メインコンテンツへスキップ
English (United States) 简体中文 繁體中文

[Access Control] ユーザー同期設定 (Access Control → Microsoft 365)

概要

Access ControlからMicrosoft Entra IDへユーザー情報を手動または定期的に同期するお客様向けに、設定手順を説明します。

注意事項

  1. 本記事の内容は2026年10月時点での製品仕様に基づき作成しており、予告なく変更される場合があります。
  2. ユーザー同期の設定にはAccess Controlのグローバル管理者権限およびMicrosoft 365の全体管理者権限が必要です。
  3. 管理画面へのアクセス方法は、以下の記事を参照してください。
    [Access Control] 管理画面へのログイン方法
  4. ユーザー同期はドメイン単位で設定が必要です。
  5. ユーザー同期の実行前に、必要なユーザーをあらかじめAccess Controlに登録する必要があります。
  6. Access Controlからのユーザー同期でMicrosoft Entra IDに作成したユーザーにはMicrosoft 365のライセンスが付与されません。
    必要に応じて、同期後に管理者からMicrosoft 365のライセンスを付与してください。
  7. 定期同期の有効化後は、1時間に1回のタイミングでユーザー情報の同期を行います。
    ※同期間隔は変更できません。
  8. Microsoft 365へ同期されるユーザー属性は、［姓］［名］［表示名］［UserPrincipalName］です。
    Access ControlのパスワードはMicrosoft 365へ同期されません。また、Microsoft 365との同期構成では、メールアドレスはMicrosoft 365側の情報を取得してAccess Controlに反映されます。
  9. Active DirectoryからMicrosoft Entra IDへのユーザー同期を行っている場合は、本作業は必要ありません。

事前確認事項

手順

  1. Access Controlの管理画面から［プロビジョニング設定］にアクセスします。

    Access Controlの管理画面で［プロビジョニング設定］を選択する画面

  2. ［Access Control からの同期］メニューから［+ サービスの追加］をクリックします。

    ［Access Control からの同期］メニューで［+ サービスの追加］を選択する画面

  3. 同期サービスの選択画面で、同期対象のサービスをクリックします。
    初回同期の際など、［Entra ID］のみ表示されている場合は［Entra ID］をクリックします。

    同期対象のサービスとして［Entra ID］を選択する画面

    ［保存済みのデータを使用する］のメニューが表示されている場合は、［保存済みのデータを使用する］から対象のテナントをクリックし、後続の手順6に進みます。
    ※手順5の［要求されているアクセス許可］の［承諾］まで完了済みの場合は、本メニューが表示されます。

    ［保存済みのデータを使用する］を選択する画面

  4. Microsoft 365のログイン画面が表示されるので、全体管理者アカウントでログインします。
  5. ［要求されているアクセス許可］の画面が表示されるので、［承諾］をクリックします。

  6. 同期するドメインを選択し、必要に応じて設定値を変更した後、［続行する］をクリックします。

    • ドメイン
      同期するドメインにチェックを入れます。
    • ユーザー削除許容率（※）
      設定した割合以上のユーザー削除処理が実行されようとした場合に、処理をキャンセルし、意図せず大量のユーザーが削除されることを防止します。
      例：ユーザー削除許容率が65%の場合、同期時に全体の65%以上のユーザーが削除される場合に処理をキャンセルします。

    同期するドメインとユーザー削除許容率を設定する画面

  7. ［要求されているアクセス許可］の画面が表示されるので、［組織の代理として同意する］にチェックして［承諾］を選択します。
    ※画面が表示されずに次の画面に進んだ場合は、すでに認証済みのため、次の手順に進んでください。

    ［組織の代理として同意する］にチェックして［承諾］を選択する画面

  8. 同期対象ドメインそれぞれの［同期プレビューを開始］をクリックし、想定されるユーザー同期結果を出力します。
    ※複数のドメインがある場合は、ドメインごとに同期プレビューを実施してください。

    同期対象ドメインの［同期プレビューを開始］を選択する画面

  9. ［結果のダウンロード］を選択し、ダウンロードした同期プレビュー結果（CSVファイル）を確認します。
    ※複数のドメインがある場合は、ドメインごとに結果を確認してください。
    ※同期プレビューにはユーザー削除許容率が適用されないため、許容率を超えたユーザー削除のプレビューが出力される可能性があります。

    ［結果のダウンロード］を選択する画面

    以下を参考に、同期プレビューの結果を必ず確認してください。

    同期結果に想定外のAdd、Delete、Updateのユーザーが含まれていた場合は、［キャンセル］をクリックし、ユーザー情報の編集などを完了後に再度お試しください。
    ご不明な場合は、HENNGEの担当者かHENNGE  One Technical Supportへお知らせください。
    ※同期プレビュー結果出力時のユーザー一覧の並び順は変更できません。
    ※出力したユーザー一覧には、各ユーザーのImmutable IDが出力されます。

