この記事の内容
こんにちは、Azure & Identity サポート チームの長谷川です。
この記事では、対象デバイスの Microsoft Entra ハイブリッド参加を再構成する手順の簡易版を紹介します。
完全版はこちらに掲載されていますが、完全版ではオンプレミスの Active Directory サーバーへの管理アクセスが必要になります。
しかしながら Active Directory サーバーへ管理アクセスしなくても Microsoft Entra ハイブリッド参加を再構成することができる場合があるため、完全版から Active Directory サーバーへの管理アクセスを除いた簡易版の手順を作成しました。
まずこの簡易版を利用し、簡易版で状況が変わらなければ完全版を利用する、といった流れで活用いただければと思います。
1. 注意事項
再度 Microsoft Entra ハイブリッド参加を構成するためには、そのデバイス上での管理者権限と、デバイスがオンプレミスの Active Directory およびインターネットの両方にアクセスできる環境 (社外にデバイスがある場合は、オンプレミス AD 環境への VPN 接続) が必要です。
2. 事前準備: Windows Hello for Business のリセット
Windows Hello for Business (略称 WHfB) を利用していない場合はこの手順はスキップください。
端末にサインインします。
ユーザー権限 でコマンド プロンプトを起動します (管理者として実行から起動しないようご注意ください)。
以下のコマンドを実行して、WHfB の情報をリセットします。
certutil -deletehellocontainer
次のコマンドを実行し、
NgcSet : NOとなっていることを確認します。dsregcmd /status
3. 事前準備: Intune の登録解除
Intune 登録していなければスキップください。
- [Microsoft Intune 管理センター (intune.microsoft.com)] > [デバイス] > [すべてのデバイス] から該当デバイスを検索し、存在する場合は対象デバイスを開いて [削除] ボタンをクリックして削除します (削除完了するまでに少し時間がかかります)。
4. Microsoft Entra ハイブリッド参加の再構成
Microsoft Entra ID から離脱し Microsoft Entra ハイブリッド参加を解除、その後再構成します。
対象のデバイスに対象のドメイン ユーザーでサインインし、 管理者権限 でコマンド プロンプトを起動し、次のコマンドで Microsoft Entra ハイブリッド参加を解除します。
dsregcmd /leave
次のコマンドで
AzureAdJoined : NOとなっていることを確認します。dsregcmd /status
[Azure Portal (portal.azure.com)] > [Microsoft Entra ID] > [デバイス] > [すべてのデバイス] に 結合の種類 が
Microsoft Entra hybrid joinedの対象のデバイス オブジェクトが存在していることを確認します。もし、対象のデバイス オブジェクトが存在しない場合は Microsoft Entra Connect の同期 (既定では 30 分間隔) を待ちます。
対象のデバイスがオンプレミスの Active Directory およびインターネットの両方にアクセスできるネットワーク環境に接続していることを確認します (社内ネットワーク環境に接続するなど)。
管理者権限 でタスク スケジューラを起動し [タスク スケジューラ ライブラリ] > [Microsoft] > [Windows] > [Workplace Join] を開きます。
[Automatic-Device-Join] を 右クリックし [実行する(R)] を選択します。
コマンド プロンプトを起動し次のコマンドを実行し
AzureAdJoined : YESとなっていることを確認します。dsregcmd /status
[Azure Portal (portal.azure.com)] > [Microsoft Entra ID] > [デバイス] > [すべてのデバイス] で対象のデバイス オブジェクトの [登録済み] の項目が日付であることを確認します。
対象デバイスにて 画面のロック > アンロック をすることでプライマリ更新トークン (PRT) を取得します。(すぐにアンロックしていただいて問題ありません)
対象のデバイスにて対象の ユーザー権限 でコマンド プロンプトを起動し、次のコマンドを実行して
AzureAdPrt : YESとなっていることを確認します (管理者として実行から起動しないようご注意ください)。dsregcmd /status
5. 事後確認: Intune の登録
この手順は Intune 登録しなければ不要です。 また、反映に時間がかかることがあります。
- [Azure Portal (portal.azure.com)] > [Microsoft Entra ID] > [デバイス] > [すべてのデバイス] で対象のデバイス オブジェクトの [MDM] の項目に値が入り [準拠している] が「はい」となっていることを確認します。
- [Microsoft Intune 管理センター (intune.microsoft.com)] > [デバイス] > [すべてのデバイス] から該当デバイスを検索し対象デバイスの [対応] の項目が「準拠している」となっていることを確認します。
6. 事後作業: WHfB の再プロビジョニング
WHfB を利用していなければ不要です。
- 端末を再起動します。
- 対象のユーザーでサインインすると WHfB のプロビジョニングが自動的に始まりますのでウィザードに沿ってセットアップします (ウィザードの中で多要素認証が要求されます)。
おわりに
Microsoft Entra ハイブリッド参加の再構成の簡易版を紹介しました。手順が運用の助けになると嬉しく思います。製品動作に関する正式な見解や回答については、お客様環境などを十分に把握したうえでサポート部門より提供しますので、ぜひ弊社サポート サービスをご利用ください。
※本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。