オンプレミスの Microsoft Entra パスワード保護を計画してデプロイする

[アーティクル]
10/28/2023

ユーザーは多くの場合、学校、スポーツチーム、有名人などのありふれたローカル単語を使用してパスワードを作成します。これらのパスワードは簡単に推測できるため、辞書ベースの攻撃に対しては脆弱です。組織で強力なパスワードを適用するために、Microsoft Entra パスワード保護は、グローバルかつカスタム禁止パスワードの一覧を提供します。この禁止パスワードの一覧に一致するものがある場合、パスワードの変更要求はエラーとなります。

オンプレミスの Active Directory Domain Services (AD DS) 環境を保護するために、Microsoft Entra パスワード保護をインストールして、オンプレミスの DC と連携するように構成することができます。この記事では、オンプレミスの環境に Microsoft Entra パスワード保護プロキシサービスと Microsoft Entra パスワード保護 DC エージェントをインストールして登録する方法について説明します。

オンプレミス環境での Microsoft Entra パスワード保護のしくみの詳細については、Windows Server Active Directory に Microsoft Entra パスワード保護を適用する方法に関する記事をご覧ください。

展開戦略

次の図は、Microsoft Entra パスワード保護の基本コンポーネントが、オンプレミスの Active Directory 環境でどのように連携するかを示しています。

How Microsoft Entra Password Protection components work together

ソフトウェアをデプロイする前にしくみを確認することをお勧めします。詳細については、Microsoft Entra パスワード保護の概念の概要に関する記事をご覧ください。

"監査" モードでデプロイを開始することをお勧めします。監査モードは既定の初期設定であり、パスワードは後から設定できます。ブロックされるパスワードはイベントログに記録されます。プロキシサーバーと DC エージェントを監査モードでデプロイした後、パスワードポリシーが適用されるときに、そのポリシーがユーザーに与える影響を監視してください。

多くの組織では、この監査段階で次のような状況を認識します。

より安全なパスワードを使用するように既存の運用プロセスを改善する必要がある。
多くの場合、ユーザーは安全でないパスワードを使用している。
セキュリティの適用の今後の変更、生じる可能性がある影響、およびより安全なパスワードを選択する方法をユーザーに通知する必要がある。

より強力なパスワード検証が、既存の Active Directory ドメインコントローラーのデプロイの自動化に影響を与える可能性もあります。このような問題を発見できるように、監査期間の評価中に、少なくとも 1 つの DC 昇格と 1 つの DC 降格が行われるようにすることをお勧めします。詳細については、次の記事を参照してください。

妥当な期間にわたってこの機能を監査モードで実行した後、構成を "監査" から "適用" に切り替えて、さらに安全なパスワードを要求できます。この期間中に、追加の監視を行うことをお勧めします。

Microsoft Entra パスワード保護では、パスワードの変更または設定操作中にのみパスワードの検証を行うことができることにご注意ください。 Microsoft Entra パスワード保護をデプロイする前に Active Directory に受け入れられ保存されたパスワードは、検証されず、そのまま動作し続けます。時間の経過に伴い、すべてのユーザーとアカウントでは、通常どおり既存のパスワードの有効期限が切れると Microsoft Entra パスワード保護で検証されたパスワードの使用が開始されます。ただし、[パスワードを無期限にする] を使用して構成されたアカウントを除きます。

複数のフォレストに関する考慮事項

Microsoft Entra パスワード保護を複数のフォレストに展開するための追加要件はありません。

各フォレストは、次のセクションで説明するように、オンプレミスの Microsoft Entra パスワード保護をデプロイするために個別に構成されます。各 Microsoft Entra パスワード保護プロキシでサポートできるのは、参加先のフォレストのドメインコントローラーのみです。

どのフォレスト内の Microsoft Entra パスワード保護ソフトウェアも、Active Directory 信頼の構成に関係なく、別のフォレストにデプロイされているパスワード保護ソフトウェアを認識しません。

読み取り専用ドメインコントローラーに関する考慮事項

パスワードの変更または設定のイベントは、読み取り専用ドメインコントローラー (RODC) では処理および永続化されません。代わりに、これらは、書き込み可能なドメインコントローラーに転送されます。 RODC に Microsoft Entra パスワード保護 DC エージェントソフトウェアをインストールする必要はありません。

