Windows デスクトップのドメイン参加構成の展開

Windows ドメイン参加を使用すると、ユーザーが Active Directory 認証情報またはローカル デバイスの認証情報を使用して作業用ドメインにリモートから接続できます。Workspace ONE UEM を使用して、Windows（Windows デスクトップ）デバイスのオンプレミス、ワークグループ、ハイブリッド ドメイン参加のドメイン参加構成を展開します。

Microsoft Autopilot との統合（ハイブリッド ドメイン参加）

クラウドとオンプレミスでユーザーを管理する場合は、Workspace ONE UEM を使用して、Windows Autopilot + OOBE (Out of Box Experience) を利用する Windows デバイスにハイブリッド ドメイン参加構成を割り当てることができます。

OOBE 加入用の Windows Autopilot プロファイルの使用

Windows Autopilot では、OOBE を経由するデバイスのドメイン参加タイプを指定するプロファイルを構成できます。Azure のハイブリッド ドメイン参加設定を使用して Autopilot プロファイルを構成して割り当てる必要があります。このプロファイルが割り当てられたデバイスは、OOBE プロセスを経由し、ハイブリッド Azure AD 参加済みになります。

重要：Azure のハイブリッド参加仕様で Autopilot プロファイルを割り当てない場合、Windows デバイスは OOBE を経由し、Azure AD 参加済みになります。デバイスが Azure AD 参加済みになると、デバイスを完全にリセットせずにハイブリッド ドメイン参加を開始することはできません。

Autopilot の詳細については、 Microsoft | Docs の「Autopilot プロファイルの構成」に関するトピックを参照してください。

• ユーザーがサードパーティ VPN クライアントを使用してリソースにアクセスする場合（たとえば、ユーザーが在宅勤務を行っている場合）、Autopilot プロファイル メニュー項目 [AD 接続チェックをスキップ (プレビュー)] を [はい] に構成します。
• ユーザーがサードパーティ VPN クライアントを使用せずにリソースにアクセスする場合（たとえば、ユーザーが企業のネットワークに接続している場合）、Autopilot プロファイル メニュー項目 [AD 接続チェックをスキップ (プレビュー)] を [いいえ] に構成します。

ドメイン参加構成を展開するための要件

ドメイン参加構成を展開する前に、次の要件が満たされていることを確認します。

• Windows 自動加入：モバイル デバイス管理 (MDM) システムとして Workspace ONE UEM を使用し、Azure での自動加入を構成します。
• Workspace ONE UEM：OOBE の状態追跡ページを無効にします。
  1. Workspace ONE UEM で、[グループと設定] > [すべての設定] > [デバイスとユーザー] > [全般] > [加入] の順に移動します。
  2. [オプションのメッセージ表示] タブを選択します。
  3. [Windows] セクションに移動し、[OOBE の状態追跡ページを有効にする] を無効にします。
• Microsoft サブスクリプション：Windows Autopilot ライセンスをサポートする Microsoft サブスクリプションのいずれかを使用します。Microsoft | Docs の「Windows Autopilot のライセンス要件」というタイトルの記事にアクセスしてください。
• Windows Autopilot プロファイル：Windows デバイスにハイブリッド ドメイン参加設定が割り当てられるように、このプロファイルを Azure で構成します。詳細については、Microsoft | Docs の「Autopilot プロファイルの構成」に関するトピックを参照してください。
• Autopilot プロファイルを使用したデバイスの登録：Autopilot デバイスのセットアップ方法の詳細については、Microsoft | Docs の「Windows Autopilot を使用して手動でデバイスを登録」というタイトルの記事を参照してください。
• AirWatch Cloud Connector (ACC)：ACC を使用し、Workspace ONE UEM でオンプレミスの Active Directory のドメイン参加を有効にします。
• Active Directory ユーザーとコンピューター (ADUC)：Workspace ONE UEM を使用してオンプレミスのドメイン参加を構成するには、ADUC という名前の MMC スナップインが必要です。
• Workspace ONE UEM で Azure への Windows 自動加入が構成されていることを確認します。
• デバイスが「Hybrid Azure AD 参加済み」として Azure AD に参加するように、Azure の Autopilot プロファイルが構成され、割り当てられていることを確認します。
• Azure で Windows デバイスを登録し、関連するハイブリッド参加 Autopilot プロファイルが割り当てられていることを確認します。
• Active Directory にドメインと組織単位があることを確認します。
• Active Directory を使用している場合は、Workspace ONE UEM Console でディレクトリ サービスを構成していることを確認します。
• Workspace ONE UEM Console でドメイン参加構成を設定して割り当てたことを確認します。

