【2026年版】AWS Managed Microsoft AD 環境で Entra Cloud Sync を使おうとして失敗した話
しばたです。
直近の記事でAWS Managed Microsoft ADとEntra Connect Syncを使ったID同期を試しました。
- 【2026年版】AWS Managed Microsoft AD と Entra Connect Sync v2をつかってEntra IDへID同期(パススルー認証)する方法
- 【2026年版】AWS Managed Microsoft AD と Entra Connect Sync v2 をつかってEntra IDへID同期(パスワードハッシュ同期)しようとして失敗した話
本記事ではEntra Cloud Syncの検証を4年ぶりに行います。
以前書いたこちらの記事の内容を再チャレンジしてみました。
結論
本日時点においてもEntra Connect SyncのセットアップにはActive Directory環境に対するDomain AdminsまたはEnterprise Adminsに所属するユーザーの認証情報が必要なため通常のAWS Managed Microsoft AD環境(Standard EditionおよびEnterprise Edition)ではインストール時に権限チェックで失敗します。
残念ながら回避策は無い様です。
Hybrid Edition環境であれば権限の問題を解決できる可能性がありますが本記事では未検証です。
失敗してみた
ここからは具体的にどの様な状況になったのか解説します。
事前要求
Entra Cloud Syncの事前要求は以下のドキュメントにまとまっています。
前回触れた
Domain Administrator or Enterprise Administrator credentials to create the Microsoft Entra Connect cloud sync gMSA (group managed service account) to run the agent service.
は要件が変わらずそのままです。
AWS Managed Microsoft ADにおいてgMSA自体は普通に使えるのですが、このgMSAに所定の権限を与えるためにDomain AdminsまたはEnterprise Adminsの権限が必要になります。
一応gMSAに必要な権限は以下に列記されているので補足しておきます。
検証環境
手順としては先日の記事の環境を再利用しています。
一度Entra Connect Syncと関連ソフトウェアをアンインストール、同期されたEntra IDユーザーをすべて削除したのち十分に時間をおいてから改めてConnect Syncソフトウェアをインストールしていきます。
グループ管理サービスアカウント(gMSA)の作成
前回同様今回も先にgMSAを作成します。
今回はEntraCloudSyncという名前のアカウントを作っておきました。
# gMSAを作成
New-ADServiceAccount -Name 'EntraCloudSync' -DNSHostName 'entra-conn-01'
作成結果はこんな感じです。
PS C:\> Get-ADServiceAccount -Identity EntraCloudSync
DistinguishedName : CN=EntraCloudSync,CN=Managed Service Accounts,DC=shibata,DC=local
Enabled : True
Name : EntraCloudSync
ObjectClass : msDS-GroupManagedServiceAccount
ObjectGUID : e95c5acf-7f96-4a8c-a204-31d9921bdedc
SamAccountName : EntraCloudSync$
SID : S-1-5-21-2400552237-3779835047-3989926218-1612
UserPrincipalName :
(失敗) Entra Cloud Syncのインストール
Entra Cloud SyncのインストーラーはEntra管理センターからダウンロードします。
Entra管理センターから「Microsoft Entra Connect」→「作業の開始」→「管理」の順に選ぶとインストーラーをダウンロードできます。
「プロビジョニングエージェントのダウンロード」をクリックし、使用条件に同意してダウンロードしてください。
AADConnectProvisioningAgentSetup.exeという名前のインストーラーになります。
インストーラーを実行し、利用条件に同意して「Install」をクリックすると処理が進みます。
インストールが完了すると初期設定ウィザードが開始されます。
「Next」をクリックするとEntra ID管理者(ハイブリッドID管理者)での認証を求められるのでサインインします。
使用するgMSAを選ぶので先ほど作成したEntraCloudSyncを指定します。
続けて接続するActive Directoryドメインの選択になるので、shibata.localを選び「Add Directory」をクリックし、
ここでAWS Managed Microsoft ADの管理者ユーザーであるAdminを選び「OK」をクリックします。
(ドメインコントローラーの優先順位はデフォルトのままです)
しばらく処理が進んだのち、前回同様
Provided credentials are not in Domain Admin or Enterprise Admin group.
のエラーになってしまいました。
一応CLIによるgMSAへの権限設定も試しましたが失敗に終わりました...
余談: Hybrid EditionならEntra Cloud Syncを使える可能性があるかも？
今回試した環境は通常のStandard Editionですが、利用者がドメイン管理者の権限を持つHybrid Editionであれば問題を解消できるかもしれません。
ただ、前の記事でも述べた様にHybrid Edition自体ユースケースが限定的ですし、代わりに
- 既存Active Directory環境固有の問題
- AWS側制約による問題
が起きる可能性があります。
どうしても今Entra Cloud Syncが必要という方は検証してみても良いかと思います。
最後に
以上となります。
予想通りではありましたがやっぱり駄目でした。
今年に入りMicrosoftは正式にEntra Connect SyncからEntra Cloud Syncへの移行を推奨する様になったのでどうにかAWS Managed Microsoft ADも対応してほしいのが率直な気持ちです。