さらに、読み取り専用ドメインコントローラーでの Microsoft Entra パスワード保護プロキシサービスの実行はサポートされていません。

高可用性に関する考慮事項

パスワード保護に関する主要な関心事は、フォレストの DC が Azure から新しいポリシーやその他のデータをダウンロードしようとしたときの Microsoft Entra パスワード保護プロキシサーバーの可用性です。各 Microsoft Entra パスワード保護 DC エージェントでは、どのプロキシサーバーを呼び出すかを決定するときに、単純なラウンドロビン方式のアルゴリズムを使用します。エージェントは、応答しないプロキシサーバーをスキップします。

完全に接続された Active Directory デプロイの場合、ディレクトリと sysvol フォルダー状態の両方の正常なレプリケーションがあるときは、可用性を確保するには 2 つの Microsoft Entra パスワード保護プロキシサーバーがあれば十分です。この構成により、新しいポリシーやその他のデータがタイミングよくダウンロードされます。必要に応じて、追加の Microsoft Entra パスワード保護プロキシサーバーをデプロイできます。

高可用性に関連する一般的な問題は、Microsoft Entra パスワード保護 DC エージェントソフトウェアの設計によって軽減されています。 Microsoft Entra パスワード保護 DC エージェントは、最後にダウンロードされたパスワードポリシーのローカルキャッシュを保持します。登録されているすべてのプロキシサーバーが使用できなくなった場合でも、Microsoft Entra パスワード保護 DC エージェントは、キャッシュされたパスワードポリシーを引き続き適用します。

大規模なデプロイでのパスワードポリシーの妥当な更新頻度は、通常は日単位であり、時間単位やそれ以下の単位ではありません。そのため、プロキシサーバーが短時間停止しても、Microsoft Entra パスワード保護に大きな影響はありません。

展開の要件

ライセンスの詳細については、Microsoft Entra パスワード保護のライセンスの要件に関する記事をご覧ください。

次の主要な要件が適用されます。

ドメインコントローラーを含め、Microsoft Entra パスワード保護コンポーネントがインストールされているすべてのマシンに、ユニバーサル C ランタイムがインストールされている必要があります。
- Windows Update からすべての更新プログラムを確実に取得することでランタイムを入手できます。または、OS 固有の更新プログラムパッケージで入手できます。詳しくは、「Update for Universal C Runtime in Windows (Windows のユニバーサル C ランタイムの更新プログラム)」をご覧ください。
Microsoft Entra ID に Windows Server Active Directory フォレストを登録するために、フォレストルートドメインの Active Directory ドメイン管理者特権を持つアカウントが必要です。
Windows Server 2012 以降を実行している、ドメイン内のすべてのドメインコントローラーで、キー配布サービスを有効にする必要があります。既定では、このサービスは手動トリガーで開始して有効化されます。
各ドメイン内の少なくとも 1 つのドメインコントローラーと、Microsoft Entra パスワード保護用のプロキシサービスをホストする少なくとも 1 つのサーバーとの間に、ネットワーク接続が存在する必要があります。この接続では、ドメインコントローラーがプロキシサービス上の RPC エンドポイントマッパーポート 135 および RPC サーバーポートにアクセスできるようにする必要があります。
- RPC サーバーポートは、既定では範囲 (49152 - 65535) の動的 RPC ポートですが、静的ポートを使用するように構成することができます。

Microsoft Entra パスワード保護プロキシサービスがインストールされるすべてのマシンに、次のエンドポイントへのネットワークアクセスが必要です。

エンドポイント	目的
`https://login.microsoftonline.com`	認証要求
`https://enterpriseregistration.windows.net`	Microsoft Entra パスワード保護機能
`https://autoupdate.msappproxy.net`	Microsoft Entra パスワード保護自動アップグレード機能

Note

CRL エンドポイントなどの一部のエンドポイントについては、この記事では扱いません。サポートされているすべてのエンドポイントの一覧については、「Office 365 URL および IP アドレス範囲」を参照してください。また、Microsoft Entra 管理センター認証には他のエンドポイントが必要です。詳細については、Microsoft Entra 管理センターのプロキシバイパス用の URL に関するページを参照してください。

