Entra Connect と Cloud Sync の違い｜社内の AD と同期するときの選び方と、2027年4月7日の期限

サーバー室に、前の担当者が入れた「Azure AD Connect」のサーバーが1台あり、社員の Microsoft 365 のアカウントはそこから作られている。調べてみると、今は「Microsoft Entra Connect」という名前になっていて、別に「Cloud Sync」という同期の方法もあり、Microsoft はそちらを勧めているらしい。今のサーバーのままでよいのか、替えると何ができなくなるのか。これから社内のアカウントを同期しようとしている人も、最初に迷うのは「どちらを入れるか」です。

この記事では、2つの違い、いま Connect を使っている会社が期限までにすること（版と認証の方式の確かめ方）、Cloud Sync で足りるかの確かめ方、社内に置くサーバーの違い、Entra 管理センターでいまの同期の状態を見る方法を、この順に書きます。

当社は Microsoft 365 の導入を支援しています。Entra 管理センターの同期の画面も Cloud Sync を「推奨」と表示しますが、そこにある比較は簡略版で、Microsoft の比較表と合わない行がありました。この記事は、比較表のほうを基準にして書いています。

違いは、同期の仕組みを社内のサーバーに置くか、クラウドに置くか

ここで同期するのは、社内のサーバーで動いている Active Directory（以下 AD）のユーザー・グループ・連絡先です。AD で作った社員のアカウントを Microsoft 365 のサインインに使うには、どちらかの道具で Entra ID に同期します。Microsoft Entra Connect（以下 Connect。同期の部分は Connect Sync とも呼ばれます）は、旧名を Azure AD Connect といい、社内のサーバーに入れて動かすアプリケーションです。Microsoft Entra Cloud Sync（以下 Cloud Sync。日本語の画面や説明では「クラウド同期」とも書かれます）は、同期の処理と設定をクラウドに置き、社内には軽い「プロビジョニング エージェント」だけを入れる形です。

違いが出るのは、サーバーが止まったときです。Connect は、サーバーが使えなくなると、戻るまで同期が止まります。Cloud Sync は、別々のサーバーに入れた複数のエージェントのどれかが動いていれば同期が続き、同期の設定はクラウドにあるので、Entra 管理センターからどこでも変えられます。

Microsoft の方向ははっきりしていて、Connect の説明のページには「Microsoft Entra Cloud Sync は、Microsoft の同期の未来です。Microsoft Entra Connect が置き換えられます」とあります（Microsoft Entra Connect とは）。移行の決定ガイドも、新しい同期の機能は主に Cloud Sync で開発され、ほとんどの組織に勧められる道だとしています。ただし、Cloud Sync にまだ無い機能もあります。いま Connect を使っている会社は、どちらにするかを決める前に、期限のある作業から片付けます。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

いま Connect を使っているなら、2027年4月7日の期限を先に片付ける

これから同期を始める会社は、この節を飛ばして、次の「Cloud Sync で足りるかを、Connect にしか無い機能で確かめる」へ進んでください。

Connect を使い続けるか移るかを決める前に、期限のある作業があります。Connect の前提条件のページの冒頭に、「バージョン 2.6.84.0 以降にアップグレードし、2027 年 4 月 7 日までにアプリケーション ベースの認証を構成します」とあり、満たしていない場合は、その日以降に同期のサービスが動かなくなるとしています（Microsoft Entra Connect の前提条件）。Cloud Sync に移るつもりでも、移行の時期は後で書くとおり自社では決められないので、こちらは先に済ませておきます。

今の版を確かめる

版は、Connect のサーバーのコントロール パネルで［プログラム］>［プログラムと機能］を開き、インストールされている Microsoft Entra Connect の版を見ます（Microsoft Entra Connect に関する FAQ）。Connect には自動アップグレードがあり、Microsoft は有効にするよう勧めています。既定で有効になるのは、簡単設定で入れ、データベースが SQL Server Express LocalDB で、オブジェクトが10万個未満のサーバーなどです。すべての版が自動アップグレードの対象になるわけではないので、自動で上がるはずのサーバーでも版を見ておきます。自動アップグレードの状態は、PowerShell の Get-ADSyncAutoUpgrade で見られます（Microsoft Entra Connect: 自動アップグレード）。手で上げるときのインストール ファイルは Entra 管理センターでだけ配られていて、管理センターの［Connect 同期］の画面にも「[開始する] > [管理] タブで Microsoft Entra Connect Sync をダウンロードします」と出ています。

