Microsoft Entra Domain Services は、ドメイン参加、グループ ポリシー、ライトウェイト ディレクトリ アクセス プロトコル (LDAP)、Kerberos/NTLM 認証などのマネージド ドメイン サービスを提供します。 クラウドでドメイン コントローラー (DC) のデプロイ、管理、修正プログラムの適用を行わなくても、これらのドメイン サービスを使用することができます。
Domain Services を使用して、Active Directory Domain Services (AD DS) プロトコルに依存し、先進認証を使用するように簡単に変更できないレガシ アプリケーションをサポートします。 Azureのマネージド ドメインに対してこれらのアプリケーションを実行することで、Azureでオンプレミスの AD DS インフラストラクチャを拡張または運用することなく、AD 依存ワークロードをクラウドにリフト アンド シフトできます。
Domain Services は、ユーザー、グループ、および資格情報の権限のソースとして機能するMicrosoft Entra IDと統合されます。 この統合により、ユーザーは既存の ID を使用してマネージド ドメインに接続されているアプリケーションとサービスにサインインでき、Microsoft Entra IDで ID 管理を一元化できます。
Microsoft Entra Domain Services の詳細については、短いビデオをご覧ください。
Microsoft Entra Domain Services を使用する場合
Domain Services は、AD DS プロトコルに依存するアプリケーションまたはワークロードを実行する組織が、Microsoft Entra IDを使用して ID とアクセスの管理を最新化するのに役立ちます。
次のシナリオでは、Domain Services の使用を検討する必要があります。
- リフト アンド シフトレガシ アプリケーション: LDAP、Kerberos、NTLM、グループ ポリシー、またはドメイン参加に依存するアプリケーションがオンプレミスで実行されている。 これらのワークロードをクラウドに移行するが、OIDC や OAuth などの先進認証をサポートするように書き換えないようにする必要がある。
- オンプレミスのフットプリントを削減する: 組織は、ワークロードをクラウドに移行し、オンプレミスのハードウェアを廃止したいと考えています。 オンプレミスの AD DS への認証トラフィックのみにサイト間 VPN 接続を維持する代わりに、Azureでマネージド ドメインを使用できます。
- AD 最小化戦略を実装する: Microsoft Entra IDがプライマリ ID プロバイダーであるクラウドファースト戦略を採用しています。 Domain Services では、残りのレガシ AD DS 依存ワークロードがサポートされており、古い AD DS アーティファクトをAzureに拡張する必要がなくなります。
- レガシ ワークロードの分散: 新しいアプリケーションでMicrosoft Entra IDを直接使用しながら、AD DS に依存するワークロードをAzureに維持する必要があります。
- クラウドのみのレガシ サポート: オンプレミスの AD DS がないクラウドネイティブの組織ですが、LDAP または従来のドメイン参加を必要とする特定のサードパーティ アプリケーションがあります。 Domain Services は、完全な AD DS インフラストラクチャの構築を強制することなく、このギャップを埋めます。
Domain Services は、on-premises Active Directoryの一般的な代替機能やクラウドネイティブ ID サービスの代わりとしてではなく、レガシ認証を必要とするAzureホスト型ワークロードの移行機能として使用できます。
これらのシナリオの詳細については、Microsoft Entra Domain Services のユース ケースとシナリオを参照してください。
クラウド体験でのドメイン サービスのMicrosoft Entra
Entra Domain Services は、"AD 最小化" という目標を達成するのに役立ちます。従来の ID インフラストラクチャへの依存を減らし、Entra ID などの最新のクラウドベースの ID を優先します。
Entra Domain Services は、この体験のブリッジとして機能します。
- 最新のアプリ: 新しいクラウドネイティブ アプリでは、Entra ID を使用する必要があります。
- Legacy apps: Entra Domain Services を使用してAzureで簡単に最新化できない古いアプリを実行します。
この方法により、Azure Virtual Machines (IaaS) に AD DC を手動でデプロイおよび管理する際の複雑さとセキュリティの負担が回避されます。 Domain Services を使用すると、Id 管理を Entra ID で一元化したまま、レガシ アプリに必要な互換性を確保できます。
Microsoft の推奨されるアプローチの詳細については、 クラウド変換の体制に関するページを参照してください。
Microsoft Entra Domain Services のしくみ
Domain Services マネージド ドメインを作成するときは、dscontoso.com などの一意の名前空間 を定義します。 2 つのWindows Server ドメイン コントローラーが、レプリカ セットの一部として選択したAzure リージョンにデプロイされます。