Microsoft Entra パスワード保護 DC エージェント

Microsoft Entra パスワード保護 DC エージェントには、次の要件が適用されます。

Microsoft Entra パスワード保護 DC エージェントソフトウェアがインストールされるマシンでは、Windows Server Core エディションを含め、Windows Server のすべてのサポートされているバージョンを実行できます。
- Active Directory ドメインまたはフォレストは、サポートされている任意の機能レベルにすることができます。
Microsoft Entra パスワード保護 DC エージェントがインストールされるすべてのマシンには、.NET 4.7.2 をインストールしておく必要があります。
- .NET 4.7.2 がまだインストールされていない場合は、Windows 用の .NET Framework 4.7.2 オフラインインストーラーに関するページにあるインストーラーをダウンロードして実行してください。
Microsoft Entra パスワード保護 DC エージェントサービスを実行しているすべての Active Directory ドメインは、sysvol レプリケーションに分散ファイルシステムレプリケーション (DFSR) を使用する必要があります。
- ご利用のドメインでまだ DFSR を使用していない場合、Microsoft Entra パスワード保護をインストールする前に移行する必要があります。詳細については、次を参照してください。SYSVOL レプリケーション移行ガイド:FRS レプリケーションから DFS レプリケーションに移行する
  
  警告
  
  Microsoft Entra パスワード保護 DC エージェントソフトウェアは現在のところ、sysvol レプリケーションのために依然として FRS (DFSR の前身テクノロジ) を使用しているドメインにあるドメインコントローラーにインストールされますが、この環境ではソフトウェアは正しく機能しません。
  
  その他のマイナスの副作用としては、個々のファイルを複製できない、sysvol 復元処理が成功したように見えたが、一部のファイルの複製に失敗しており、何のエラーも表示されない、などがあります。
  
  できるだけ早くドメインを移行して、DFSR に固有のメリットと Microsoft Entra パスワード保護のデプロイのブロック解除のために、DFSR を使用するようにしてください。このソフトウェアの今後のバージョンは、依然として FRS を使用しているドメインで実行すると、自動的に無効になります。

Microsoft Entra パスワード保護プロキシサービス

Microsoft Entra パスワード保護プロキシサービスには、次の要件が適用されます。

Microsoft Entra パスワード保護プロキシーサービスがインストールされるすべてのマシンで、Windows Server Core エディションを含め、Windows Server 2012 R2 以降が実行されている必要があります。

Note

インターネットへの直接の送信接続がドメインコントローラーにある場合でも、Microsoft Entra パスワード保護のデプロイには、Microsoft Entra パスワード保護プロキシサービスのデプロイが必須要件です。
Microsoft Entra パスワード保護プロキシサービスがインストールされるすべてのマシンには、.NET 4.7.2 をインストールしておく必要があります。
- .NET 4.7.2 がまだインストールされていない場合は、Windows 用の .NET Framework 4.7.2 オフラインインストーラーに関するページにあるインストーラーをダウンロードして実行してください。
Microsoft Entra パスワード保護プロキシサービスがホストされているすべてのマシンを、このプロキシサービスにログオンする機能をドメインコントローラーに許可するように、構成する必要があります。この機能は、"ネットワーク経由でコンピューターへアクセス" 特権の割り当てによって制御されます。
Microsoft Entra パスワード保護プロキシサービスがホストされているすべてのマシンを、送信 TLS 1.2 HTTP トラフィックを許可するように構成する必要があります。
特定のテナントで Microsoft Entra パスワード保護プロキシサービスを初めて登録する際には、"全体管理者" アカウントが必要です。 Microsoft Entra へのプロキシとフォレストの以降の登録では、"全体管理者" または "セキュリティ管理者" の資格情報があるアカウントを使用できます。
アプリケーションプロキシ環境の設定手順で指定されている一連のポートと URL に対して、ネットワークアクセスを有効にする必要があります。これは、上記の 2 つのエンドポイントに加えて必要となります。

Microsoft Entra Connect エージェントアップデーターの前提条件

Microsoft Entra Connect エージェントアップデーターサービスは、Microsoft Entra パスワード保護プロキシサービスとサイドバイサイドでインストールされます。 Microsoft Entra Connect エージェントアップデーターサービスを機能させるには、追加の構成が必要です。

お使いの環境で HTTP プロキシサーバーを使用している場合は、「既存のオンプレミスプロキシサーバーと連携する」に明記されているガイドラインに従ってください。
Microsoft Entra Connect Agent Updater サービスでは、TLS 要件で指定されている TLS 1.2 の手順も必要です。

