Active DirectoryからEntra IDへ移行する手順。オンプレADとの同期でつまずく所

1. オンプレADが行き詰まる原因

オンプレミスのAD（Active Directory）は、社内ネットワークの中でユーザー認証やパソコンの管理をまとめて行う仕組みとして長く使われてきた。ところがここ数年、リモートワークが広がり、社外から社内のADにアクセスするためだけにVPNを使う場面が増えた。認証のたびに社内ネットワークを経由する構成は、通信が不安定になったり、VPN機器自体が老朽化してボトルネックになったりしやすい。

もう一つの原因は属人化だ。ADは一度構築すると日常的に手を入れる機会が少なく、グループポリシー（GPO）や組織単位（OU）の設計意図を知っているのは構築した担当者本人だけ、というケースが多い。担当者が異動・退職すると、なぜその設定になっているのか誰も説明できなくなり、変更にも手を出しにくくなる。

さらに、Microsoft 365やその他のクラウドサービスの利用が広がったことで、認証をADだけで完結させることが難しくなっている。サービスごとに個別のIDを発行して管理する運用が積み重なり、退職時のアカウント削除漏れなどセキュリティ上のリスクも増えている。

• サーバー・VPN機器の老朽化とサポート終了への不安
• 設計者の異動・退職による属人化
• クラウドサービス増加による認証の分散管理

2. 移行前にまず着手すべき棚卸し

いきなり移行作業に着手するのは避けたい。ADには年数を重ねるほど見えない依存関係が積み重なっており、事前の棚卸しをせずに移行を始めると、想定していなかったシステムが認証できなくなるといった事故につながる。

最初にやるべきは、現状を可視化する棚卸しだ。特別なツールがなくても、ADユーザーとコンピューターの管理画面やGPOの一覧から手作業で洗い出せる。

• ユーザーアカウントとグループの一覧（休眠アカウントの有無も確認）
• 適用中のグループポリシー（GPO）とその目的
• ADに依存しているシステム（ファイルサーバー、プリンター、基幹システム、LDAP認証を使う自社アプリなど）
• 社外からのアクセス経路（VPN、リモートデスクトップなど）
• Microsoft 365やEntra IDのライセンス契約状況（既存契約があれば移行の下地になる）

3. Entra IDへ移行する具体的な手順

棚卸しが終わったら、一気に全部を切り替える「ビッグバン移行」は避け、段階的に進める。多くの会社にとって現実的なのは、オンプレADとEntra IDを一定期間併存させるハイブリッド構成から始める方法だ。

まずEntra Connect（旧Azure AD Connect）を使い、既存のADアカウントをEntra IDに同期する。この段階ではまだ認証の主体をオンプレADのままにでき、同期がうまくいくかをテストしながら進められる。

同期が安定したら、パソコンの管理をEntra ID参加やIntuneによるデバイス管理に切り替え、GPOで行っていた設定をConditional Access（条件付きアクセス）やIntuneのポリシーに置き換えていく。最後に、ファイルサーバーなどAD依存の高いシステムをクラウド側に移すか、オンプレのまま残すかを判断し、不要になったADサーバーを廃止する。

• ①現状棚卸し・依存関係の整理
• ②Entra Connectによるハイブリッド同期の構築とテスト
• ③デバイス管理をEntra ID参加／Intuneへ移行
• ④GPOをConditional Access・Intuneポリシーへ置き換え
• ⑤AD依存システムの移行判断（クラウド化 or 存続）
• ⑥オンプレADサーバーの縮小・廃止

4. 移行後に属人化・形骸化させない仕組み

移行が終わってからが本番だ。せっかくクラウド化しても、設定変更を特定の担当者しかできない状態が続けば、オンプレAD時代と同じ属人化リスクを抱えることになる。

入社・異動・退職のたびにアカウントとアクセス権を手作業で更新する運用も見直したい。Entra IDにはライフサイクル管理やアクセスレビューの仕組みがあるため、これを使って定期的な棚卸しを自動化できる状態を作っておく。

• 移行後の構成（Conditional Access、グループ、ライセンス割り当て）を文書化する
• 入退社・異動時のアカウント処理を手順化し、担当者不在でも回せるようにする
• 半年〜1年に一度、アクセス権の棚卸し（アクセスレビュー）を実施する

5. 移行でよくある失敗と、自社で完結できるかの判断基準

移行時によくある失敗は、パスワード同期のテストが不十分なままハイブリッド構成に切り替え、社員が一斉にログインできなくなるケースだ。また、LDAP認証にしか対応していない古い自社アプリを見落とし、移行後に業務システムが使えなくなる例もある。GPOを廃止した後にConditional Access側の設定が甘く、セキュリティレベルが移行前より下がってしまうケースも少なくない。

自社で完結できるかどうかの目安は、依存システムの複雑さで判断するとよい。利用中のシステムがクラウドSaaS中心で、オンプレの独自アプリやファイルサーバーへの依存が少なければ、手順を踏んで自社で進めやすい。一方、LDAP連携の自社システムや複雑なGPO設計が残っている場合、専任のIT担当者がいない場合は、設計段階だけでも外部の技術者に相談したほうが手戻りが少ない。

データで見る認証基盤の移行環境

総務省「令和7年通信利用動向調査」（2026年5月公表）によると、テレワークを導入している企業の割合は50.1%で、前年から増加した。また、総務省「令和7年版 情報通信白書」（2025年7月公表）では、2024年時点でクラウドサービスを利用している企業の割合は80.6%に達している。社外からの業務と社外サービスの利用が標準になった以上、社内ネットワークを前提としたオンプレADの構成は、実態と噛み合わなくなっている。

一方で、運用面の整備は追いついていない。IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表、中小企業4,191社回答）によると、情報セキュリティ対策をルール化している中小企業は39.2%、緊急時の対応準備を整えている企業は39.8%にとどまる。ルールが文書化されていない状態でEntra IDへ移行しても、Conditional Accessの設定意図を説明できる人が一人だけ、という属人化はそのまま引き継がれる。

自社がどちらの状況かは、テレワークとクラウド利用の有無ではなく、アカウント処理とアクセス権の棚卸し手順が文書として存在するかで判断してほしい。文書がないなら、移行の前に棚卸しとルール化を先に済ませるほうが結果的に早い。

• テレワーク導入企業は50.1%（総務省「令和7年通信利用動向調査」2026年5月公表）
• クラウドサービス利用企業は80.6%（総務省「令和7年版 情報通信白書」2025年7月公表）
• セキュリティ対策をルール化している中小企業は39.2%（IPA調査、2025年5月公表）
• 緊急時の対応準備ができている中小企業は39.8%（同調査）

まとめ

オンプレADからEntra IDへの移行は、リモートワークとクラウド利用が広がる中で避けて通れない流れになっている。重要なのは、いきなり切り替えるのではなく、棚卸し→ハイブリッド構成での同期テスト→段階的な機能移行という順番を守ることだ。最初の一歩は、今週中にADのユーザー・グループ・依存システムの一覧を作ることから始めてほしい。