なぜハイブリッド参加か
オンプレAD資産を活かしつつ、クラウドの利便性を取り込む折衷案がMicrosoft Entra ハイブリッド参加（Hybrid join）です。
ドメイン参加済み端末をクラウド側にも登録し、SSOや条件付きアクセスの前提を整えます。
参考: 計画ガイド.
設計の流れ（要点）
- 認証方式の選択：PHS か PTA（フェデレーションは最小限）
- スコープ設定：OU/グループで段階展開。まずはIT部門の端末から
- 証明書/名前解決：デバイス登録サービス（DRS）URL の到達性、プロキシ、TLS/証明書を確認
- バージョン整合：Windows 10/11 の推奨ビルド、レジストリ状態、Sysprep/イメージの使い回しに注意
典型トラブルと対策
- 二重登録（Registered と Hybrid joined の重複）
既存のユーザー登録状態が残っていると二重状態に。
推奨ビルド以降では自動クリーンアップ。旧環境では登録状態の削除を実施。
参考: 計画ガイドの注意点. - DRS への疎通不良
プロキシ/SSL検査/証明書失効確認が原因。必要FQDN のバイパスと証明書連鎖の再確認。 - 想定外の全社展開
パイロットを経ずに全OUへリンクしてしまう事故。
対象を限定した段階展開で検証してから本番化。
参考: 段階的導入（Targeted deployment）.
ミニケース：VDIでうまくいかない
スナップショット配布のVDIで毎再起動ごとに未参加へ戻る事象。
原因は書き込みフィルターを参加完了前に有効化していたため。手順を修正し、参加完了後に保護を適用して解消。
運用のポイント
- Intune準拠との連携でデバイス条件を使った制御が可能に
- 証跡はデバイス登録イベントとサインインログで定期監査
- 退役時はデバイスのハイブリッド参加解除とオブジェクトクリーンアップまで実施
チェックリスト
- [ ] 認証方式（PHS/PTA）と要件を決定した
- [ ] DNS/DRS/プロキシ/証明書を確認した
- [ ] パイロット用OU/グループを切り出した
- [ ] Sysprep/イメージの再利用条件を整理した
- [ ] 退役・再展開手順を明文化した
まとめ
ハイブリッド参加は「オンプレ依存を残しつつクラウドを前進させる」安全策です。
段階導入と疎通・証明書の基本を外さなければ、SMBでも無理なく運用に乗せられます。
前提条件と準備チェック
- Windows 10 20H2 以降、または Windows 11 最新ビルドを推奨
- 時刻同期（NTP）とTLS1.2必須、プロキシ経由は証明書ピン留め/SSL検査除外を検討
- Entra Connect（Cloud Sync/Connect Sync）のドメイン検出が正常であること
詳細トラブルシュートの視点
- イベントログ：
User Device RegistrationとDeviceManagement-Enterprise-Diagnostics-Provider - ネットワーク：
login.microsoftonline.com、device.login.microsoftonline.com、CRL/OCSP への到達性 - 再配布端末：Sysprep 後の
HKLM\\SOFTWARE\\Microsoft\\Enrollments残骸を確認
ロールバック戦略
- 対象 OU の GPO リンクを切り、既存オブジェクトのクリーンアップを実施
- 条件付きアクセスのデバイス条件を一時無効化してユーザー影響を緩和
GPOと構成の要点
- デバイス登録の GPO は限定スコープでリンク。
誤って全社リンクしないようにWMI フィルターで OS 条件を絞る - プロキシは「WinHTTP 構成」と「ユーザーのブラウザ設定」の両方を確認
コマンドとログの虎の巻
dsregcmd /statusで参加状態を即確認- 参加処理の再試行は
dsregcmd /leave→ 再起動 → GPO再適用 - AAD 参加関連のイベント ID をナレッジ化し、一次切り分け時間を短縮
ハイブリッド参加と条件付きアクセスの連携
- 「準拠デバイスのみ許可」を実現するには、Intune の準拠ポリシーとデバイスIDの突合が前提
- 端末更改時は旧デバイスの無効化/削除を忘れず、重複デバイスの誤検知を防ぐ
監査とライフサイクル
- 退職者のデバイス無効化、再配布の再参加フローを標準化し、棚卸しの手間を削減
- 年次で OU/グループのスコープ見直しを行い、古い設定の負債化を防止
パイロットの設計例（2週間）
- Week 1：IT 部門 10 台で参加。
dsregcmd /statusのスクリーンショットを収集し、成功/失敗の条件を洗い出す - Week 2：営業部 30 台へ拡張。
移動体通信や代理店環境など多様なネットワーク条件で検証し、必要 FQDN の例外設定を確立
参考のネットワーク到達性（例）
login.microsoftonline.com、device.login.microsoftonline.com、enterpriseregistration.windows.netなどの宛先をSSL 検査除外- CRL/OCSP へのアクセスがタイムアウトすると登録が失敗するため、セキュリティ機器側のログで遅延を確認
コメント