエンタープライズ環境では、送信トラフィックを黙って破棄する TLS/SSL インターセプトやプロキシ認証の問題が発生していないか、改めて確認してください。

ハイブリッド同期環境のサービス状態の確認

同期を円滑に保つため、Entra Connect サーバーとクラウドの両方で、重要なサービスがすべて正常に稼働している必要があります。オンプレミスでは、services.msc または同期サービス マネージャー コンソールから Microsoft Entra Connect 同期サービスの状態を確認します。停止、無効化、またはクラッシュしているサービスに注意してください。これらは多くの場合、同期を完全に停止させます。

クラウド側では、同期に影響する可能性のあるインシデントについて、Microsoft サービス正常性ダッシュボードを確認します。サービス ログ、アラート、ステータス メッセージから、更新、障害、または一時的な問題がハイブリッド ID の接続に影響しているかどうかがわかります。サービス正常性の状態をすばやく把握すると、環境要因の問題と特定の構成の問題を切り分けやすくなります。

エージェントの問題と同期サーバーの構成のトラブルシューティング

特に初回展開やアップグレードの際は、ユーザー オブジェクトがサーバーから一度も出ていかないうちに、さまざまな問題が起こりえます。同期エージェントには、適切なアクセス許可、ソフトウェアの前提条件、ネットワーク到達性が必要です。しかし実際の環境は複雑です。グループ ポリシーによって実行が制限されていたり、ウイルス対策ソフトがインストール手順をブロックしていたり、そもそも管理者権限が不足していたりします。

このセクションでは、エージェント側の問題がなぜこれほど頻繁に発生するのかに焦点を当てます。インストールの失敗から予期しないサービスのクラッシュまで、繰り返し発生する多くの問題は、同期エージェントが Windows Server ホスト上でどのように構成され、正常に維持されているかに起因しています。更新の失敗、孤立した依存関係、メンテナンスの怠慢によっても同期が停止し、ユーザー ディレクトリが同期されない状態になることがあります。

クラウド側の問題を疑う前に、ローカルで動作するエージェントを実際に確認しておくことが重要です。以降のセクションでは、迅速な確認手順と確実な修正方法を順に説明します。これにより、クラウド側の問題を調べる前に、同期サーバーが自身の役割を果たしていることを確認できるようになります。

よくあるエージェントのインストールの問題とサーバーの設定手順

• セットアップ時のアクセス許可不足: エージェントのインストールが失敗する主な原因の 1 つは、ローカル管理者として実行していないこと、または Active Directory で委任された権限が不足していることです。インストーラーを起動する前に、必ずアクセス許可を確認してください。
• サービス アカウントの構成ミス: 同期サービスには、ディレクトリとローカル サーバーの特定の権限を持つ専用のアカウントが必要です。適切にスコープが設定されていないアカウントを使用したり、アカウントのパスワードの有効期限が切れたままにしたりすると、起動エラーや実行時の障害につながります。
• 証明書と TLS/SSL の信頼に関する問題: 特にセキュリティ統制が厳しいハイブリッド環境では、ルート CA が欠落していたり期限切れになっていたりすることで問題が起こりがちです。その結果、エージェントとクラウドの間で TLS ハンドシェイクが暗黙のうちに失敗します。Windows の証明書ストアに、必要なすべての信頼されたルート CA が含まれていることを確認してください。
• OS と前提条件の古さ: サポートされていない、またはパッチが適用されていない Windows Server で Entra Connect を実行していたり、.NET Framework の依存関係が不足していたりすることは、繰り返し発生する問題です。インストールまたはアップグレードの前に、サポートされている最新の OS と前提条件の更新プログラムを必ず確認してください。
• 競合するソフトウェアや GPO ポリシー: エンドポイント保護、ファイアウォール、または制限の厳しいグループ ポリシー オブジェクトが、エージェントの起動や動作を妨げることがあります。インストールが繰り返し失敗する場合や、明確なエラーなしでサービスがクラッシュする場合は、セキュリティ ソフトウェアのログとグループ ポリシーの設定を確認してください。

