[Access Control] Active Directory リプレース手順(ドメインコントローラー・同期サーバー両方・パスワード同期あり) – HENNGE One ヘルプセンター

対象

Active Directory および同期サーバーのリプレース(移設 / OS バージョンアップ含む)を実施するお客様
Active Directory からパスワード同期を実施するお客様

目的

Active Directory および同期サーバーのリプレース(移設 / OS バージョンアップ含む)に際して
HENNGE Directory Sync Tool 関連で設定する内容を説明します。

注意事項

本記事は、事前に HENNGE 担当者が貴社ご担当者様よりヒアリングした現環境構成や作業内容を元にご案内しています。
リプレースを予定しているお客様は、下記の記事をご参照ください
Windows Serverのバージョンアップ・入れ替え・追加を予定されているお客様へお願い
2019 年 2 月 1 日に行われた弊社の社名変更（HDE→HENNGE）に伴い、サービスや同期ツールの名称が変更されています。
ただし、本作業で利用するファイル名やインストールフォルダ名は、お客様への影響を考慮し変更していないので、記事内の記載と同じ名称をご利用ください。
本記事の内容は 2026 年 7 月時点の内容をもとにしており、以後予告なく変更される場合があります。

新しい Active Directory ドメインコントローラー（Windows Server 2016 以降）での作業［全サーバー共通］
新しいActive Directoryドメインコントローラー（Windows Server 2016以降）での作業 [ドメイン昇格後/全サーバー共通]
HENNGE Directory Sync Tool を新しく実行するサーバーでの事前準備 [新同期サーバー構築後]
HENNGE Directory Sync Tool が実行されている旧サーバーでの同期サービス停止
新同期サーバーで HENNGE Directory Sync Tool を実行する際の作業
全ての作業が完了してもパスワード同期が行われない場合の対処方法

手順

事前準備 – インストーラーのダウンロード

Access Control 管理画面にアクセスします。
[Access Control] 管理画面へのログイン方法
下記の手順に沿って、HENNGEOneDirectorySync-x64.msi 及び Installer_HDEOnePasswordSync.zip を取得します。
[Access Control] ActiveDirectory 同期ツールのダウンロード手順

1. 新しい Active Directory ドメインコントローラー(Windows Server 2016 以降)での作業
［全サーバー共通］

新しく Active Directory ドメインコントローラーとして稼働するすべての Windows Server 2016 以降のサーバー(以下、ドメインコントローラー)で実施する作業です。
この作業はドメイン昇格前でも実施できます。

HDEPasswordFilter.dll のインストール

Windows Server 2016 以降で稼働するドメインコントローラーで Access Control とパスワード同期をする場合、すべてのドメインコントローラーで HDEPasswordFilter.dll をインストールするためのスクリプトを実行する必要があります。

※この作業は [ Domain Admins ] もしくは [ Enterprise Admins ] 権限を持つユーザーで実施してください。

ダウンロードした Installer_HDEOnePasswordSync.zip を解凍し、Installer_HDEOnePasswordSync フォルダーをすべてのドメインコントローラーにコピーします。
PowerShell を管理者として起動します。

PowerShell で以下のコマンドを実行します。

> cd <Installer_HDEOnePasswordSyncフォルダーのパス>
> powershell -ExecutionPolicy Bypass -File .\install.ps1

例

cd C:\work\Installer_HDEOnePasswordSync
powershell -ExecutionPolicy Bypass -File .\install.ps1

以下のメッセージが表示されることを確認します。
※ エラーが表示された際には HENNGE のサポート窓口にご連絡ください。
```
The script was successfully completed. Please restart Windows Server.
```
ドメインコントローラーを再起動します。
手順 2 から 5 を、新規導入するすべてのドメインコントローラーで実施します。

2. 新しいActive Directoryドメインコントローラー(Windows Server 2016以降)での作業
[ドメイン昇格後/全サーバー共通]

Active Directory Web Services (ADWS) の確認

※本作業はドメインコントローラー昇格後に実施してください。

[ 管理ツール ] - [ サービス ] を開き Active Directory Web Services の状態が「開始」に、スタートアップの種類が「自動」となっていることを確認します。

Active Directory Web Servicesの状態確認画面

AmazonSSMAgent サービスの停止( AWS 上のドメインコントローラーのみ)