これらのドメイン コントローラーは、Microsoft によって完全に管理されています。 構成、修正プログラムの適用、監視を行う必要はありません。 プラットフォームは、可用性、バックアップ、保存時の暗号化を処理します。
マネージド ドメインは、Microsoft Entra IDから一方向の同期を実行するように構成されます。 Microsoft Entra IDのユーザー、グループ、資格情報はマネージド ドメインで使用できるようになり、Azureのアプリケーション、サービス、仮想マシンは、ドメイン参加、グループ ポリシー、LDAP、Kerberos/NTLM 認証などの使い慣れた AD DS 機能を使用できます。
ハイブリッド環境では、オンプレミスの AD DS からの ID 情報がMicrosoft Entra IDに同期され、マネージド ドメインで使用できるようになります。
Domain Services は、クラウド専用のMicrosoft Entra テナントと、オンプレミスの AD DS 環境と同期されたテナントの両方で機能します。 どちらのシナリオでも、同じマネージド ドメイン機能のセットを使用できます。
また、複数のレプリカ セットを Azure リージョンにデプロイして可用性を向上させ、レガシ アプリケーションのディザスター リカバリー シナリオをサポートすることもできます。 詳細については、 マネージド ドメインのレプリカ セットの概念と機能に関する説明を参照してください。
Microsoft Entra Domain Services の機能と利点
クラウド内のアプリケーションと VM に ID サービスを提供するために、Domain Services は、ドメイン参加、Secure LDAP (LDAPS)、グループ ポリシー、DNS 管理、LDAP バインドと読み取りサポートなどの操作に対して、従来の AD DS 環境と完全に互換性があります。 LDAP 書き込みサポートは、マネージド ドメインで作成されたオブジェクトに対して使用できますが、Microsoft Entra IDから同期されたリソースには使用できません。
Domain Services の次の機能により、展開と管理の操作が簡略化されます。
- 単純な展開エクスペリエンス: ドメイン サービスは、Microsoft Entra管理センターの 1 つのウィザードを使用して、Microsoft Entra テナントに対して有効になります。
-
Microsoft Entra ID: ユーザー アカウント、グループ メンバーシップ、および資格情報を使用した統合は、Microsoft Entra IDから自動的に使用できます。 Microsoft Entra テナントまたはオンプレミスの AD DS 環境からの属性に対する新しいユーザー、グループ、または変更は、Domain Services に自動的に同期されます。
- Microsoft Entra IDにリンクされている外部ディレクトリのアカウントは、Domain Services では使用できません。 これらの外部ディレクトリでは資格情報を使用できないため、マネージド ドメインに同期することはできません。
- 会社の資格情報/パスワードを使用する: Domain Services のユーザーのパスワードは、Microsoft Entra テナントのパスワードと同じです。 ユーザーは、会社の資格情報を使用して、コンピューターのドメイン参加、対話形式またはリモート デスクトップ経由でのサインイン、マネージド ドメインに対する認証を行うことができます。
- NTLM および Kerberos 認証のサポート: NTLM および Kerberos 認証のサポートにより、Windows統合認証に依存するアプリケーションを展開できます。
-
組み込みの高可用性: Domain Services には、マネージド ドメインの高可用性を提供する複数のドメイン コントローラーが含まれています。 この高可用性により、サービスのアップタイムと障害に対する回復性が保証されます。
- Azure Availability Zones をサポートするリージョンでは、これらのドメイン コントローラーもゾーン間で分散され、回復性が向上します。
- ディザスター リカバリー:レプリカ セットを使用して、地理的なディザスター リカバリーを提供します。
マネージド ドメインはスタンドアロン ドメインであり、オンプレミス ドメインの拡張機能ではありません。 必要に応じて、ハイブリッド アクセス シナリオをサポートするように、オンプレミスの AD DS 環境で フォレストの信頼を構成 できます。
ID オプションの詳細について学ぶには、Domain Services と Microsoft Entra ID、Azure VM 上の AD DS、オンプレミスの AD DS を比較してください。
次のステップ
Domain Services と他の ID ソリューションの比較と同期のしくみの詳細については、次の記事を参照してください。
- Microsoft Entra ID、Azure VM でのActive Directory Domain Services、オンプレミスでのActive Directory Domain Servicesを使用したドメイン サービスの構成
- Microsoft Entra Domain Services を Microsoft Entra ディレクトリと同期する方法を学習します
- マネージド ドメインを管理する方法については、 Domain Services のユーザー アカウント、パスワード、管理の管理の概念を参照してください。
まず、Microsoft Entra管理センターを使用してマネージド ドメインを作成します。