【図解】ドメイン参加・Entra参加・ハイブリッド参加の違いとは？サインインの確かめ先と管理のしかたを初心者向けに解説

Windows の PC を会社で使うとき、その PC をどこかに「参加」させます。昔はオンプレの Active Directory（AD）に参加させる「ドメイン参加」が当たり前でしたが、今は「Microsoft Entra 参加」「Microsoft Entra ハイブリッド参加」「Microsoft Entra 登録」も選べます。名前が似ていて、どれを選ぶと何が変わるのかが分かりにくいところです。

この記事では、4つの形を「端末がどこに属しているか」「サインインをだれが確かめるか」「設定をどこから配るか」「社内のファイルサーバに入れるか」の4つの観点で比べます。登録の流れやサインインの流れはシーケンス図で追い、最後に選び方の目安と確認のしかたをまとめます。

この記事でわかること
  1. ドメイン参加・ハイブリッド参加・Entra 参加・Entra 登録の違い
  2. それぞれで、サインインをだれが確かめ、何をもらうか
  3. ハイブリッド参加の登録が、裏でどう進むか
  4. 選び方の目安と、dsregcmd での確かめ方

4つの形を一枚で見る

4つの形の違いは、まず「端末がどこに属しているか」で整理できます。オンプレの AD に属すると、AD にコンピューターアカウント（PC01$）ができます。Microsoft Entra ID に属すると、Entra ID に端末のオブジェクト（デバイス）ができます。

Microsoft Entra ID（クラウド）端末のオブジェクト（device）オンプレの Active Directoryコンピューターアカウント（PC01$）ドメイン参加AD に参加参加ハイブリッド参加AD に参加＋Entra に登録登録参加Entra 参加Entra ID に参加参加Entra 登録個人の端末を登録登録「どこに参加しているか」で、サインインの確かめ先と管理のしかたが決まる
図1　4つの参加の形
形AD のコンピューターアカウントEntra ID の端末のオブジェクト主な用途
ドメイン参加あるないオンプレだけで完結する環境
ハイブリッド参加あるある（AD から同期して登録）AD の資産を残しつつ、クラウドの機能も使う
Entra 参加ないある会社の端末をクラウド中心で管理する
Entra 登録ないある（ユーザーにひも付く）個人の PC やスマートフォン（BYOD）

Microsoft は、ハイブリッド参加を「Entra 参加へ向かう途中の段階」と位置づけています。4つの形は1つの組織の中で同時に使えるので、端末の種類ごとに選び分けることもできます。

ドメイン参加

ドメイン参加は、PC をオンプレの AD に参加させる、昔からの形です。参加すると AD に PC01$ というコンピューターアカウントができ、PC と DC が同じパスワードを持ちます。サインインを確かめるのも、グループポリシーで設定を配るのも DC です。ドメインの基本は「ワークグループとドメインの違い」の記事で説明しています。

① 起動：コンピューターが DC に名乗る② サインイン：ユーザーが DC に名乗るPC01ドメイン参加DC01オンプレ ADPC01$ として認証コンピューターアカウントのパスワードを使うコンピューターのグループポリシーuser01 のパスワードで Kerberos の認証TGT ＋ ユーザーのグループポリシーサインインを確かめるのも、設定を配るのも DC。クラウドは出てこない
図2　ドメイン参加の端末の流れ

人がサインインする前に、PC 自身も PC01$ として DC に名乗っている点がポイントです。コンピューターのグループポリシーや、コンピューターアカウントで動くサービスは、この認証の上で動きます。PC と DC が同じパスワードを持つしくみは「Windowsの認証は何を確かめている？」の記事で説明しています。

ドメイン参加の端末は、DC に届かないと新しいユーザーでサインインできず、グループポリシーも届きません。一度サインインしたユーザーなら、保存しておいた情報（キャッシュ）でサインインはできます。社外に持ち出す PC では、VPN で DC に届くようにする必要があります。

Entra 参加

Entra 参加は、PC をオンプレの AD ではなく Microsoft Entra ID に参加させる形です。会社の Windows 10・11（Home を除く）が対象で、初回セットアップの画面や Windows Autopilot から参加させます。サインインには Entra ID のアカウント（オンプレから同期したアカウントも含む）を使います。

