[Access Control] Active Directory リプレース手順（ドメインコントローラーの追加・パスワード同期あり）

対象

• Active Directory ドメインコントローラーサーバーの追加のみを実施するお客様
• Active Directory からパスワード同期を実施するお客様

目的

本記事では、Active Directory サーバーの追加に際して、HENNGE Directory Sync Tool 関連で設定する内容を説明します。

注意事項

1. 本記事は、事前に HENNGE担当者が貴社ご担当者様よりヒアリングした現環境構成や作業内容を元にご案内しています。
   リプレースを予定しているお客様は、下記の記事をご参照ください
   Windows Serverのバージョンアップ・入れ替え・追加を予定されているお客様へお願い
2. 2019 年 2 月 1 日に行われた弊社の社名変更（HDE→HENNGE）に伴い、サービスや同期ツールの名称が変更されています。
   ただし、本作業で利用するファイル名やインストールフォルダ名は、お客様への影響を考慮し変更していないので、記事内の記載と同じ名称をご利用ください。
3. 本記事の内容は 2026 年 3 月時点の内容をもとにしており、以後予告なく変更される場合があります。

目次

事前準備 – インストーラーのダウンロード

1. 新しい Active Directory ドメインコントローラーサーバー（Windows Server 2016 以降）での作業 [全サーバー共通]
2. 新しい Active Directory ドメインコントローラーサーバー（Windows Server 2016 以降）での作業 [ドメイン昇格後 / 全サーバー共通]
3. 全ての作業完了後パスワード同期が行われない場合の対処

手順

事前準備 – インストーラーのダウンロード

1. Access Control 管理画面にアクセスします。
   [Access Control] 管理画面へのログイン方法
2. 下記の手順に沿って、Installer_HDEOnePasswordSync.zip を取得します。
   [Access Control] ActiveDirectory 同期ツールのダウンロード手順

1. 新しい Active Directory ドメインコントローラーサーバー（Windows Server 2016 以降）での作業
 [全サーバー共通]

新しく Active Directory ドメインコントローラーとして稼働するすべての Windows Server 2016 以降のサーバー（以下、ドメインコントローラー）で実施する作業です。
この作業はドメイン昇格前でも実施できます。

HDEPasswordFilter.dll のインストール

Windows Server 2016 以降で稼働するドメインコントローラーで Access Control とパスワード同期をする場合、すべてのドメインコントローラーで HDEPasswordFilter.dll をインストールするためのスクリプトを実行する必要があります。

※この作業は［Domain Admins］もしくは［Enterprise Admins］権限を持つユーザーで実施してください。

1. ダウンロードした Installer_HDEOnePasswordSync.zip を解凍し、Installer_HDEOnePasswordSync フォルダーをすべてのドメインコントローラーにコピーします。
2. PowerShell を管理者として起動します。

3. PowerShell で以下のコマンドを実行します。

   > cd <Installer_HDEOnePasswordSyncフォルダーのパス>
   > powershell -ExecutionPolicy Bypass -File .\install.ps1

   例

   cd C:\work\Installer_HDEOnePasswordSync
   powershell -ExecutionPolicy Bypass -File .\install.ps1

4. 以下のメッセージが表示されることを確認します。
   ※ エラーが表示された際には HENNGE のサポート窓口にご連絡ください。

   The script was successfully completed. Please restart Windows Server.

5. ドメインコントローラーを再起動します。
6. 手順 2 から 5 を、新規導入するすべてのドメインコントローラーで実施します。

2. 新しい Active Directory ドメインコントローラーサーバー（Windows Server 2016 以降）での作業
 [ドメイン昇格後 / 全サーバー共通]

Active Directory Web Services（ADWS）の確認

※本作業はドメインコントローラー昇格後に実施してください。

［管理ツール］－［サービス］を開き Active Directory Web Services の状態が「開始」に、スタートアップの種類が「自動」となっていることを確認します。

AmazonSSMAgent サービスの停止（AWS 上のドメインコントローラーのみ）

AWS 上に構築した Windows Server では AmazonSSMAgent というサービスが実行されている場合があります。
このサービスが実行されていると HDEPasswordFilter.dll の動作に影響を及ぼす可能性があるため、下記の手順で確認と停止作業を実施してください。

サービス確認手順

1. ［コントロールパネル］－［管理ツール］－［サービス］を開きます。
2. “AmazonSSMAgent” サービスの「スタートアップの種類」が 「無効」以外 になっている場合は「サービス停止手順」を実施します。

サービス停止手順

1. “AmazonSSMAgent” を選択し右クリックメニューからプロパティを開きます。
2. ［全般］タブで「スタートアップの種類」を「無効」にして［OK］ボタンをクリックします。
3. ドメインコントローラーを再起動します。

3. 全ての作業完了後パスワード同期が行われない場合の対処

この作業は、本手順の全ての作業を完了した後、正常にパスワード同期が行われていない場合の初期対応として実施してください。
※問題なくパスワード同期が行われている場合にはこの作業は不要です。
※この作業を実施してもパスワードが同期されない場合には、下記の記事もご参照ください。
Active Directory連携: パスワード同期に関するトラブルシュート

HENNGE Directory Sync Tool レジストリクリア

HENNGE Directory Sync Tool のパスワード同期は、前回実行したドメインコントローラーのレジストリ値を複製し、保持しています。
参照先のドメインコントローラーが変わった場合、パスワード同期を正常に実行するには、この値をリセットする必要があります。

下記の手順を実施し、値のリセットを実施してください。

1. [Access Control] HENNGE Directory Sync Tool 参照先 AD 変更時の必要作業
2. Access Control 管理画面を開きます。
   ※別の端末上での実施でも問題ありません
3. 以下の記事より［定期同期ログの確認］の手順に沿って、アカウントとパスワードの同期が終了したことを確認します。
   [Access Control] HENNGE Directory Sync Tool の実行
   ※各サービスの定期実行間隔のデフォルト値は以下のとおりです。（1 分単位で変更可能です）
   ・HDE One Directory Sync : 2 時間に 1 回
   ・HDE One Password Sync : 3 分間に 1 回 (パスワード変更がある場合のみ表示)