Microsoft Entra テナントの BypassDirSyncOverridesEnabled 機能を使う方法。

[アーティクル]
03/05/2024

この記事では、BypassDirSyncOverridesEnabled 機能と、Mobile 属性や otherMobile 属性の同期を Microsoft Entra ID からオンプレミスの Active Directory に復元する方法について説明します。

一般に、Azure または Microsoft 365 管理ポータルからも、Microsoft Entra ID または Microsoft Graph PowerShell のモジュールを使う PowerShell からも、同期されたユーザーを変更できません。これに対する例外は、MobilePhone と AlternateMobilePhone と呼ばれる Microsoft Entra ユーザーの属性です。これらの属性は、それぞれオンプレミスの Active Directory の属性 mobile と otherMobile から同期されますが、エンドユーザーはプロファイルページを使用して Microsoft Entra ID の MobilePhone 属性で自分の電話番号を更新できます。管理者は、Microsoft Graph PowerShell モジュールを使って、Microsoft Entra ID の同期されたユーザーの MobilePhone と AlternateMobilePhones の値を更新することもできます。

Microsoft Entra ID で電話番号を直接更新する機能をユーザーと管理者に提供することで、企業はローカル Active Directory でユーザーの電話番号を管理する際のオーバーヘッドを削減することができます。

ただし、同期されたユーザーの MobilePhone または AlternateMobilePhones の番号が管理ポータルまたは PowerShell を使用して更新されると、同期 API は、オンプレミス Active Directory から発信されるこれらの属性の更新を受け入れなくなります。これは一般に "DirSyncOverrides" 機能と呼ばれます。 Active Directory の Mobile または otherMobile 属性に対する更新では、Microsoft Entra ID 内の対応するユーザーの MobilePhone または AlternateMobilePhone が更新されない場合、管理者はこの動作に気付きます。ただし、オブジェクトは Microsoft Entra Connect のエンジンを介して正常に同期されます。

Mobile 値と otherMobile 値が異なるユーザーを識別する

ADSyncTools PowerShell モジュールの 'Compare-ADSyncToolsDirSyncOverrides' を使用して、Active Directory と Microsoft Entra ID の間で異なる Mobile および otherMobile 値を持つユーザーの一覧をエクスポートできます。これにより、オンプレミスの Active Directory と Microsoft Entra ID の間で異なるユーザーとそれぞれの値を特定できます。 BypassDirSyncOverridesEnabled 機能を有効にすると、Microsoft Entra ID のすべての異なる値が、オンプレミスの Active Directory からの値で上書きされるため、これは知っておくことが重要です。

Compare-ADSyncToolsDirSyncOverrides の使用

前提条件として、Microsoft Entra Connect バージョン 2 以降を実行し、次のコマンドを使用して PowerShell ギャラリーから最新の ADSyncTools モジュールをインストールする必要があります。

Install-Module ADSyncTools

同期されたすべてのユーザーの Mobile と OtherMobile の値を比較するには、次のコマンドを実行します。

Compare-ADSyncToolsDirSyncOverrides -Credential $(Get-Credential)

Note

この機能で使用されるターゲット API は、認証ユーザーによる対話型操作を処理しません。 MFA または条件付きポリシーによって認証がブロックされます。資格情報の入力を求められたら、MFA が有効になっていない、または条件付きアクセスポリシーが適用されていないグローバル管理者アカウントを使用してください。最後の手段として、BypassDirSyncOverridees 機能を使用して目的の操作を完了した後に削除できる、MFA または条件付きアクセスのない一時的なグローバル管理者ユーザーアカウントを作成してください。

この関数は、オンプレミスの Active Directory の Mobile または OtherMobile の値が Microsoft Entra ID のそれぞれの MobilePhone または AlternateMobilePhones と異なるユーザーのリストを含む CSV ファイルをエクスポートします。

この段階で、このデータを使用して、オンプレミス Active Directory の Mobile および otherMobile プロパティの値を、Microsoft Entra ID に存在する値にリセットできます。これにより、BypassDirSyncOverridesEnabled 機能を有効にする前に、Microsoft Entra ID から最新の電話番号を取り込み、このデータをオンプレミスの Active Directory に保持できます。これを行うには、結果の CSV ファイルからデータをインポートし、ADSyncTools モジュールの 'Set-ADSyncToolsDirSyncOverrides' を使用して、リンクの Active Directory で値を保持します。

たとえば、CSV ファイルからデータをインポートし、Microsoft Entra ID で特定の UserPrincipalName の値を抽出するには、次のコマンドを使用します。