タスクの順序

1. Azure で、Microsoft Docs に従って Autopilot デバイスを | セットアップします。現在、このプロセスには次の手順が含まれています。

   1. Autopilot デバイスを登録します。
   2. デバイス グループを作成します。
   3. Autopilot 展開プロファイルを作成して割り当てます。

2. ADUC、ACC、Workspace ONE UEM でオンプレミス のドメイン参加を構成します。

   1. ADUC で、Windows Server 委任権限を持つユーザー アカウントを構成し、カスタム委任タスクを作成して、権限を構成します。
   2. ACC で、AirWatch Cloud Connector サービスを更新し、ADUC で作成されたユーザー アカウントを使用してログインし、ACC フォルダの書き込み権限を追加します。
   3. Workspace ONE UEM で、オンプレミスの Active Directory のドメイン参加構成を作成します。
   4. Workspace ONE UEM で、ドメイン参加構成の 1 つ以上の割り当てを作成して展開し、組織ユニットの情報を指定します。

Autopilot デバイスの構成

Azure で、Microsoft ドキュメントに従って Autopilot デバイスをセットアップします。現在、このプロセスには次の手順が含まれています。

1. デバイス グループを作成します。
2. Autopilot デバイスを登録します。
3. Autopilot 展開プロファイルを作成して割り当てます。

オンプレミス ドメイン参加の構成

以下の手順では、Workspace ONE UEM でドメイン参加構成を構成して割り当てる方法について説明します。これらの手順を行うと、デバイスをオンプレミス ドメインに参加させ、Workspace ONE に加入させることができます。ハイブリッド参加 Autopilot プロファイルとともに構成されている場合、デバイスは OOBE を経由してハイブリッド Azure AD に参加済みとして Azure AD に参加します。ハイブリッド ドメイン参加のすべての要件と前提条件を満たしている場合は、オンプレミス ドメイン参加のすべての要件を満たしているので、この設定に進み、オンプレミス ドメイン参加セクションのステップ 1：ADUC の構成から開始することができます。

オンプレミス ドメイン参加 の追加要件

Active Directory を使用してユーザーを管理する場合は、Workspace ONE UEM を使用してオンプレミスのドメインの参加構成を割り当てることができます。開始する前に、次の要件が満たされていることを確認します。

• AirWatch Cloud Connector (ACC)：ACC を使用して、オンプレミスの Active Directory のドメイン参加を構成します。
• Active Directory ユーザーとコンピューター (ADUC)：オンプレミスのドメイン参加を構成するには、ADUC という名前の MMC スナップインが必要です。このスナップインは、リモート サーバ管理ツール (RSAT) の一部です。最新の | Windows Server に関するドキュメントについては、Microsoft Docs を参照してください。
• Azure でドメインと組織ユニットをドメインに設定しました。
• Active Directory を使用している場合は、Workspace ONE UEM console でディレクトリ サービスを構成している。

タスクの順序

1. ADUC で、Windows Server 委任権限を持つユーザー アカウントを構成し、カスタム委任タスクを作成して、権限を構成します。
2. ACC で、ADUC で作成されたユーザー アカウントを使用してログインを更新し、書き込み権限を追加します。ユーザーがサービスを正常に開始できるように、ユーザーが ACC サーバに対するローカル管理者権限も持っていることを確認します。
3. Workspace ONE UEM で、オンプレミスの Active Directory のドメイン参加構成を作成します。
4. Workspace ONE UEM で、ドメイン参加構成の 1 つ以上の割り当てを作成して展開し、組織ユニットの情報を指定します。

Active Directory ユーザーおよびコンピュータ (ADUC) の構成

ADUC で、Windows Server 委任アクセス権を持つユーザーを選択し、カスタム委任タスクを作成して、権限を構成します。

1. デバイスを追加するコンテナまたはフォルダを右クリックして、[委任アクセスの制御] を選択します。これにより、[委任の制御ウィザード] が表示されます。

2. [委任の制御ウィザード] で、[次へ] を選択します。

3. ユーザーまたはグループ ウィンドウで、リストから Windows Server 委任アクセス権を持つユーザーを選択し、追加、次へ の順に選択します。このユーザー アカウントが [ドメイン管理者] グループのメンバーでない場合、10 台のデバイスをドメインに参加させた後にエラーが発生しないようにするには、コンピュータのアカウント作成の上限 (ms-ds-machine-computer account-quota) をデフォルト値の 10 より大きい値にします。

4. 委任するタスク ウィンドウで、委任するカスタム タスクを作成する を選択して、次へ を選択します。

5. [Active Directory オブジェクトタイプ] ウィンドウで、[フォルダ内の次のオブジェクトのみ：] > [コンピュータ オブジェクト] > [選択したオブジェクトをこのフォルダに作成] の順に選択し、[次へ] を選択します。

