Microsoft Online ディレクトリ同期ツール その2

ディレクトリ同期ツールをテスト環境で試してみた。

■同期元ドメイン環境

Windows Server 2008 R2でActive Directoryを構築。

同期ツールをインストールするマシンとしてWindows Server 2003 Standardを1台準備。

同期ツールをインストールするためには.NET Framework 2.0, Windows PowerShell 1.0が必要。

■テストした内容

・アクティブなユーザーアカウント、無効化したユーザーアカウントがそれぞれ同期されるのか。

・セキュリティグループ、配布グループがそれぞれ同期されるのか。

・配布先が同期されるのか。

■結果

・ユーザーアカウントについて

ユーザーアカウントは有効だろうが無効だろうが同期される。

Microsoft Online ServiceseのユーザーアカウントはADのユーザー情報をもとに作成されるため、実際設定したいメールアドレスとは異なる場合がある。この場合は手動でユーザー名、規定のメールアドレスを変更する必要がある。

姓、名、表示名、所属の情報などはAD側からの一方向の同期となるため、Microsoft Online Servicesからは編集できない。

同期されたユーザーアカウントはMicrosoft Online Services上の"無効なユーザー"として作成され、"ユーザーアカウントのアクティブ化"を行わなければサービスを使用することができない。

大量のアカウントをアクティブ化するのは結構大変かも。

・グループについて

セキュリティグループだろうが配布グループだろうが"メールアドレス"のプロパティに値が入っている場合は同期の対象となるようだ。AD側のアドレスがどのように設定されていようともExchange Online上のアドレスは@xxx.microsoftonline.comもしくは契約しているメールアドレスになるようだ。

配布グループだったとしてもメールアドレスのプロパティが設定されていなければ同期対象とはならない。

・配布先について

AD上でメールアドレスが設定されていれば同期対象となる。

無効なユーザーアカウントも同期対象になることがわかった。

今回やろうとしていることのためには非常に有益な情報だった。