アプリケーション ベースの認証に切り替わっているかを確かめる

アプリケーション ベースの認証は、Connect が Entra ID に接続するときに、これまでのユーザー名とパスワードのアカウント（Microsoft Entra Connector アカウント）ではなく、Entra ID に登録したアプリケーションと証明書で認証する方式です。新しく入れたときと、ウィザードを使って手で版を上げたとき（手動の対話型アップグレード）は、この方式が自動で設定されます。一方で、古い同期用のアカウントで動いている既存のサーバーは自動では切り替わらない、とも Microsoft は書いています（アプリケーション ID を使用して Microsoft Entra ID に対する認証を行う）。版を上げた方法にかかわらず、次の画面で今の方式を確かめておきます。

今の方式は、Connect のサーバーでウィザードを開き、［タスク］の［現在の構成の表示またはエクスポート］で確かめます。切り替わっていなければ、ウィザードの［その他のタスク］>［アプリケーション ベースの認証を Microsoft Entra ID に構成する］から切り替えます。既定の方法では Connect が証明書を作り、有効期間は90日で、期限が近づくと Connect が自動で入れ替えます。ただし、同期のスケジューラが止まっていると、自動では入れ替わりません。前の担当者が止めたままにしていないかは、PowerShell の Get-ADSyncScheduler で見られます。前の担当者が入れたサーバーで、インストールに使ったアカウントが分からなくても、版を上げるときは全体管理者ロールを持つ Entra のアカウントを使えばよい、と Connect の FAQ は書いています。

Cloud Sync への移行は、Microsoft が段階的に進めています。移行を始められるようになった組織には、製品の画面とメールで通知が届きます（移行ツールを使用して Microsoft Entra Cloud Sync に移行する）。移行の期限は組織ごとに違います。移行の FAQ は「組織のテナント固有の通知に記載された移行日に従ってください」としていて、Connect のバージョンの終了や認証の変更は、それとは別の日程になることがあると書いています（Microsoft Entra Connect Sync から Cloud Sync への移行に関する FAQ）。上の2027年4月7日は、移行の期限ではなく、Connect を使い続けるための期限です。

通知の期限までに移れない事情（要る機能が Cloud Sync に無い、など）があれば、Microsoft サポートに期間の延長を頼めます。ただし、個別に審査され、認められるとは限らず、移行が要らなくなるわけでもありません。要る機能が Cloud Sync に無いか、移行の手順が用意されていない場合は、決定ガイドも Connect を使い続ける道を挙げています。

移るときは、Connect のサーバーで動くガイド付きの移行ツールが使えます。ただし今のツールで移せるのは、1つのフォレストで対象のオブジェクトが2,000個以下、各ドメインで追加の OU が30個以下、カスタムの同期規則・グループでの絞り込み・デバイスの同期などが無い環境です。ツールは移行の前に準備のレビューをして、サポートされていない同期規則などがあれば移行を止めます。移行の選択肢は、今の移行の対象になっている組織と Connect にしか表示されません。移した後も、検証のために2週間は Connect を入れたままにします。ツールの条件に当たらない場合は、Microsoft が手順を用意していれば手作業で移り、無ければ Connect を使い続けます。

なお、Connect と Cloud Sync は、同じユーザーの同じ属性を両方から同時に書き出してはいけません。試しに Cloud Sync を入れるときは、対象の OU やユーザーを Connect と分けます。