① サインイン：Entra ID が確かめる② 社内のファイルサーバを開く（DC に届くとき）PC01Entra 参加Entra IDDC01オンプレ ADuser01 のサインインパスワード・Windows Hello などPRT ＋ オンプレのドメインの情報ドメインの情報は Entra Connect で同期したものドメインの情報とユーザーの資格情報で認証TGT（または NTLM）PC01$ のコンピューターアカウントはない。AD のコンピューター認証に頼るものは使えない
図3　Entra 参加の端末の流れ

サインインを確かめるのは Entra ID です。サインインに成功すると、PC は PRT（Primary Refresh Token）を受け取り、以降は Microsoft 365 などのクラウドのアプリにサインインし直さずに入れます。設定は、グループポリシーではなく Intune などの MDM から配ります。

Entra 参加でも社内のファイルサーバに入れる

Entra 参加の PC は AD に参加していませんが、社内のファイルサーバやプリンタにシングルサインオン（SSO）できます。しくみは次のとおりです。

  1. Entra Connect（または Cloud Sync）で、オンプレのユーザーの情報（ドメイン名、SAM アカウント名など）を Entra ID に同期しておく
  2. サインインのとき、Entra ID は PRT と一緒に、ユーザーのオンプレのドメインの情報を PC に渡す
  3. ファイルサーバを開くと、PC はそのドメインの DC を探し、ユーザーの資格情報で Kerberos の TGT（または NTLM の認証）をもらう

そのため、社内のリソースを使うときは、DC に届くこと（社内ネットワークか VPN）が必要です。また、パスワードではなく Windows Hello for Business や FIDO2 でサインインする場合は、Microsoft Entra Kerberos などの追加の設定が必要になります。この部分は「Microsoft Entra Kerberosとは？」の記事で説明しています。

AD のコンピューター認証に頼るものは使えない

Entra 参加の PC には、AD のコンピューターアカウントがありません。そのため、ユーザーの SSO はできても、「PC01$ として AD に認証する」ことを前提にしたアプリや設定（コンピューターのグループポリシー、コンピューターアカウントにアクセス許可を付けた共有など）は使えません。移行を考えるときは、まずこの「コンピューター認証に頼っているもの」を洗い出すのが大切です。

ローカルの管理者

Entra 参加のときは、次のアカウントが PC のローカルの Administrators グループに入ります。

  • Entra ID の「グローバル管理者」ロール
  • Entra ID の「Microsoft Entra 参加済みデバイスのローカル管理者」ロール
  • 参加の操作をしたユーザー（設定で入れないようにできる）

ロールの割り当てを変えたときは、PRT が新しくなり（最大4時間）、ユーザーがサインインし直したときに反映されます。

ハイブリッド参加

ハイブリッド参加は、オンプレの AD に参加したまま、Entra ID にも端末を登録する形です。AD のコンピューターアカウントとグループポリシーをそのまま使いながら、Entra ID の条件付きアクセスや、クラウドのアプリへの SSO も使えるようになります。対象は Windows 10・11（Home を除く）と、Windows Server 2016・2019・2022 です。

登録の流れ

ハイブリッド参加は、ドメイン参加済みの PC が自動で登録を進めます。Entra Connect を使ったマネージドの環境（AD FS を使わない環境）では、次のように進みます。

① テナントの情報を AD から読む② 自分の証明書を、AD の自分のアカウントに書く③ 同期で、Entra ID に端末のオブジェクトができる④ PC01 が証明書の鍵で名乗り、登録を終えるPC01ドメイン参加済みDC01オンプレ ADEntra Connect同期サーバEntra IDSCP を LDAP で読むテナント ID と名前自己署名の証明書を書き込むPC01$ の userCertificatePC01$ を読む証明書・GUID・SID を同期状態は「保留中」証明書の秘密鍵で認証 → 登録の要求TPM で守った端末の鍵を作って送る端末 ID ＋ 端末の証明書ハイブリッド参加の完了
図4　ハイブリッド参加の登録の流れ
段階何が起きるか
① SCP を読むPC は、AD の構成パーティションにある SCP（サービス接続ポイント）を LDAP で読み、どの Entra ID のテナントに登録するかを知る。SCP は Entra Connect の設定で作られる
② 証明書を書くPC は自己署名の証明書を作り、AD の自分のコンピューターアカウントの userCertificate 属性に書き込む
③ 同期するEntra Connect が次の同期で、証明書・オブジェクトの GUID・コンピューターの SID を Entra ID に送る。Entra ID に端末のオブジェクトができる（この時点では「保留中」）
④ 登録を終えるPC は証明書の秘密鍵で Entra ID に認証し、TPM で守った端末の鍵を作って登録を求める。端末 ID と端末の証明書を受け取って完了