警告

Microsoft Entra パスワード保護プロキシと Microsoft Entra アプリケーションプロキシでは、異なるバージョンの Microsoft Entra Connect エージェントアップデーターサービスがインストールされます。そのため、説明ではアプリケーションプロキシの内容を示しています。これらの異なるバージョンは、サイドバイサイドでインストールされた場合に互換性がないため、これを実行するとエージェントアップデーターサービスがソフトウェアの更新のために Azure に接続できなくなります。そのため、Microsoft Entra パスワード保護プロキシとアプリケーションプロキシを同じコンピューター上にインストールしないでください。

必要なソフトウェアのダウンロード

オンプレミスの Microsoft Entra パスワード保護のデプロイには 2 つのインストーラーが必要です。

Microsoft Entra パスワード保護 DC エージェント (AzureADPasswordProtectionDCAgentSetup.msi)
Microsoft Entra パスワード保護プロキシ (AzureADPasswordProtectionProxySetup.exe)

Microsoft ダウンロードセンターから両方のインストーラーをダウンロードします。

プロキシサービスのインストールと構成

Microsoft Entra パスワード保護プロキシサービスは、通常、オンプレミスの AD DS 環境のメンバーサーバー上にあります。インストールが完了すると、Microsoft Entra パスワード保護プロキシサービスは Microsoft Entra ID と通信し、Microsoft Entra テナント向けのグローバルおよび顧客の禁止パスワードの一覧のコピーを保持します。

次のセクションでは、オンプレミスの AD DS 環境のドメインコントローラーに Microsoft Entra パスワード保護 DC エージェントをインストールします。これらの DC エージェントはプロキシサービスと通信して、ドメイン内でパスワード変更イベントを処理するときに使用する最新の禁止パスワードの一覧を取得します。

Microsoft Entra パスワード保護プロキシサービスをホストする 1 つ以上のサーバーを選択します。このサーバーには、次の考慮事項が適用されます。

これら各サービスは、単一フォレストのパスワードポリシーのみを提供できます。ホストマシンは、そのフォレスト内の任意のドメインに参加している必要があります。
ルートまたは子ドメイン、またはそれらの組み合わせのいずれかにプロキシサービスをインストールできます。
フォレストの各ドメインの少なくとも 1 つの DC とパスワード保護プロキシサーバーの間にネットワーク接続が必要です。
テストのためにドメインコントローラーで Microsoft Entra パスワード保護プロキシサービスを実行することはできますが、その場合、ドメインコントローラーにはインターネット接続が必要です。この接続は、セキュリティ上の問題になる可能性があります。この構成はテスト専用としてお勧めします。
高可用性に関する考慮事項について前のセクションで説明したように、冗長性を確保するためにフォレストあたり少なくとも 2 つの Microsoft Entra パスワード保護プロキシサーバーを使用することをお勧めします。
読み取り専用ドメインコントローラーでの Microsoft Entra パスワード保護プロキシサービスの実行はサポートされていません。
[プログラムの追加と削除] を使用し、必要に応じてプロキシサービスを削除できます。プロキシサービスが保持する状態を手動でクリーンアップする必要はありません。

Microsoft Entra パスワード保護プロキシサービスをインストールするには、次の手順を実行します。

Microsoft Entra パスワード保護プロキシサービスをインストールするために、AzureADPasswordProtectionProxySetup.exe ソフトウェアインストーラーを実行します。

このソフトウェアのインストールでは再起動を必要とせず、次の例のように、標準 MSI プロシージャを使用して自動化できます。
```
AzureADPasswordProtectionProxySetup.exe /quiet
```
注意

インストールエラーを回避するため、AzureADPasswordProtectionProxySetup.exe パッケージをインストールする前に Windows ファイアウォールサービスを実行しておく必要があります。

Windows Firewall が実行されないように構成されている場合は、回避策として、インストールの際に一時的に Windows Firewall サービスを有効化して実行します。インストール後はプロキシソフトウェアが Windows Firewall に特に依存することはありません。

サードパーティ製のファイアウォールを使用している場合も、デプロイ要件を満たすように構成する必要があります。これらには、ポート 135 およびプロキシ RPC サーバーポートへの着信アクセスの許可が含まれます。詳細については、デプロイ要件に関する前のセクションを参照してください。
Microsoft Entra パスワード保護プロキシソフトウェアには、新しい PowerShell モジュール AzureADPasswordProtection が含まれています。この後の手順では、この PowerShell モジュールからさまざまなコマンドレットを実行します。

このモジュールを使用するには、管理者として PowerShell ウィンドウを開き、次のように新しいモジュールをインポートします。
```
Import-Module AzureADPasswordProtection
```
警告