Cloud Sync で足りるかを、Connect にしか無い機能で確かめる

決定ガイドには、2つの機能を並べた比較表があります。そのうち Connect にだけ ✓ が付いている行と、Cloud Sync が「制限あり」の行を抜き出したのが次の表です。このうち3行目から下の同期の機能を今使っている、またはこれから使う予定があれば、Connect を選びます。ただし「属性で絞る」の行は、Cloud Sync にも基本の絞り込みがあるので、属性で細かく絞っている場合だけです。デバイスの書き戻しは廃止された機能なので除きます。上の2行は扱いが違うので、表のすぐ下で書きます。

上の2行は、サインインの方法の話です。パススルー認証（社内の AD でパスワードを確かめる方法）と AD FS（社内のフェデレーション サーバーでサインインさせる方法）は、Cloud Sync の画面では構成できません。ただ、決定ガイドは、すぐに移行できる状態の条件の一つに「パスワード ハッシュ同期を使用するか、ADFS/PTA 構成を個別に管理します」を挙げています。この「個別に管理」が何を指すかは、2つで書き方が違います。

パススルー認証は、表の説明が「クラウド同期での同期とは別に管理される PTA 構成。移行後も PTA とシームレス SSO が引き続き機能する」です。移行の FAQ はもう少し具体的で、パススルー認証やシームレス シングル サインオンは同期の道具とは別に構成され、「Connect Sync 構成ウィザードを使用して移行後も機能し続けます」としています（Microsoft Entra Connect Sync から Cloud Sync への移行に関する FAQ）。同期は Cloud Sync に移しても、パススルー認証の構成は Connect の構成ウィザードで扱う、という書き方です。AD FS は、表の説明が「フェデレーション構成には、クラウド同期で個別のツールが必要です」で、Cloud Sync とは別の道具で構成する、とだけ書かれています。

どちらも、それだけで Cloud Sync に移れないわけではありません。ガイド付きの移行ツールを使う場合は、移行の前の準備のレビューが認証の関係の設定も見るので、その結果で確かめられます（移行ツールを使用して Microsoft Entra Cloud Sync に移行する）。移行ツールのページは、承認された2週間の検証期間は Connect を入れたままにし、その後にアンインストールする流れで書かれています。ただ、パススルー認証を移行後も Connect の構成ウィザードで扱い続ける場合や、AD FS を使っている場合に、Connect のサーバーを外してよいかは、移行の FAQ にも移行ツールのページにも答えがありません。この2つを使っている会社は、Connect のサーバーを外す前に Microsoft サポートに確かめてください。

同期そのものに効くのは3行目から下です。このうちデバイスの書き戻しは、決定ガイドの表に「Cloud Kerberos Trust を優先して、デバイスの書き戻しが廃止されました」とある機能です。今使っていても Connect を選ぶ理由にはせず、決定ガイドが代わりに挙げている Cloud Kerberos Trust を、Microsoft の「Cloud Kerberos 信頼デプロイ ガイド」（Windows Hello for Business の展開の手引き）で確かめます。

残りの行のうち、属性の値で同期する人を細かく絞っている、AD が複数あって属性を1人分にまとめている、といった作り込みを Connect の同期規則で行っている場合は、Cloud Sync ではそのまま再現できません。Microsoft のガイド付きの移行ツールも、カスタムの同期規則があると移行を止めます（前の節で書きました）。前の担当者が作り込んだかどうかは、Connect のサーバーのスタート メニューにある「同期規則エディター」で見られます。開くと既定の標準の規則が並びます。既定の規則には「In from AD-User Join」のような名前が付いていて、優先順位は100から始まります（Microsoft Entra Connect Sync: 既定の構成に変更を加える）。100より小さい番号の規則があれば、後から足した規則だと見当がつきます。ただ、同じページの例では、後から足す規則も「In from AD – User UserType」と既定と同じ形の名前で、PowerShell で足した規則に優先順位100が割り当てられ、既定の規則の番号が後ろにずれる場合も書かれています。名前と番号は手がかりにとどめ、規則を1つずつ開いて中身を見ます。その規則が何をしているか（どの属性を、どの条件で）を書き出しておくと、Cloud Sync で再現できるかを判断する材料になります。