この登録の作業は、ドメイン参加のときと、その後1時間ごとに自動で試されます。③の同期を待つので、ドメイン参加してから登録が終わるまでには時間がかかります。Entra 管理センターの端末の一覧で「登録済み」の列が「保留中」のままなら、まだ登録が終わっていません。

登録には、PC から Microsoft への通信が必要

PC は、社内のネットワークから enterpriseregistration.windows.net、login.microsoftonline.com、device.login.microsoftonline.com などに届く必要があります。プロキシで TLS を復号して検査している場合は、これらの URL を検査の対象から外します。外さないと、証明書を使った認証が邪魔されて登録に失敗します。

サインインの流れ

ハイブリッド参加の PC にサインインすると、オンプレとクラウドの両方で確かめが行われます。

サインイン：DC と Entra ID の両方で確かめるPC01ハイブリッド参加DC01オンプレ ADEntra IDuser01 で Kerberos の認証TGT ＋ グループポリシーuser01 ＋ 端末の鍵で認証PRTクラウドのアプリに SSO するオンプレのチケットとクラウドの PRT を、1回のサインインで両方もらう
図5　ハイブリッド参加の端末のサインイン

DC からはオンプレ用の TGT とグループポリシーを、Entra ID からはクラウド用の PRT を受け取ります。そのため、ハイブリッド参加の端末は、ドメイン参加と同じくときどき DC に届く必要があります。Microsoft は、DC に長く届かないと端末が使えなくなるとしていて、それが気になるなら Entra 参加を検討するよう案内しています。

Entra 登録

Entra 登録は、個人の端末（BYOD）やスマートフォン向けの形です。Windows へのサインインは個人のアカウント（ローカルアカウントや Microsoft アカウント）のままで、そこに仕事のアカウントを追加します。

個人の PCサインインは個人のアカウント設定 ›› アカウント ››職場または学校にアクセスする仕事のアカウント（user01）を追加Entra ID登録（端末のオブジェクト）Microsoft 365 などクラウドのアプリに SSO できるIntune に登録すれば、条件付きアクセスで準拠を確かめられるWindows へのサインインは個人のアカウントのまま社内のファイルサーバへの SSO や、グループポリシーはない
図6　Entra 登録の端末

Windows では 設定 ›› アカウント ›› 職場または学校にアクセスする から登録します。仕事のアプリに初めてサインインしたときに登録を求められることもあります。登録すると、クラウドのアプリへの SSO が使えるようになります。さらに Intune にも登録（エンロール）すると、端末が会社のルールに準拠しているかを、条件付きアクセスで確かめられるようになります。「登録」と「Intune への登録」は別のものです。

4つの形を比べる

観点ドメイン参加ハイブリッド参加Entra 参加Entra 登録
Windows へのサインインAD のアカウントAD のアカウントEntra ID のアカウント個人のアカウント
サインインを確かめるDCDC と Entra IDEntra ID端末自身（個人のアカウント）
もらうものTGTTGT と PRTPRT（社内では TGT も）仕事のアカウントのトークン
設定の配り方グループポリシーグループポリシー（Intune と共同管理も可）Intune などの MDMIntune（登録したとき）
クラウドのアプリへの SSOなしありありあり
社内のファイルサーバへの SSOありありあり（DC に届くとき）なし
AD のコンピューター認証ありありなしなし
DC への通信必要ときどき必要社内のリソースを使うときだけ不要

設定の配り方の違い

グループポリシーDC（AD）から配るドメイン参加ハイブリッド参加DC に届くときに設定を受け取るIntune（MDM）クラウドから配るEntra 参加ハイブリッド参加（共同管理）Entra 登録（登録したとき）インターネットに出られれば受け取る
図7　端末の管理のしかた