6. [権限] ウィンドウで、[全般] > [特定の子オブジェクトの作成/削除] > [書き込み] > [すべての子オブジェクトを作成] の順に選択し、[次へ] を選択します。

AirWatch Cloud Connector (ACC) を構成する

ログイン情報を更新して、ADUC で編集したユーザーに ACC の書き込み権限を追加して、カスタム タスクを委任します。

1. Windows Server 委任アクセス権で構成されているユーザーに ACC の [ログオン方法] を変更します。
   注：ユーザーがサービスを正常に開始できるように、ユーザーが ACC サーバに対するローカル管理者権限も持っていることを確認します。
2. ACC の [高度なセキュリティ設定]領域で、<Drive>:\Omnissa\AirWatch\CloudConnector にある ACC フォルダの書き込み権限をユーザーに付与します。

オンプレミス ドメイン参加の作成

Active Directory の認証情報を使用してリソースにアクセスする加入済みの Windows デバイスに、Workspace ONE UEM にドメイン参加の構成を展開します。

1. Workspace ONE UEM console で、[グループと設定] > [構成] の順に移動し、リストから [ドメイン参加] を選択します。
2. 追加 を選択します。
3. [名前] フィールドには、ドメイン参加を認識できる意味のある名前を入力します。たとえば、Active Directory のユーザーとコンピュータが地理的パターンに従っている場合は、Acme - South America と入力します。このエントリは Active Directory の設定と一致する必要はありませんが、両方のシステムで類似のパターンを使用すると、ドメイン参加でデバイスを整理するのに役立ちます。
4. [ドメイン参加タイプ] に [オンプレミスの Active Directory] を選択します。
5. [ドメイン名] を表示します。[ドメイン参加の構成] ページでは、[ディレクトリ サービス] ページで構成した [サーバ] の名前が入力されます。Workspace ONE UEM ディレクトリ サービス構成では、ディレクトリ サービスに対して 1 台のサーバしか許可されないため、このフィールドは自動入力されます。[グループと設定] > [すべての設定] > [システム] > [エンタープライズ統合] > [ディレクトリ サービス] の順に進み、ディレクトリ サービスの設定を確認します。
   注：[ディレクトリ サービス] 画面で サーバ エントリを変更する場合は、[DNS SRV] メニュー項目を [無効] にする必要があります。
6. [ドメインのフレンドリ名] を選択します。[ドメイン参加の構成] ページでは、[ディレクトリ サービス] ページでディレクトリ サービス サーバのドメイン リストに追加した使用可能なフレンドリ名のリストが表示されます。[グループと設定] > [すべての設定] > [システム] > [エンタープライズ統合] > [ディレクトリ サービス] の順に進み、ディレクトリ サービスを確認します。
7. [マシン名の形式] フィールドに、優先するマシン名の形式を入力します。マシン名には、サポートされている形式を使用します。ツール チップには、許可された形式が指定されています。Workspace ONE UEM では、%SERIAL% または %RAND:[#]% 形式の最大 15 文字を使用します。
8. ドメイン参加の構成を保存して、後で割り当てるか、[保存して割り当て] を選択します。

ドメイン参加構成を割り当てる

ドメイン参加構成を割り当てる手順は次のとおりです。

**重要：**1 台のデバイスに複数のドメイン参加構成を割り当てることはサポートされていません。これには、直接割り当て（このセクションで概説）を介して展開された構成と、Freestyle ワークフローを介して配信された構成が含まれます。複数のドメイン参加構成を適用すると、競合が発生し、デバイスで予期しない動作が発生する可能性があります。適切な機能を確保するには、各デバイスにアクティブなドメイン参加構成をいつでも 1 つだけ設定する必要があります。

1. Workspace ONE UEM console で、ドメイン参加のリスト表示（[グループと設定] > [構成] の順に選択）から [割り当て] を選択して、割り当てページに移動し、[ドメイン参加] を選択します。この構成ウィンドウは、ドメイン参加の構成で [保存して割り当て] を選択すると表示されます。

2. エントリが事前に入力されていない場合は、ドメイン参加構成の名前を選択します。

3. ユーザーにとって意味があり、割り当てを特定するのに役立つ割り当て名を追加します。このエントリは、Active Directory の設定と一致する必要はありません。

4. ADUC 設定で構成された組織ユニットを検索し、1 つの組織ユニットのみを選択します。

5. Workspace ONE UEM で構成されているスマート グループを検索して選択します。割り当てることができるのは 1 つの組織ユニットに 1 つのスマート グループのみで、それ以上のスマート グループを割り当てることはできません。組織ユニットがすでに割り当てられているスマート グループを選択しようとすると、コンソールにエラー メッセージが表示されます。このメッセージの情報から、現在の展開シナリオに合わせて、トラブルシューティングを行い、どのスマート グループを使用するかを決定できます。