パスワード ハッシュ同期や書き戻しは、どちらでも使える

社員が社内と同じパスワードで Microsoft 365 にサインインするためのパスワード ハッシュ同期、Microsoft 365 側で変えたパスワードを AD に戻す書き戻し、Exchange のハイブリッド構成に要る属性、OU（組織単位）での絞り込みは、どちらにもあります。Exchange をオンプレミスから移している途中の会社が気にする点は、オンプレ Exchange から Exchange Online への移行で書いています。

規模の上限は、Cloud Sync が1ドメインあたり15万オブジェクト、1グループあたり5万メンバーです。決定ガイドの表では、Connect の1ドメインのオブジェクト数は「無制限」、グループは25万メンバーまでです（Microsoft Entra Connect Sync から Cloud Sync への移行: 決定ガイド）。300人ほどの会社なら、どちらの上限にも当たらない規模です。

逆に、Cloud Sync にしか無いものもあります。つながっていない複数の AD（合併で別々に持っている AD など）を1つのテナントにまとめる同期、1人のユーザーだけをその場で同期して結果を確かめるオンデマンド プロビジョニング、Entra ID で作ったグループを AD に作る「AD へのグループのプロビジョニング」です。最後の1つには Entra ID P1 のライセンスが要ります（Microsoft Entra クラウド同期の前提条件）。P1 がどのプランに含まれるかはBusiness Standard と Business Premium の違いで書いています。

この節の確かめ方を、問いの順に並べると次のとおりです。

Cloud Sync でも社内のサーバーは要る。違うのは重さと、止まったときの備え

どちらも、ドメインに参加した Windows Server に入れます。違うのは、そのサーバーの重さと、止まったときの備え方です。

Connect のサーバーには、同期のデータを入れるデータベースが要ります。既定で入る SQL Server Express は 10 GB までで、扱えるのは約10万オブジェクトです（Microsoft Entra Connect の前提条件）。止まったときに備えるには、同じ設定のサーバーを「ステージング モード」でもう1台置く方法があります。ステージング モードのサーバーは、取り込みと同期の計算はしますが、Entra ID への書き出しはしません（Microsoft Entra Connect: ステージング サーバーとディザスター リカバリー）。

Cloud Sync のエージェントは、メモリ 4 GB 以上のサーバーで動き、ドメイン コントローラーにも入れられます。Microsoft は、高可用性のためにエージェントを3台に入れることを勧めています（Microsoft Entra クラウド同期の前提条件）。エージェントは Microsoft が自動で更新し、自動の更新を止める方法はありません。同期は、ユーザーとグループが約10〜20分ごと、パスワード ハッシュが2〜5分ごとです。Connect と同じサーバーにエージェントを入れることもできます（Microsoft Entra クラウド同期に関する FAQ）。

どちらのサーバーも、管理者だけが入れるサーバーとして扱います。Cloud Sync の前提条件のページは、エージェントのサーバーを攻撃者に握られると Entra ID のユーザーを操作されうるとして、サーバーに入れる人をドメイン管理者などに絞り、特権のある人全員に多要素認証を有効にするよう勧めています。Connect の前提条件のページも、サーバーへの管理アクセスを同じように絞るよう書いています。管理者の多要素認証は多要素認証（MFA）を全員に有効にするで書いています。

Entra 管理センターで、いまの同期の状態を確かめる

自社がいまどちらで同期しているか、そもそも同期しているかは、Entra 管理センターで確かめられます。左のメニューの［Entra ID］の下にある［Entra Connect］を開くと、中のメニューに「作業の開始」「クラウド同期」「Connect 同期」が並びます。

［Connect 同期］を開くと、Connect の状態が出ます。当社の検証用の環境は同期していないので、「未インストール」、最終同期は「同期は実行されていません」、パスワード ハッシュの同期は「無効」でした。Connect で同期している会社なら、この「最終同期」の欄で、最後に同期した時期を確かめます。ずっと前のままなら、社内の Connect のサーバーが止まっている疑いがあります（当社は同期している状態の画面は見ていません）。