64 ビットバージョンの PowerShell を使用する必要があります。 PowerShell (x86) では、特定のコマンドレットが動作しない可能性があります。
Microsoft Entra パスワード保護プロキシサービスが実行されていることを確認するには、次の PowerShell コマンドを使用します。
```
Get-Service AzureADPasswordProtectionProxy | fl
```
結果の [Status] が "Running" と表示されます。
プロキシサービスはマシンで実行されていますが、Microsoft Entra と通信するための資格情報を保持していません。 Register-AzureADPasswordProtectionProxy コマンドレットを使用して、Microsoft Entra ID に Microsoft Entra パスワード保護プロキシサーバーを登録します。

特定のテナントでプロキシを初めて登録するときは、このコマンドレットでは "全体管理者" の資格情報が必要です。同じプロキシでも別のプロキシでも、そのテナントでのプロキシの以降の登録では、"グローバル管理者" または "セキュリティ管理者" の資格情報を使用できます。

このコマンドが 1 回成功すると、次回以降の呼び出しも成功しますが、これ以上は必要はありません。

Register-AzureADPasswordProtectionProxy コマンドレットでは、以下の 3 つの認証モードがサポートされます。 Microsoft Entra 多要素認証は、最初の 2 つのモードではサポートされますが、3 つ目のモードではサポートされません。

ヒント

このコマンドレットを特定の Azure テナントに対して最初に実行するときは、完了するまでにかなり時間がかかることがあります。エラーが報告されない限り、この遅延については心配しないでください。
- 対話型認証モード:
```
Register-AzureADPasswordProtectionProxy -AccountUpn 'yourglobaladmin@yourtenant.onmicrosoft.com'
```
  注意
  
  このモードは、Server Core オペレーティングシステムでは機能しません。代わりに以下の認証モードのいずれかを使用できます。また、Internet Explorer の強化されたセキュリティ構成が有効になっている場合、このモードは失敗する可能性があります。回避策としては、その構成を無効にし、プロキシを登録してから、もう一度構成を有効にします。
- デバイスコード認証モード:
```
Register-AzureADPasswordProtectionProxy -AccountUpn 'yourglobaladmin@yourtenant.onmicrosoft.com' -AuthenticateUsingDeviceCode
```
  プロンプトが表示されたら、リンクに従って Web ブラウザーを開き、認証コードを入力します。
- サイレント (パスワードベース) 認証モード:
```
$globalAdminCredentials = Get-Credential
Register-AzureADPasswordProtectionProxy -AzureCredential $globalAdminCredentials
```
  Note
  
  このモードは、お使いのアカウントで Microsoft Entra 多要素認証が必要な場合は失敗します。その場合は、前の 2 つの認証モードのいずれかを使用するか、MFA を必要としない別のアカウントを使用してください。
  
  グローバルに MFA を要求するように Azureデバイス登録 (Microsoft Entra のパスワード保護によってバックグラウンドで使用されます) が構成されている場合も、MFA が必要であることが表示されます。この要件に対処するには、前の 2 つの認証モードのいずれかで、MFA をサポートしている別のアカウントを使用します。または、Azure Device Registration の MFA 要件を一時的に緩めることもできます。
  
  この変更を行うには、Microsoft Entra 管理センターで [ID] を選択し、[デバイス]、[デバイス設定] の順に選択します。 [デバイスを参加させるために多要素認証を要求] を [いいえ] に設定します。登録が完了したら、この設定を必ず [はい] に再構成してください。
  
  MFA の要件のバイパスは、テスト目的でのみ使用することをお勧めします。
現時点では、今後提供される機能用に予約された -ForestCredential パラメーターを指定する必要はありません。

Microsoft Entra パスワード保護プロキシサービスの登録は、サービスの有効期間内に 1 回だけ行う必要があります。その後、他の必要なメンテナンスは、Microsoft Entra パスワード保護プロキシサービスによって自動的に実行されます。
変更が有効になっていることを確認するには、Test-AzureADPasswordProtectionProxyHealth -TestAll を実行します。エラーの解決については、「トラブルシューティング: オンプレミスの Microsoft Entra パスワード保護」をご覧ください。
次は、Register-AzureADPasswordProtectionForest PowerShell コマンドレットを使用して、Azure と通信するために必要な資格情報でオンプレミスの Active Directory フォレストを登録します。