同期プレビュー結果にXXX excluded for userが表示された場合

「excluded for user」の表記には、Addition／Update／Deletionの3パターンがあります。
これらのメッセージが表示されたユーザーは同期の対象外に設定されているため、同期を実行しても更新されません。
※もしユーザー同期が有効だった場合にどのような処理が行われるかが記載されています。

同期プレビュー結果にAddまたはDeleteが表示された場合

AddまたはDelete対象のユーザーが想定されたユーザーか確認してください。
AddやDeleteの対象外としたいユーザーがいた場合は［キャンセル］をクリックし、Access ControlまたはMicrosoft Entra ID側でユーザー情報の登録、削除後に再度お試しください。

同期プレビュー結果にUpdateが表示された場合

Update対象ユーザーの同期項目の値が想定どおりか確認してください。
Access Controlに登録されているユーザー情報と、Microsoft 365に登録されているユーザー情報を比較することで、更新内容を確認できます。
Updateで想定外のユーザーがいた場合は、［キャンセル］をクリックし、Access ControlまたはMicrosoft Entra ID側でユーザー情報を編集した後に再度実施してください。

ユーザー同期時の同期項目の詳細は、以下の記事を参照してください。
[Access Control] Microsoft 365 とのユーザー同期の同期項目は？

Access Controlのユーザー一覧のダウンロード手順は、以下の記事を参照してください。
[Access Control] ユーザー一覧のダウンロード

Microsoft Entra IDのユーザー情報を一括エクスポートする手順
以下のコマンドでMicrosoft Entra IDのユーザー情報を一括でエクスポートし、同期プレビュー結果の確認に利用できます。
※本コマンドの動作はMicrosoft Entra IDの仕様です。詳細はMicrosoft社にお問い合わせください。
※手順の実施前に以下の記事を確認し、Microsoft Graph PowerShellを利用できることを確認してください。
Microsoft Graph PowerShell から Microsoft 365 に接続する

  1. Microsoft Graph PowerShellを管理者権限で起動し、次のコマンドを実行してください。
    ※ログインダイアログが表示された場合は、Microsoft 365の全体管理者権限を持つアカウントでログインを続行してください。

    Connect-MgGraph -Scopes "Domain.ReadWrite.All","Directory.AccessAsUser.All" -ErrorAction Stop

  2. 以下のコマンドを実行します。
    ※「"*@連携対象ドメイン"」の箇所に、同期対象ドメインの値を指定してください。
    例：「"*@example.com"」
    ※「任意のパス」の箇所にエクスポート先のパスを指定してください。

    Get-MgUser -all -Property MailNickname, UserPrincipalName, surname, givenname,DisplayName, OnPremisesImmutableId |Where-Object {$_.UserPrincipalName -like "*@連携対象ドメイン"} | Select-Object MailNickname, UserPrincipalName, surname, givenname, DisplayName, OnPremisesImmutableId | Export-Csv -Path "/任意のパス/msusers.csv" -NoTypeInformation

  1. 内容に問題がなければ、［続行する］をクリックします。

    認証設定画面で［続行する］をクリックする画面

  2. ［定期同期の設定］または［今すぐ同期］を選択し、［実行する］をクリックします。
    ※同期プレビューおよび今すぐ同期を実施し、想定どおりに同期されたことを確認した上で、定期同期の設定を行うことを推奨します。

    • 今すぐ同期
      ユーザー情報の同期（追加、削除、更新）を即時に実施します。
      ※［今すぐ同期］を実行すると、ユーザー情報の同期（追加、削除、更新）が即時に実行され、Microsoft 365のユーザーが更新されます。
      同期プレビューが想定どおりの結果であることを確認した上で実行してください。
    • 定期同期の設定
      1時間に1回、同期元サービスから同期先サービスへユーザー情報の定期同期（追加、削除、更新）を行います。
    • 同期（追加、削除、更新）について
      • 追加：同期元サービスにのみユーザーが存在し、同期先サービスにユーザーが存在しない場合、同期先サービスにユーザーを追加します。
      • 削除：同期元サービスにユーザーが存在せず、同期先サービスにユーザーが存在する場合、同期先サービスのユーザーを削除します。
      • 更新：同期元サービスと同期先サービスに同じユーザーが存在し、姓名、表示名などの項目に差分がある場合、同期先サービスの値を同期元の値に更新します。

    プロビジョニング設定画面で同期方法を選択して実行する画面

  3. ［同期ログを確認する］をクリックし、同期結果を確認します。
    ※［Entra ID の定期実行］を選択した場合、定期同期を有効化した段階では同期処理は実施されないため、同期ログには表示されません。
    定期同期を有効化した後、1時間に1回ユーザー情報の定期同期が実行され、同期ログが出力されます。
    同期ログの確認方法の詳細は、以下の記事を参照してください。
    ［Access Control］同期ログの確認
    ※ユーザー同期が正常に完了していることを確認した時点で、必ずHENNGE One導入担当者またはサポート窓口までご連絡ください。

    同期ログを確認する画面

複数のドメインを利用していて、後から別のドメインのユーザー情報を設定する場合は、以下の手順を参照してください。
Access Controlでユーザー定期同期をするドメインの追加（Access Control → Microsoft 365）