同じ画面の下の「ユーザー サインイン」には、フェデレーション、シームレスなシングル サインオン、パススルー認証が有効かどうかが並びます。ここが有効になっている会社は、Connect にしか無い機能の節で書いたとおり、Cloud Sync に移っても、パススルー認証とシームレスなシングル サインオンは Connect の構成ウィザードで、フェデレーション（AD FS）は Cloud Sync とは別の道具で構成する前提です。

［比較グラフを表示する］を押すと、「クラウド同期と Connect 同期の比較」のパネルが開きます。列の見出しは「クラウド同期 (推奨)」で、管理センターの画面でも Cloud Sync が勧められています。同期サイクルは、クラウド同期が10 分、Connect 同期が30 分と書かれていました。

ただし、このパネルは説明文にあるとおり「簡略化した比較」で、決定ガイドの表と合わない行があります。パネルでは「オンデマンド プロビジョニング」と「書き戻しのサポート (パスワード、デバイス、グループ)」に両方とも ✓ が付いていますが、決定ガイドの表では、オンデマンド プロビジョニングは Cloud Sync だけで、デバイスの書き戻しは Connect だけで、しかも Cloud Kerberos Trust を優先して廃止された機能です。同期の間隔も、Cloud Sync の FAQ はユーザーとグループを約10〜20分ごととしています。どちらを選ぶかを決めるときは、決定ガイドの表を見てください。

［クラウド同期］の側は、同期の設定（構成）とエージェントを見る画面です。構成が無いテナントでは「開始するには、新しい構成を作成してください」と出て、［新しい構成］から作ります。エージェントの一覧は［エージェント］にあり、上の［オンプレミスのエージェントをダウンロードします］から社内のサーバーに入れるエージェントを取ります（Learn の手順では［オンプレミス エージェントのダウンロード］と書かれています）。当社の検証用の環境では、エージェントは「結果がありません」でした。一覧の列は「コンピューター名」「外部 IP」「状態」なので、Cloud Sync で同期している会社は、エージェントが複数のサーバーに入っているか、止まっているものが無いかをここで見られます。

「推奨」の表示だけで決めず、自社の設定と比較表を突き合わせる

管理センターのパネルは Cloud Sync を「推奨」としていますが、上で見たとおり簡略な比較なので、それだけでは自社が移れるかは分かりません。当社が勧めるのは、Connect のサーバーの同期規則エディターと、管理センターの「ユーザー サインイン」の欄で今使っているものを書き出し、決定ガイドの表の「Connect だけにある機能」の行と1行ずつ突き合わせておくことです。そうしておけば、移行の通知が届いたときに、移れるか、延長を頼むか、Connect を使い続けるかをすぐに決められます。これから同期を始める会社は、同じ表で Cloud Sync から確かめれば、後で Connect から移る手間を最初から避けられます。

同期したアカウントを守る設定は、条件付きアクセスの設定方法と多要素認証（MFA）を全員に有効にするで、Intune で会社のパソコンやスマートフォンの何を管理できるかはIntune とはで書いています。

この記事の確かめ方

比較表と数字は、Microsoft Learn の「Microsoft Entra Connect Sync から Cloud Sync への移行: 決定ガイド」「Microsoft Entra Connect の前提条件」「Microsoft Entra クラウド同期の前提条件」「Microsoft Entra クラウド同期とは?」、移行の FAQ、Cloud Sync の FAQ、Connect の FAQ、アプリケーション ベースの認証と自動アップグレードのページを2026年11月2日に読み、日本語版と英語版を見比べて書きました。表の機能名は、読みやすいように当社が言い換えています。画面は2026年11月2日に当社の検証用の環境で、Entra 管理センターの同期の入口を開いて見たもので、組織名は伏せています。社内の AD が無いため、エージェントのダウンロード・インストール、同期、移行ツールは試していません。Cloud Sync 本体の利用にどのライセンスが要るかは、今回読んだページからは言い切れなかったため書いていません。

社内の AD と Microsoft 365 の同期の見直しから一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。

Entra 管理センターの画面と Microsoft Learn の説明は更新が続いているため、設定の前に各ページの最新を確かめてください。