Note

環境に複数の Microsoft Entra パスワード保護プロキシサーバーがインストールされている場合、フォレストの登録にどのプロキシサーバーを使用しても問題はありません。

このコマンドレットを使用するには、Azure テナントの "グローバル管理者" または "セキュリティ管理者" の資格情報が必要です。また、オンプレミスの Active Directory のエンタープライズ管理者特権も必要です。ローカル管理者特権を持つアカウントを使って、このコマンドレットを実行する必要があります。フォレストの登録に使用される Azure アカウントは、オンプレミスの Active Directory アカウントとは異なる場合があります。

この手順は、フォレストごとに 1 回実行されます。

Register-AzureADPasswordProtectionForest コマンドレットでは、以下の 3 つの認証モードがサポートされます。 Microsoft Entra 多要素認証は、最初の 2 つのモードではサポートされますが、3 つ目のモードではサポートされません。

ヒント

このコマンドレットを特定の Azure テナントに対して最初に実行するときは、完了するまでにかなり時間がかかることがあります。エラーが報告されない限り、この遅延については心配しないでください。
- 対話型認証モード:
```
Register-AzureADPasswordProtectionForest -AccountUpn 'yourglobaladmin@yourtenant.onmicrosoft.com'
```
  注意
  
  このモードは、Server Core オペレーティングシステムでは機能しません。代わりに以下の 2 つの認証モードのいずれかを使用します。また、Internet Explorer の強化されたセキュリティ構成が有効になっている場合、このモードは失敗する可能性があります。回避策としては、その構成を無効にし、フォレストを登録してから、もう一度構成を有効にします。
- デバイスコード認証モード:
```
Register-AzureADPasswordProtectionForest -AccountUpn 'yourglobaladmin@yourtenant.onmicrosoft.com' -AuthenticateUsingDeviceCode
```
  プロンプトが表示されたら、リンクに従って Web ブラウザーを開き、認証コードを入力します。
- サイレント (パスワードベース) 認証モード:
```
$globalAdminCredentials = Get-Credential
Register-AzureADPasswordProtectionForest -AzureCredential $globalAdminCredentials
```
  Note
  
  このモードは、お使いのアカウントで Microsoft Entra 多要素認証が必要な場合は失敗します。その場合は、前の 2 つの認証モードのいずれかを使用するか、MFA を必要としない別のアカウントを使用してください。
  
  グローバルに MFA を要求するように Azureデバイス登録 (Microsoft Entra のパスワード保護によってバックグラウンドで使用されます) が構成されている場合も、MFA が必要であることが表示されます。この要件に対処するには、前の 2 つの認証モードのいずれかで、MFA をサポートしている別のアカウントを使用します。または、Azure Device Registration の MFA 要件を一時的に緩めることもできます。
  
  この変更を行うには、Microsoft Entra 管理センターで [ID] を選択し、[デバイス]、[デバイス設定] の順に選択します。 [デバイスを参加させるために多要素認証を要求] を [いいえ] に設定します。登録が完了したら、この設定を必ず [はい] に再構成してください。
  
  MFA の要件のバイパスは、テスト目的でのみ使用することをお勧めします。
  
  これらの例は、現在サインインしているユーザーがルートドメインの Active Directory ドメイン管理者でもある場合にのみ正常に機能します。これに該当しない場合は、 -ForestCredential パラメーターを使用して、代替のドメイン資格情報を指定できます。
Active Directory フォレストの登録は、フォレストの有効期間中に 1 回だけ必要です。その後、他の必要なメンテナンスは、フォレスト内の Microsoft Entra パスワード保護 DC エージェントによって自動的に実行されます。フォレストに対して Register-AzureADPasswordProtectionForest が正常に実行された後、それ以降のコマンドレットの呼び出しも成功しますが、必要ありません。

Register-AzureADPasswordProtectionForest を成功させるには、Windows Server 2012 以降を実行している少なくとも 1 台の DC が Microsoft Entra パスワード保護プロキシサーバーのドメイン内で使用できる必要があります。この手順の前に、Microsoft Entra パスワード保護 DC エージェントソフトウェアをドメインコントローラーにインストールしておく必要はありません。
変更が有効になっていることを確認するには、Test-AzureADPasswordProtectionProxyHealth -TestAll を実行します。エラーの解決については、「トラブルシューティング: オンプレミスの Microsoft Entra パスワード保護」をご覧ください。