オブジェクトの同期状態の監視とデルタ同期の実行手順

• 同期状態の確認: Entra Connect サーバーで同期サービス マネージャーを開きます。「操作」タブで、最近の同期サイクル、エラー、インポート/エクスポートされたオブジェクトの数を確認します。
• 手動でデルタ同期を実行する: 同期サーバー上で PowerShell を使用します: Start-ADSyncSyncCycle -PolicyType Delta。これにより最近の変更のみが同期されるため、完全同期と比べて待ち時間を短縮できます。
• 同期結果の検証: サイクルが完了したら、「操作」の一覧とイベント ログで新しいエラーがないか確認します。Microsoft Entra 管理センターで、ユーザー、グループ、または属性の変更がクラウドに反映されていることを確認します。
• 失敗メッセージの解釈: 同期サービスのログまたは PowerShell の出力で失敗の詳細を確認します。同期が漏れる原因となる、一致しないユーザー、アクセス許可の拒否、属性の競合などを探してください。

オブジェクトの同期の問題と照合エラーの調査

同期の問題がすべて、サーバーやサービスの広範な障害とは限りません。多くの場合、原因は個々のユーザーやグループにおける属性の競合、重複、またはオンプレミスとクラウドの間の不一致です。これらは IT 担当者を夜も眠れなくさせるエラーです。同期環境自体は正常なのに、その一つの厄介なアカウントだけが表示されない、統合されない、正しく更新されない、という状況が起こります。

原因は、UPN のタイプミスから、一致するメール アドレスや proxyAddress 属性を持つ古い残存オブジェクトまで、さまざまです。Microsoft のハイブリッド ID は「マッチング」と呼ばれる一連の処理に依存しています。プライマリ属性に基づくソフト マッチングと、イミュータブル ID を使うハード マッチングです。いずれかの手順で失敗すると、オブジェクトが同期されないか、さらに悪いことに、重複や孤立したオブジェクトとして表示されます。

このセクションでは、オブジェクト レベルで同期の失敗を診断する方法を習得し、どれだけ深く掘り下げる必要がある場合でも、名前の衝突、属性の不一致、認可の誤りを見つけられるようになります。その後は、最も見つけにくいアカウントでも、正しくマッチングして同期する方法がわかるようになります。

オンプレミス オブジェクトとディレクトリ オブジェクトの同期状態の診断

• 属性の競合を確認する: 同期サービス マネージャーや PowerShell(Get-ADUser、Get-MsolUser)などのツールを使い、オンプレミスとクラウドのアカウント間で主要な属性(UPN、メール、proxyAddresses)を比較します。
• 同期ログと状態を確認する: 最近の同期サイクルを詳しく確認し、同期サービスの [操作] タブに表示される「export errors」や「not synchronizing」の警告など、ユーザー レベルのエラーを探します。
• マッチングのロジックを検証する: オンプレミス オブジェクトのイミュータブル ID(objectGUID から導出)が Microsoft Entra ID の値と一致することを確認します。ここに不一致があれば、同期問題の危険信号です。
• 重複を検索する: クエリを実行するか、ポータルのフィルターを使い、同じ属性を持つ既存のクラウド専用オブジェクトを見つけます。これらは、オンプレミスの同期をブロックしている可能性があります。

隔離されたプロビジョニングの問題とディレクトリ サービスの認可の解決

• 隔離状態を特定する: Microsoft Entra 管理センターまたは同期ログで、データまたはアクセス許可の問題により「quarantined」とマークされたユーザーを探します。
• ディレクトリのアクセス許可を確認する: Entra Connect が使用するサービス アカウントに、必要な AD オブジェクトと属性への読み取りおよび書き込みアクセス許可があることを確認します。
• 属性違反を確認する: 属性がポリシーに違反している(無効な形式や制限された値など)場合、ユーザーが隔離されることがあります。オンプレミスで修正してから、同期を再実行します。
• 隔離状態を解除する: 根本的な問題を修正したら、ポータルまたは PowerShell でユーザーを隔離から解除し、差分同期をトリガーして通常の動作を復元します。

ログ、ファイル、Microsoft ポータルを使用したクラウド同期のトラブルシューティング

基本的なチェックと構成を確認しても、ユーザーが同期されない場合は、利用可能な豊富な診断ツールを調べる段階です。Microsoft Entra Connect とそのクラウド サービスは、各同期サイクルで何が起きたかを詳細に記録します。Windows サーバー上のログ ファイル、Windows イベント ビューアーのエンコードされたエラー メッセージ、Microsoft Entra 管理センターの完全な状態ダッシュボードまで、さまざまな形で残ります。