6. 割り当てを 作成して保存します。

**注：**2506 より前のバージョンの Workspace ONE UEM では、オフライン ドメイン参加構成はデバイス加入時にのみ適用されていました。Workspace ONE UEM 2506 以降、最新のアーキテクチャが有効になっているため、この制限は削除されました。オフライン ドメイン参加構成はデバイス ライフサイクルの任意の時点で適用できるようになり、展開シナリオの柔軟性が向上しました。これはワークグループのシナリオには適用されません。

OU/スマート グループと Active Directory (AD) のコンピュータ コンテナの競合

ドメイン参加構成の割り当ては、スマート グループ メンバーシップによって決まります。メイン-サブ組織グループ (OG) 階層は、デバイスがメイン組織グループとサブ組織グループの両方のスマート グループを対象としない限り、構成の割り当てに影響しません。

デバイスがメイン組織グループ レベルとサブ組織グループ レベルの両方で割り当てられたオフライン ドメイン参加構成の対象と見なされる場合、サブ組織グループ（より具体的な組織グループまたは「閉じた」組織グループ）からの構成が優先され、デバイスに適用されます。

デバイスが複数のオフライン ドメイン参加構成を受け取ると、競合の解決策はドメイン名とタイプに基づいて決定されます。

• すべての構成でドメイン名とタイプが同じである場合、組織単位 (OU) はオプションとして扱われます。システムはドメイン参加を続行し、必要に応じて OU を空として扱います。
• ドメイン名またはタイプが異なる場合、ドメイン参加を続行できません。

🔹 シナリオ 1：同じドメイン、異なる OU

デバイスは SG1 および SG2 の対象となります。

結果：
ドメイン名とタイプは一致しますが、組織単位が異なります。OU は空として扱われ、ドメイン参加が続行されます。

有効な構成：

シナリオ 2：同一の構成

デバイスは SG1 および SG2 の対象となります。

結果：
すべてのフィールドが完全に一致します。ドメイン参加は、指定された組織単位を使用して続行されます。

有効な構成：

シナリオ 3：異なるドメイン

デバイスは SG1 および SG2 の対象となります。

結果：
ドメイン名が異なります。デバイスを複数のドメインに参加させることはできません。ドメイン参加は処理 されません 。

有効な構成：
ドメイン参加は不可能です

デバイスがドメイン参加とワークグループ構成の両方を受信する

ドメイン参加とワークグループ構成の両方が同じデバイスに割り当てられている場合、システムはドメイン参加構成に優先順位を付けて適用します。この場合、ワークグループ構成は無視されます。

ドメイン参加構成を適用する

オフライン ドメイン参加構成を適用する前に、Workspace ONE Intelligent Hub は、デバイスがすでに Active Directory (AD) ドメインまたは Entra ID ドメインに参加しているかどうかを判断するためのチェックを実行します。

• デバイスがドメインに参加していない場合は、構成が適用されます。
• デバイスがすでにドメインに参加している場合は、構成がスキップされます。

より広範なワークフローの一部としてドメイン参加を含めるには、そのワークフローの外部にある企業（業務）デバイスに構成を直接割り当てないようにします。

**注：**Windows Autopilot で構成されていないデバイスの場合、オフライン ドメイン参加構成を適用した後に手動で再起動する必要があります。

トラブルシューティング

オフライン ドメイン参加プロセスの問題を調査するには、デバイスから直接ログを収集して確認し、関連するシステム コンポーネントを分析します。

トラブルシューティングの手順 次のパスから Workspace ONE Intelligent Hub ログを収集します。

• C:\ProgramData\AirWatch\UnifiedAgent\Logs\DomainJoin-%TIMESTAMP%.log
• C:\ProgramData\AirWatch\UnifiedAgent\Logs\DSM-%TIMESTAMP%.log
• C:\ProgramData\AirWatch\UnifiedAgent\Logs\TaskScheduler-%TIMESTAMP%.log

ドメイン参加構成が Freestyle ワークフローを介して割り当てられている場合のワークフロー ログ エントリの確認 ワークフロー ログで、次のキー フレーズを検索してイベント処理を確認します。 「受信したドメイン参加ハブ キャッシュ イベント」

Fiddler トレースのキャプチャ Fiddler トレースは、Workspace ONE コンポーネントとデバイス間の API 呼び出しにおける通信の問題または障害を特定するのに役立ちます。

レジストリ設定のチェック Workspace ONE ドメイン参加関連の構成については、次のレジストリ パスを確認します。 Computer\HKEY_LOCAL_MACHINE\SOFTWARE\AIRWATCH

これらのアーティファクトは、ドメイン参加の試行中に発生した内容の詳細を表示し、障害が発生した場合の根本原因の隔離に役立ちます。