HTTP プロキシを通じて通信するようにプロキシサービスを構成する

ご使用の環境で Azure との通信に特定の HTTP プロキシを使用する必要がある場合は、次の手順を使用して、Microsoft Entra パスワード保護サービスを構成します。

%ProgramFiles%\Azure AD Password Protection Proxy\Service フォルダーに AzureADPasswordProtectionProxy.exe.config ファイルを作成します。次の内容を含めます。

<configuration>
   <system.net>
      <defaultProxy enabled="true">
      <proxy bypassonlocal="true"
         proxyaddress="http://yourhttpproxy.com:8080" />
      </defaultProxy>
   </system.net>
</configuration>

HTTP プロキシで認証が必要な場合は、useDefaultCredentials タグを追加します。

<configuration>
   <system.net>
      <defaultProxy enabled="true" useDefaultCredentials="true">
      <proxy bypassonlocal="true"
         proxyaddress="http://yourhttpproxy.com:8080" />
      </defaultProxy>
   </system.net>
</configuration>

いずれの場合も、http://yourhttpproxy.com:8080 を特定の HTTP プロキシサーバーのアドレスとポートに置き換えます。

HTTP プロキシが承認ポリシーを使用するように構成されている場合は、パスワード保護用プロキシサービスをホストしているコンピューターの Active Directory コンピューターアカウントにアクセス許可を付与する必要があります。

AzureADPasswordProtectionProxy.exe.config ファイルを作成または更新した後は、Microsoft Entra パスワード保護プロキシサービスを停止して再起動することをお勧めします。

プロキシサービスでは、HTTP プロキシへの接続に特定の資格情報を使用することはサポートされていません。

特定のポートでリッスンするようにプロキシサービスを構成する

Microsoft Entra パスワード保護 DC エージェントソフトウェアは、TCP 経由の RPC を使用してプロキシサービスと通信します。既定では、Microsoft Entra パスワード保護プロキシサービスは、使用可能な動的 RPC エンドポイントでリッスンします。ご使用の環境のネットワークトポロジまたはファイアウォールの要件のために必要な場合には、特定の TCP ポート上でリッスンするようにサービスを構成できます。静的ポートを構成する場合は、ポート 135 と、選択した静的ポートを開く必要があります。

静的ポートで実行するようにサービスを構成するには、次のように Set-AzureADPasswordProtectionProxyConfiguration コマンドレットを使用します。

Set-AzureADPasswordProtectionProxyConfiguration –StaticPort <portnumber>

警告

これらの変更を有効にするには、Microsoft Entra パスワード保護プロキシサービスを停止して再起動する必要があります。

動的ポートで実行するようにサービスを構成するには、同じ手順を使用しますが、StaticPort の設定を 0 に戻します。

Set-AzureADPasswordProtectionProxyConfiguration –StaticPort 0

警告

これらの変更を有効にするには、Microsoft Entra パスワード保護プロキシサービスを停止して再起動する必要があります。

ポート構成の変更後、Microsoft Entra パスワード保護プロキシサービスを手動で再起動する必要があります。これらの構成変更の後、ドメインコントローラー上の Microsoft Entra パスワード保護 DC エージェントサービスを再起動する必要はありません。

サービスの現在の構成を照会するには、次の例に示すように Get-AzureADPasswordProtectionProxyConfiguration コマンドレットを使用します

Get-AzureADPasswordProtectionProxyConfiguration | fl

次の出力例は、Microsoft Entra パスワード保護プロキシサービスが動的ポートを使用していることを示しています。

ServiceName : AzureADPasswordProtectionProxy
DisplayName : Azure AD password protection Proxy
StaticPort  : 0

DC エージェントサービスをインストールする

Microsoft Entra パスワード保護 DC エージェントサービスをインストールするには、AzureADPasswordProtectionDCAgentSetup.msi パッケージを実行します。

ソフトウェアのインストールは、次の例に示すように、標準 MSI プロシージャを使用して自動化できます。

msiexec.exe /i AzureADPasswordProtectionDCAgentSetup.msi /quiet /qn /norestart

インストーラーでマシンを自動的に再起動する場合は、/norestart フラグを省略できます。

ソフトウェアをインストールまたはアンインストールすると再起動が必要になります。この要件は、パスワードフィルター DLL は再起動しないとロードまたはアンロードされないためです。

オンプレミスの Microsoft Entra パスワード保護のインストールが完了するのは、DC エージェントソフトウェアがドメインコントローラーにインストールされ、そのコンピューターが再起動された後です。これ以外の構成は必要ないか、可能ではありません。オンプレミスの DC に対するパスワード変更イベントでは、Microsoft Entra ID の構成された禁止パスワードの一覧が使用されます。