適切なログを確認し、ポータルのリアルタイムの分析情報を使うと、推測から事実へと移行できます。どのエラーが発生したか、どのオブジェクトが停止したか、問題がお使いの展開にあるのか、Microsoft サービス自体にあるのかがわかります。自動化ツールとポータルのグラフベースのレポートを使えば、パターンを見つけ、今後の修復をスケジュールして再発を防ぐこともできます。

このセクションでは、サイレントな同期の欠落、原因不明の不一致、同期サービスが「成功」と表示しているのにユーザーがまだ存在しないといった特殊なケースの原因を突き止めるための、中核となるツールを紹介します。これらのツールを手元に置けば、厄介なハイブリッド ID の問題も解きほぐしやすくなり、次回の再発防止にもつながります。

ログ ファイルとクラウド同期のトラブルシューティング出力の確認

• 同期サービス マネージャーのログ: C:\ProgramData\Microsoft\Azure AD Connect\Trace にあり、すべての同期操作と一般的なエラー コードが記録されています。
• Windows イベント ビューアー: アプリケーションとシステムのログで「Directory Synchronization」または「Azure AD Connect」のイベントを確認します。警告またはエラーでフィルターします。
• Entra Connect Health ポータルのログ: クラウドベースの可視化と履歴のエラー追跡を提供します。断続的または継続的な問題を見つけるのに最適です。
• PowerShell の出力: Get-ADSyncScheduler や Get-ADSyncRunProfile などのスクリプトで、オブジェクトの同期結果と失敗の詳細をリアルタイムに確認できます。

Microsoft ポータルと自動化センターを使った同期の監視

Microsoft Entra 管理センターは、同期状況をリアルタイムで把握するための一元的な窓口です。「ID」セクションから、同期の正常性を確認し、オブジェクト単位のエラーを追跡し、直近の同期サイクルを詳しく調べることができます。自動化センターでは、同期のスケジュール設定、失敗時のアラート設定、よくある問題に対するワンクリックでの修復の適用が可能です。

継続的な問題やユーザー単位のブロックについては、オンラインヘルプセンターの資料と Microsoft Graph のレポート機能が背景の理解に役立ちます。これらのツールを使うことで、トラブルシューティングは勘に頼る作業から、データに基づく計画的なプロセスに変わります。その結果、火消し作業から離れ、先回りした ID 管理に注力できるようになります。

同期の解決確認と報告の手順

• オブジェクトの存在を確認: オンプレミスの AD とクラウドポータルの両方で同期対象のユーザーまたはグループを検索し、オブジェクトが正しく移行されたことを確認します。
• サインインとアクセス許可をテスト: 影響を受けたユーザーでクラウドにサインインし、資格情報とアクセス ポリシーが想定どおりに機能することを確認します。
• 同期ログを確認: 直近の同期サイクルでエラーが 0 件であること、以前にフラグが付いたオブジェクトが「成功」または「完了」になっていることを再確認します。
• 修正内容を文書化: 今後の参照に備えて、事象、症状、対応手順、結果をチームのインシデント ログまたはナレッジ ベースに記録します。
• フォローアップの同期をスケジュール: 同じ問題が再発した場合に早期の兆候を捉えられるよう、定期的なチェックや監視を設定します。

フィードバックの共有とコミュニティでの議論からの学習 (21)

• Microsoft へのフィードバック: Entra 管理センターのフィードバック ボタン、または Microsoft Docs を使って、バグの報告や新機能の要望を送信します。これはすべての管理者向けツールの改善につながります。
• フォーラムでの議論に参加: Microsoft Tech Community や Entra ID の専用スペースに参加し、質問したり回答に貢献したりします。同様の状況について、少なくとも 21 人の他の管理者が投稿しています。その知見や注意点から学びましょう。
• コメントで自分のケースを共有: 独自の同期の課題の詳細をナレッジ ベースの記事に追記すると、今後の読者が実際の修正例を参考にできます。
• 管理センターのリソースを活用: トラブルシューティング ガイドや、Entra ID と条件付きアクセスに関するこちらのエピソードなどのポッドキャストのリンクを利用して、理解を深めてください。