AWS 上に構築した Windows Server では AmazonSSMAgent というサービスが実行されている場合があります。
このサービスが実行されていると HDEPasswordFilter.dll の動作に影響を及ぼす可能性があるため、下記の手順で確認と停止作業を実施してください。

■サービス確認手順

[ コントロールパネル ] - [ 管理ツール ] - [ サービス ] を開きます。
“AmazonSSMAgent” サービスのスタートアップの種類が "無効" 以外 になっている場合は、以下 [ サービス停止手順 ] を実施します。

■サービス停止手順

“AmazonSSMAgent” を選択し右クリックメニューからプロパティを開きます。
[ 全般 ] タブでスタートアップの種類を「無効」にして [ OK ] ボタンをクリックします。
ドメインコントローラーを再起動します。

3. HENNGE Directory Sync Tool を新しく実行するサーバーでの事前準備 [新同期サーバー構築後]

HENNGE Directory Sync Tool のインストール要件確認

下記記事の [ HENNGE Directory Sync Tool ] 項目を参照し、動作要件を満たしていることを確認します。
HENNGE One 動作環境
通信先の Active Directory に接続出来ることを確認します。

動作用ルート証明書のインストール

下記の手順を参考に、動作用ルート証明書をインストールします。
[Access Control] HENNGE Directory Sync Tool 動作用ルート証明書インストール手順

HENNGE Directory Sync Tool 実行時に Access Control との通信を行うために SSL 証明書チェックを行っています。
SSL 証明書のルート証明書がインストールされていない場合、エラーとなる可能性があります。

新しい API クライアントの作成

Access Control 管理画面より API クライアントを新規作成し、クライアントID とクライアント秘密鍵を控えます。
詳細手順は HENNGE Directory Sync Tool 実行のための API クライアントの作成をご確認ください。

新しい HENNGE Directory Sync Tool のインストール

事前に Access Control からダウンロードした HENNGEOneDirectorySync-x64.msi を実行し、ダイアログに従ってインストールします。
HENNGE よりお送りした config.ini ファイルを下記インストールフォルダに上書き保存します。
C:\Program Files\HDE One Directory Sync\
config.ini ファイル内の [ client_id= ][ client_secret= ]に指定されている値を本マニュアルの[ 新しい API クライアントの作成 ] にて控えたクライアントID とクライアント秘密鍵の値に変更し上書き保存します。
```
------------------------------
client_id=example.co.jp@xxxxxxxx　※ クライアントID を指定します。
client_secret=xxxxxxxxxx　※ クライアント秘密鍵 を指定します。
------------------------------
```
参照先 Active Directory ドメインコントローラーサーバーの IP アドレス(またはホスト名)が変更される場合は、config.ini ファイル内の [ server= ] に指定されている値を新しいドメインコントローラーサーバーの IP アドレス(またはホスト名)へ変更し上書き保存します。
```
------------------------------
;; Domain information
server=xxx.xxx.xxx.xxx
------------------------------
```

HENNGE Directory Sync Tool が実行されている旧サーバーからの Assign-HDEOnePasswordSyncGroup.bat ファイルの移動

HENNGE Directory Sync Tool が実行されている旧サーバーにある [ C:\HDEOne\ ] フォルダをフォルダごとバックアップします。
バックアップした HDEOne フォルダを、新しく HENNGE Directory Sync Tool を実行するサーバー上の C:\ ドライブ直下に、旧サーバーと同じ階層構造になるように配置します。

4. HENNGE Directory Sync Tool が実行されている旧サーバーでの同期サービス停止

HENNGE Directory Sync Tool の実行ユーザー確認

旧同期サーバーにて [ 管理ツール ] - [ サービス ] より、以下のサービスの [ プロパティ ] - [ ログオン ] を開き、[ アカウント ] にユーザーが指定されていた場合には値を控えます。
・HENNGE One Directory Sync
　(※ご利用中の同期ツールのバージョンによっては [ HDE One Directory Sync ] と表示されます。)
・HENNGE One Password Sync
　(※ご利用中の同期ツールのバージョンによっては [ HDE One Password Sync ] と表示されます。)