オンプレミスの Microsoft Entra パスワード保護を有効にしたり、カスタムの禁止パスワードを構成したりするには、オンプレミスの Microsoft Entra パスワード保護の有効化に関する記事をご覧ください。

ヒント

Microsoft Entra パスワード保護 DC エージェントは、まだドメインコントローラーになっていないマシンにインストールできます。この場合、サービスは開始して実行されますが、マシンがドメインコントローラーにレベル上げされるまでアクティブになりません。

プロキシサービスのアップグレード

Microsoft Entra パスワード保護プロキシサービスでは、自動アップグレードがサポートされています。自動アップグレードでは、プロキシサービスとサイドバイサイドでインストールされる Microsoft Entra Connect エージェントアップデーターサービスが使用されます。自動アップグレードは既定でオンになっており、Set-AzureADPasswordProtectionProxyConfiguration コマンドレットを使用して有効または無効にすることができます。

現在の設定は、Get-AzureADPasswordProtectionProxyConfiguration コマンドレットを使用して照会できます。自動アップグレードの設定を常に有効にしておくことをお勧めします。

Get-AzureADPasswordProtectionProxy コマンドレットを使用して、フォレストに現在インストールされているすべての Microsoft Entra パスワード保護プロキシサーバーのソフトウェアバージョンを照会できます。

Note

プロキシサービスは、重要なセキュリティパッチが必要な場合にのみ、新しいバージョンに自動的にアップグレードされます。

手動アップグレードプロセス

手動アップグレードを行うには、AzureADPasswordProtectionProxySetup.exe ソフトウェアインストーラーの最新バージョンを実行します。最新バージョンのソフトウェアは、Microsoft ダウンロードセンターで入手できます。

現在のバージョンの Microsoft Entra パスワード保護プロキシサービスをアンインストールする必要はありません。インストーラーによってインプレースアップグレードが実行されます。プロキシサービスをアップグレードする際に、再起動は不要です。ソフトウェアのアップグレードは、標準 MSI プロシージャを使用して自動化できます。たとえば、AzureADPasswordProtectionProxySetup.exe /quiet などです。

DC エージェントのアップグレード

新しいバージョンの Microsoft Entra パスワード保護 DC エージェントソフトウェアを使用できるようになったら、最新バージョンの AzureADPasswordProtectionDCAgentSetup.msi ソフトウェアパッケージを実行してアップグレードを行います。最新バージョンのソフトウェアは、Microsoft ダウンロードセンターで入手できます。

現在のバージョンの DC エージェントソフトウェアをアンインストールする必要はありません。インストーラーによってインプレースアップグレードが実行されます。 DC エージェントソフトウェアをアップグレードするときは、再起動が常に必要になります。この要件は、Windows のコア動作によるものです。

ソフトウェアのアップグレードは、標準 MSI プロシージャを使用して自動化できます。例えば、msiexec.exe /i AzureADPasswordProtectionDCAgentSetup.msi /quiet /qn /norestart などです。

インストーラーでコンピューターが自動的に再起動されるようにする場合は、/norestart フラグを省略できます。

Get-AzureADPasswordProtectionDCAgent コマンドレットを使用して、フォレストに現在インストールされているすべての Microsoft Entra パスワード保護 DC エージェントのソフトウェアバージョンを照会できます。

次のステップ

Microsoft Entra パスワード保護に必要なサービスがオンプレミスサーバーにインストールされたので、オンプレミスの Microsoft Entra パスワード保護を有効にして、デプロイを完了します。

オンプレミスの Microsoft Entra パスワード保護を計画してデプロイする

展開戦略

複数のフォレストに関する考慮事項

読み取り専用ドメイン コントローラーに関する考慮事項

高可用性に関する考慮事項

展開の要件

Microsoft Entra パスワード保護 DC エージェント

Microsoft Entra パスワード保護プロキシ サービス

Microsoft Entra Connect エージェント アップデーターの前提条件

必要なソフトウェアのダウンロード

プロキシ サービスのインストールと構成

HTTP プロキシを通じて通信するようにプロキシ サービスを構成する

特定のポートでリッスンするようにプロキシ サービスを構成する

DC エージェント サービスをインストールする

プロキシ サービスのアップグレード

手動アップグレード プロセス