ハイブリッド同期における Immutable ID とオブジェクト照合の競合の理解

ここからは少し高度な内容になります。ハイブリッド同期におけるオブジェクトの照合は万全ではなく、同期失敗の最も厄介な原因の一つが Immutable ID の不一致です。オンプレミス ディレクトリから同期されたユーザーはすべて、元の objectGUID に由来する一意の Immutable ID をクラウドに持っています。適切なクリーンアップを行わずにユーザーを再作成または移行すると、新しいオンプレミス オブジェクトには新しい objectGUID が割り当てられますが、古い Immutable ID はクラウド アカウントに紐付いたままになります。この目に見えない不一致により、同期が静かにブロックされたり、重複が生じたりします。

さらに厄介なことに、過去の移行で作成されたクラウド専用のユーザー オブジェクトが残っていて、オンプレミスからの新しい同期を妨げることがあります。こうした古い、または孤立したオブジェクトを特定して削除しなければ、新しく作成したユーザーが表示されなかったり、最悪の場合は同一人物のアカウントが二つできてしまったりします。多くのガイドではこうしたシナリオに触れていませんが、実際の ID 展開において最も頭の痛い問題の一つです。

このセクションでは、Immutable ID の競合がどのように、なぜ発生するのかを詳しく解説し、これらのエラーを切り分けて解決するための実践的な手順を示します。簡単な対処で解決しない場合に ID の不一致を疑うのであれば、以降のサブセクションはツールキットの一部として必読です。

ユーザーの再プロビジョニング時における Immutable ID の不一致の根本原因分析

Immutable ID の不一致は、オンプレミスのユーザーを、クラウド側のオブジェクトを先に削除または更新せずに削除して再作成した場合に発生します。新しいオンプレミス ユーザーは同じ UPN やメール アドレスを持つ可能性がありますが、objectGUID は新しいものになるため、生成された Immutable ID が Microsoft Entra ID 上の値と一致しません。その結果、同期は静かに失敗するか照合エラーを出し、クラウド上でアカウントが孤立したり重複したりします。

これを解決するには、管理者は競合しているクラウドオブジェクトを特定し、Immutable ID を更新して新しいオンプレミスユーザーと厳密に一致させるか、新たな同期の前に古いクラウドオブジェクトを削除する必要があります。このプロセスは、ユーザーの移行、復元、再プロビジョニングの際に極めて重要であり、スムーズな引き継ぎとディレクトリレイヤーでの見えない障害の回避につながります。

オンプレミスとクラウドにまたがる重複ユーザーオブジェクトの検出と解決

• クラウドのみのユーザーを特定する: ポータルのフィルターと PowerShell（Get-MsolUser -All | Where-Object {$_.LastDirSyncTime -eq $null}）を使用して、オンプレミスから一度も同期されなかったユーザーオブジェクトを見つけます。
• 属性の競合を確認する: クラウドのみのアカウントとオンプレミスのアカウントの UPN やメールなどの主要な属性を比較し、重複を見つけます。
• 重複を削除またはマージする: オンプレミスからの同期を再試行する前に、ポータルまたは PowerShell でクラウドのみのオブジェクトを削除またはマージします。これによりブロックが解消され、目的のオブジェクトが表示されるようになります。
• オンプレミスのユーザーを再同期する: デルタ同期を実行し、新しいオブジェクトが正しい属性と Immutable ID を持ってクラウドに反映されたことを確認します。
• クリーンアップを文書化する: 今後の移行や組織再編時に混乱を避け、問題の再発を防ぐため、すべての変更と解決手順を記録してください。

あわせて聴いていただきたいエピソード

Microsoft Entra ID にユーザーが同期されない問題について調べている場合、以下のエピソードが、ID のセキュリティ、ガバナンス、信頼性の高い Microsoft 365 運用に関する実践的な背景を補足します。

• Conditional Access – Simply Explained — ID、デバイス、場所、リスクのシグナルがアクセス判断をどのように形作るかを理解できます。
• Privileged Identity Management – Simply Explained — 必要なときだけ特権を付与する仕組みと承認ワークフローによって、管理者の露出がどのように減るかを確認できます。
• Microsoft Defender XDR – Simply Explained — ID のシグナルを検出、調査、インシデント対応と結び付ける方法を学べます。
• Microsoft Teams Governance – Simply Explained — 明確なオーナーシップとライフサイクルのルールが、安全なコラボレーションをどのように持続可能にするかを学べます。

これらのエピソードは、技術的な手順を、より広い ID とガバナンスの戦略へと結び付ける助けになります。