サービスのアカウント確認画面

旧同期サーバーでの HENNGE Directory Sync Tool サービス停止

旧同期サーバーの [ 管理ツール ] - [ サービス ] より、以下のサービスを停止します。
・HENNGE One Directory Sync
　(※ご利用中の同期ツールのバージョンによっては [ HDE One Directory Sync ] と表示されます。)
・HENNGE One Password Sync
　(※ご利用中の同期ツールのバージョンによっては [ HDE One Password Sync ] と表示されます。)

5. 新同期サーバーで HENNGE Directory Sync Tool を実行する際の作業

Assign-HDEOnePasswordSyncGroup.bat の定期実行設定

以下記事の [ 定期実行設定 ] を参照し Assign-HDEOnePasswordSyncGroup.bat の定期実行を設定します。
※それ以外の項目については確認不要です
[Access Control] Assign-HDEOnePasswrdSyncGroup.bat の実行

HENNGE Directory Sync Tool 動作確認

通常の運用時には、HENNGE Directory Sync Tool は Windows サービスにより定期実行されますが、PowerShell コマンドにより即時のユーザー同期の実行も可能です。
下記の手順から、ユーザー同期の動作を確認できます。

※本作業は [ Domain Admins ] もしくは [ Enterprise Admins ] 権限を持つユーザーで実施してください。

PowerShell を管理者として起動します。
以下のコマンドにより、HENNGE Directory Sync Tool によるテスト同期を実行します。
※ /n オプションを付与していない場合、同期が実行されるのでご注意ください。
```
cd "C:\Program Files\HDE One Directory Sync"
.\console.exe /n
```

テスト同期の実行結果に問題がないことを確認します。
※ 意図しない [ Delete ] が表示されないことを確認します。

例）------------------------------------------------------------------
##### Sync set [sync01] #####
Active Directory ---> HENNGE Access Control
Add: test01 / test01@addc1.example.com / WEt4r/aDlE3wtGz0UbVoqQ==
Delete: test99 / test99@addc1.example.com / hfJV7x6cakym2AIWkThdA==
Update: test02 / test02@addc1.example.com / qWEUYHX3DUOxPrZv6C271Q==
----------------------------------------------------------------------

HENNGE 同期サービスの定期実行

HENNGE Directory Sync Tool サービスの定期同期設定を実施します。
※ 初回同期時に、全ユーザーのパスワードが同期されるのでご注意ください

新同期サーバーに管理者でログインします。
[ コントロールパネル ] - [ 管理ツール ] - [ サービス ] より、以下サービスの [ プロパティ ] - [ ログオン ] を開きます。
・HENNGE One Directory Sync
・HENNGE One Password Sync
[ ログオン ] - [ アカウント ] に [ Enterprise Admins ][ Domain Admins ][ Schema Admins ] の全ての権限を持つユーザーを設定します。
※ 本マニュアルの [ 4. HENNGE Directory Sync Tool が実行されている旧サーバーでの同期サービス停止時の作業 ] - [ HENNGE Directory Sync Tool の実行ユーザー確認 ] にてユーザー情報を控えていた場合には、同様のユーザーを設定します。
以下サービスの状態を [ 開始 ] 、スタートアップの種類を [ 自動(遅延開始) ] に設定します。
・HENNGE One Directory Sync
・HENNGE One Password Sync
以下記事の [ 定期同期ログの確認 ] にてユーザー同期 / パスワード同期が完了したことを確認します。
[Access Control] HENNGE Directory Sync Tool の実行

6. 全ての作業が完了してもパスワード同期が行われない場合の対処

この作業は、本手順の全ての作業を完了した後、正常にパスワード同期が行われていない場合の初期対応として実施してください。
※ 問題なくパスワード同期が行われている場合にはこの作業は不要です。
※ この作業を実施してもパスワードが同期されない場合には、下記の記事もご参照ください。
Active Directory連携: パスワード同期に関するトラブルシュート

HENNGE Directory Sync Tool レジストリクリア

HENNGE Directory Sync Tool のパスワード同期は、前回実行したドメインコントローラーのレジストリ値を複製し保持しています。
参照先のドメインコントローラーが変わった場合、パスワード同期を正常に実行するためにこの値をリセットする必要があります。

下記の手順にてレジストリ値のリセットを実施してください。
Access Control] HENNGE Directory Sync Tool 参照先 AD 変更時の必要作業

対象

目的