$upn = '<UserPrincipalName>' 
$user = Import-Csv 'ADSyncTools-DirSyncOverrides_yyyyMMMdd-HHmmss.csv' | 
where UserPrincipalName -eq $upn | 
select UserPrincipalName,*InAAD  
Set-ADSyncToolsDirSyncOverridesUser -Identity $upn -MobileInAD $user.MobileInAAD

BypassDirSyncOverridesEnabled 機能を有効にする

既定では、BypassDirSyncOverridesEnabled 機能はオフになっています。 BypassDirSyncOverridesEnabled を有効にすると、テナントは、ユーザーまたは管理者が Microsoft Entra ID で MobilePhone または AlternateMobilePhones で行った変更を直接バイパスし、オンプレミスの Active Directory Mobile または OtherMobile に存在する値を常に優先できます。

エンドユーザーが自分の携帯電話番号を更新したくない場合、または管理者が PowerShell を使用してモバイルまたは代替の携帯電話番号を更新する必要がない場合は、テナントで BypassDirSyncOverridesEnabled 機能を有効のままにしておく必要があります。

この機能を有効にすると、エンドユーザーまたは管理者が Microsoft Entra ID の MobilePhone または AlternateMobilePhone を更新した場合でも、オンプレミスの Active Directory から同期された値は次の同期サイクルで保持されます。つまり、これらの値に対する更新は、更新がオンプレミスの Active Directory で実行され、Microsoft Entra ID に同期されたときにのみ保持されます。

BypassDirSyncOverridesEnabled 機能を有効にします。

BypassDirSyncOverridesEnabled 機能を有効にするには、Microsoft Graph PowerShell モジュールを使います。

$directorySynchronization = Get-MgDirectoryOnPremiseSynchronization
$features = @{BypassDirSyncOverridesEnabled=$true}

Update-MgDirectoryOnPremiseSynchronization -OnPremisesDirectorySynchronizationId $directorySynchronization.Id -Features $features

この機能が有効になったら、次のコマンドを使用して、Microsoft Entra Connect で完全同期サイクルを開始します。

Start-ADSyncSyncCycle -PolicyType Initial

Note

オンプレミスの Active Directory とは異なる MobilePhone 値または AlternateMobilePhones 値を持つオブジェクトのみが更新されます。

BypassDirSyncOverridesEnabled 機能の状態を確認します。

(Get-MgDirectoryOnPremiseSynchronization).Features.BypassDirSyncOverridesEnabled

BypassDirSyncOverridesEnabled 機能を無効にする

ポータルまたは PowerShell から携帯電話番号を更新する機能を復元する場合は、次の Microsoft Graph PowerShell モジュールコマンドを使用して BypassDirSyncOverridesEnabled 機能を無効にすることができます。

$directorySynchronization = Get-MgDirectoryOnPremiseSynchronization
$features = @{BypassDirSyncOverridesEnabled=$false}

Update-MgDirectoryOnPremiseSynchronization -OnPremisesDirectorySynchronizationId $directorySynchronization.Id -Features $features

この機能をオフにすると、ユーザーまたは管理者が Microsoft Entra ID で MobilePhone または AlternateMobilePhones を直接更新すると、DirSyncOverrides が作成され、今後の更新が防止されます。これらの属性は、オンプレミスの Active Directory から取得されます。この時点から、オンプレミスの Mobile または OtherMobile からの新しい更新プログラムは無視されるため、ユーザーまたは管理者は Microsoft Entra ID からのみこれらの属性を管理できます。

Microsoft Entra ID とオンプレミスの Active Directory での携帯電話番号の管理

ユーザーの電話番号を管理するために、管理者は ADSyncTools モジュールの次の一連の関数を使用して、Microsoft Entra ID またはオンプレミスの Active Directory の値の読み取り、書き込み、クリアを行うことができます。

オンプレミスの Active Directoryから Mobile プロパティと OtherMobile プロパティを取得します。

Get-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -FromAD

Microsoft Entra ID から MobilePhone と AlternateMobilePhones のプロパティを取得します。

Get-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -FromAzureAD

Microsoft Entra ID で MobilePhone と AlternateMobilePhones のプロパティを設定します。

Set-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -MobilePhoneInAAD '999888777' -AlternateMobilePhonesInAAD '0987654','1234567'

オンプレミスの Active Directoryで Mobile と otherMobile プロパティを設定します。

Set-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -MobileInAD '999888777' -OtherMobileInAD '0987654','1234567'

Microsoft Entra ID で MobilePhone と AlternateMobilePhones のプロパティをクリアします。

Clear-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -MobilePhoneInAAD -AlternateMobilePhonesInAAD

オンプレミスの Active Directory で Mobile と otherMobile のプロパティをクリアします。

Clear-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -MobileInAD -OtherMobileInAD

次のステップ

Microsoft Entra Connect: ADSyncTools PowerShell モジュールの詳細情報

次の方法で共有