AD→Entra ID移行は「ハイブリッド→クラウドネイティブ」の段階的アプローチが最もリスクが低い方法です。ファイルサーバーのSharePoint移行、GPOのIntune置き換え、業務アプリのSaaS化を並行して進め、最終的にドメインコントローラーを廃止します。
なぜADからEntra IDへ移行すべきか
- クラウドシフト：SaaS/クラウドサービスの認証にはEntra IDが最適。ADはオンプレミス前提の設計
- ゼロトラスト対応：条件付きアクセス、PIM等のゼロトラスト機能はEntra IDでのみ利用可能
- 運用負荷の軽減：ドメインコントローラーの維持（ハードウェア、OS更新、バックアップ）が不要に
- リモートワーク対応：VPN不要でどこからでもクラウドリソースにアクセス
- サーバーのEOL：Windows Server 2012/2016のサポート終了に伴うリプレイス契機
3つの認証モデル
| モデル | 構成 | メリット | デメリット |
|---|---|---|---|
| オンプレADのみ | ドメインコントローラーで認証 | 既存環境を維持 | クラウド連携不可、ゼロトラスト対応困難 |
| ハイブリッド（Entra Connect） | AD + Entra IDを同期 | 段階的移行が可能 | 2つの基盤を並行管理 |
| Entra IDのみ（クラウドネイティブ） | Entra ID + Intuneで完結 | サーバーレス、ゼロトラスト対応 | AD依存アプリの対応が必要 |
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Entra ID コンサルティング を見る →移行アプローチ
多くの中小企業では「現状（ADのみ）→ ハイブリッド → Entra IDのみ」の段階的移行が最もリスクが低いアプローチです。
新規に開設する拠点や新規調達するPCは、最初からEntra ID参加（Entra Join）+ Autopilotで構成することで、AD依存を増やさずに移行を加速できます。
段階的移行の5ステップ
| Step | 内容 | 期間目安 |
|---|---|---|
| 1. 現状分析 | AD依存リソースの棚卸し（ファイルサーバー、プリンター、業務アプリ、GPO） | 2〜4週間 |
| 2. Entra Connect導入 | AD→Entra IDの同期設定（ハイブリッド構成の確立） | 1〜2週間 |
| 3. クラウドリソースの移行 | ファイルサーバー→SharePoint/OneDrive、プリンター→Universal Print | 1〜3ヶ月 |
| 4. GPO→Intune移行 | グループポリシーをIntuneの構成プロファイルに置き換え | 1〜2ヶ月 |
| 5. AD廃止 | 全PCをEntra Joinに切り替え、ドメインコントローラーを停止 | 1〜3ヶ月 |
グループポリシーのIntune置き換え
| GPO設定 | Intuneでの代替 |
|---|---|
| パスワードポリシー | Entra IDのパスワード保護 + 条件付きアクセス |
| 画面ロック設定 | Intune構成プロファイル（デバイス制限） |
| USB制限 | Intune構成プロファイル（デバイス制限） |
| Windows Update制御 | Intune更新リング |
| BitLocker | Intuneディスク暗号化プロファイル |
| Wi-Fi設定 | Intune Wi-Fiプロファイル |
| ドライブマッピング | OneDrive既知フォルダー移動 + SharePoint同期 |
よくある課題と対策
| 課題 | 対策 |
|---|---|
| AD認証が必要な業務アプリがある | アプリのSaaS移行、またはEntra Domain Servicesの利用 |
| ファイルサーバーのNTFSアクセス権が複雑 | SharePoint移行時に権限設計をシンプル化 |
| プリンターがAD認証に依存 | Universal Print、またはクラウド対応プリンターへの更新 |
| ユーザーの抵抗感 | パイロットグループでの先行導入、丁寧なトレーニング |
BTNコンサルティングの支援
AD環境のアセスメント、ハイブリッド構成の構築、Intune移行、SharePoint移行、最終的なAD廃止まで段階的な移行プロジェクトを一括で支援します。
よくある質問
認証基盤にはどんなモデルがありますか？
ドメインコントローラーで認証する「オンプレADのみ」、Entra ConnectでADとEntra IDを同期する「ハイブリッド」、クラウドだけで完結する「Entra IDのみ」の3モデルです。多くの中小企業では、ADのみ→ハイブリッド→Entra IDのみという段階的移行が最もリスクの低い進め方です。
移行は何ステップで進めますか？
1．現状分析（ファイルサーバー、プリンター、業務アプリ、GPOなどAD依存リソースの棚卸し／2〜4週間）、2．Entra Connect導入によるハイブリッド構成の確立（1〜2週間）、3．クラウドリソースの移行、と続く5ステップで進めます。
グループポリシーはIntuneで置き換えられますか？
主要な設定は置き換え可能です。パスワードポリシーはEntra IDのパスワード保護＋条件付きアクセス、画面ロック・USB制限はIntuneの構成プロファイル（デバイス制限）、Windows Update制御もIntuneで代替します。
AD認証が必要な業務アプリがある場合はどうしますか？
アプリ自体のSaaS移行を検討するか、Microsoft Entra Domain Servicesを利用します。ファイルサーバーはSharePointへの移行時に権限設計をシンプル化し、AD認証に依存するプリンターはUniversal Printで置き換えます。
まとめ
AD→Entra ID移行は「ハイブリッド→クラウドネイティブ」の段階的アプローチが最もリスクが低い方法です。ファイルサーバーのSharePoint移行、GPOのIntune置き換え、業務アプリのSaaS化を並行して進め、最終的にドメインコントローラーを廃止します。