【2026年版】AWS Managed Microsoft AD と Entra Connect Sync v2 をつかってEntra IDへID同期(パスワードハッシュ同期)しようとして失敗した話
しばたです。
4年ほど前にAWS Managed Microsoft AD と Entra Connect Sync v2(当時の名称はAzure AD Connect)をつかってパスワードハッシュ同期に失敗した記事を書きました。
当時の失敗が4年経った今になって改善されたのか、それとも依然として失敗する(非サポート)なのか確認してみました。
結論
最初に結論から。
本日時点においても通常のAWS Managed Microsoft AD環境(Standard EditionおよびEnterprise Edition)ではパスワードハッシュ同期に必要な権限を同期用ユーザーに与えることができず、Entra Connect Sync側でも代替手段がないため依然として失敗します。
4年前と同じ結果となりAWSとして非サポートの状況も変化なしでした。
Hybrid Edition環境であれば権限の問題を解決できる可能性がありますが本記事では未検証です。
失敗してみた
ここからは具体的にどの様な状況になったのか解説します。
検証環境
手順としては先日の記事の環境を再利用しています。
一度Entra Connect Syncと関連ソフトウェアをアンインストール、同期されたEntra IDユーザーをすべて削除したのち十分に時間をおいてからインストールをやり直しています。
Entra Connect SyncのバージョンはVer.2.6.84です。
Entra Connect Syncのインストールを再開し、初期設定ウィザードを次の様に行っています。
同期用ユーザーの権限設定
Microsoftのドキュメントによるとパスワードハッシュ同期を行うためには同期用ユーザーに対し
- ディレクトリの変更のレプリケート - 基本的な読み取り専用に必要
- ディレクトリの変更をすべてにレプリケート
の権限が必要となります。
PowerShellからだとSet-ADSyncPasswordHashSyncPermissionsコマンドで設定できます。
Import-Module "C:\Program Files\Microsoft Azure Active Directory Connect\AdSyncConfig\AdSyncConfig.psm1"
# パスワードハッシュ同期の権限設定
$params = @{
ADConnectorAccountName = 'EntraConnectSvc';
ADConnectorAccountDomain = 'shibata.local';
Confirm = $false
}
Set-ADSyncPasswordHashSyncPermissions @params
前回はこのSet-ADSyncPasswordHashSyncPermissionsコマンドが失敗する状況でしたが、残念ながら今回も失敗に終わりました。
AWS Managed Microsft ADのadminユーザーで実行して駄目だったのでこれ以上打つ手がありません。
GrantAclsNoInheritance : 指定された操作は LDAP エラーで失敗しました: 00000005: SecErr: DSID-03152E24, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0 権限が不十分です 。 アクセスが拒否されました。 コマンドが正常に終了しませんでした。
一応 admin ユーザーでEntra Connect Syncのインストールまでやってみる
ダメ元で最高権限を持つadminを同期用ユーザーにしてEntra Connect Syncのインストールを完了させてみます。
Entra Connect Syncの初期設定ウィザードを進めていき、サインイン方式に「パスワードハッシュ同期」を指定。
その後のADフォレストアカウントにadminユーザーを指定。
その他設定もよしなに行い構成を完了させました。
その後のEntra IDの状態や同期状態については前回同様「パスワードハッシュ同期の機能は有効になっているが、実際の同期に失敗している」状態でした。
# 要管理者権限
# パスワードハッシュ同期の機能自体は有効になっている
PS C:\> Get-ADSyncAADCompanyFeature -AADUserName "Entra ID管理者"
PasswordHashSync : True
ForcePasswordChangeOnLogOn : False
UserWriteback : False
DeviceWriteback : False
UnifiedGroupWriteback : False
GroupWritebackV2 : False
# 同期コマンドも一見上手くいっている様に見える
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta
Result
------
Success
# パスワードハッシュ同期の同期が正常に行われていない : PasswordSyncLastCycleStatus = Failed
PS C:\> Get-ADSyncPartitionPasswordSyncState
ConnectorId : b891884f-051e-4a83-95af-2544101c9083
DN : default
PasswordSyncLastSuccessfulCycleStartTimestamp : 0001/01/01 0:00:00
PasswordSyncLastSuccessfulCycleEndTimestamp : 0001/01/01 0:00:00
PasswordSyncLastCycleStartTimestamp : 0001/01/01 0:00:00
PasswordSyncLastCycleEndTimestamp : 0001/01/01 0:00:00
PasswordSyncLastCycleStatus : None
ConnectorId : f18c02f5-9691-4744-81e0-d696168ac8dd
DN : DC=shibata,DC=local
PasswordSyncLastSuccessfulCycleStartTimestamp : 0001/01/01 0:00:00
PasswordSyncLastSuccessfulCycleEndTimestamp : 0001/01/01 0:00:00
PasswordSyncLastCycleStartTimestamp : 2026/08/15 14:46:43
PasswordSyncLastCycleEndTimestamp : 2026/08/15 14:46:43
PasswordSyncLastCycleStatus : Failed
Entra Connect Syncのタスクから「MICROSOFT ENTRA CONNECTトラブルシューティングツール」を起動した結果も前回と同じ結果です。
前回と全く同じ状況になりました。
このためAWSとしてのサポート状況については問い合わせるまでも無いでしょう。
余談: Hybrid Editionならパスワードハッシュ同期できる可能性があるかも？
今回試した環境は通常のStandard Editionですが、利用者がドメイン管理者の権限を持つHybrid Editionであれば権限の問題を解消できるかもしれません。
ただ、Hybrid Editionは既存Active Directory環境の延伸を目的とし、AWSによる別の制約と環境のチェック(アセスメント)も発生するため
- 既存Active Directory環境固有の問題
- AWS側制約による問題
が発生する可能性があります。
Hybrid Edition自体ユースケースが限定的であり気軽に導入するものではないため本記事では検証しません。
(既存Active Directory環境依存の問題が多そうなのと、検証環境を作るのがとても面倒なので...)
「どうしてもパスワードハッシュ同期が必要」という方は検証してみると良いかと思います。
最後に
以上となります。
残念ながら4年前から状況は変わっておらずパスワードハッシュ同期は利用できませんでした。
AWS Managed Microsoft ADでEntra Connect Syncを使う際はパススルー認証を選んでください。