グループポリシーは DC から配るので、DC に届かないと新しい設定が届きません。Intune はクラウドから配るので、インターネットに出られれば社外でも設定が届きます。ハイブリッド参加の端末は、Configuration Manager と Intune の共同管理で、両方を組み合わせることもできます。

選び方の目安

会社が配る端末？いいえEntra 登録個人の PC・スマートフォンはい新しく配る端末を、クラウド中心で管理できる？はいEntra 参加Microsoft が目指す形いいえグループポリシーや、AD のコンピューター認証に頼るものがある？はいハイブリッド参加Entra 参加への途中の形いいえインターネットに出られない、閉じた環境？はいドメイン参加クラウドの機能は使えない
図8　参加の形の選び方の目安

新しく配る会社の端末で、管理をクラウドに寄せられるなら Entra 参加が基本です。いっぽう、グループポリシーで細かく設定している、AD のコンピューター認証に頼るアプリがある、今のイメージ展開の仕組みを使い続けたい、といった事情があるならハイブリッド参加を選び、少しずつ Entra 参加へ移していきます。個人の端末は Entra 登録にして、必要に応じて Intune のアプリ保護や条件付きアクセスで守ります。

今の状態を確かめる：dsregcmd

PC がどの形で参加しているかは、dsregcmd /status で確かめられます。「Device State」の3つの値の組み合わせで、次のように判断します。Entra 登録の状態は「User State」の WorkplaceJoined に表示されます。

AzureAdJoinedEnterpriseJoinedDomainJoined状態
YESNONOEntra 参加
NONOYESドメイン参加
YESNOYESハイブリッド参加

Entra 参加とハイブリッド参加の端末では、「SSO State」の AzureAdPrt が YES なら、サインインしたユーザーの PRT がある状態です。ハイブリッド参加が終わらないときは、管理者として実行すると表示される診断の項目（DC への接続、SCP の確認、登録サービスへの接続など）で、どこで止まっているかの手がかりが得られます。

確認に使うコマンド

PC01（コマンドプロンプト）：参加の状態・PRT・端末の情報を表示する

dsregcmd /status

PC01（コマンドプロンプト）：サインインしたユーザーのアカウント名（UPN）を表示する

whoami /upn

PC01（コマンドプロンプト）：ドメインの DC が見つかるかを確かめる（Entra 参加で社内のリソースに入れないとき）

nltest /dsgetdc:corp.example.com

PC01（コマンドプロンプト）：もらった Kerberos のチケットを表示する

klist

DC01（PowerShell）：ハイブリッド参加の SCP に書かれたテナントの情報を表示する

$scp = New-Object System.DirectoryServices.DirectoryEntry
$scp.Path = "LDAP://CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=corp,DC=example,DC=com"
$scp.Keywords

まとめ

形ひとことで
ドメイン参加AD だけに参加。DC がサインインを確かめ、グループポリシーで管理する
ハイブリッド参加AD に参加したまま Entra ID にも登録。TGT と PRT の両方をもらう。Entra 参加への途中の形
Entra 参加Entra ID だけに参加。Entra ID がサインインを確かめ、Intune で管理する。DC に届けば社内のリソースにも SSO できる
Entra 登録個人の端末に仕事のアカウントを追加する形。クラウドのアプリへの SSO が中心
確かめ方dsregcmd /status の AzureAdJoined・DomainJoined・WorkplaceJoined

4つの形は、「端末がどこに属しているか」が違うだけで、そこからサインインの確かめ先、もらうもの、管理のしかたが決まっていきます。迷ったときは、AD のコンピューターアカウントがあるか、Entra ID の端末のオブジェクトがあるか、の2点から考えると整理しやすくなります。

参考にした資料

関連記事：【図解】ワークグループとドメインの違いとは？／【図解】Microsoft Entra Kerberosとは？／【図解】Windowsの認証は何を確かめている？／【図解】ユーザー・コンピュータ・サービスアカウントの違い／【図解】Kerberos（ケルベロス）認証とは？／【図解】Netlogonとセキュアチャネルとは？

コメント