Windowsサーバーと Active Directory を Azure へ移すときの考え方

Windowsサーバーと Active Directory（AD）を Azure へ移すときは、「サーバーをそのまま移すこと」と「認証の仕組みをどこに置くか」を分けて考えます。業務アプリケーションの載ったサーバーは仮想マシンとして移せても、社員のログインやパソコンの管理を担う AD は、移し方の選択肢が複数あり、選び方で運用の手間が大きく変わるためです。

Microsoft Azure は、社内で Windows Server や Microsoft 365 を使っている会社にとって、アカウントの管理をまとめやすい選択肢です。クラウドの選び方の全体は、クラウド（AWS・Azure・Google Cloud）の選び方にまとめています。

まず、いまの AD が何をしているかを洗い出す

移し方を決める前に、いまの AD が担っている役割を書き出します。AD は、社員のログインのほかに、パソコンやサーバーのドメインへの参加、グループポリシーによる設定の配布、業務アプリケーションの認証（LDAP や Kerberos）など、多くの役割を同時に担っていることがあります。

洗い出しのときは、次の点を確かめます。

• ドメインに参加しているパソコンとサーバーの台数と場所
• グループポリシーで配っている設定の中身
• AD に問い合わせて認証している業務アプリケーションや機器（複合機・ファイルサーバー・VPN など）
• Microsoft 365 などのクラウドのサービスと、アカウントを同期しているか

この洗い出しで、「クラウドの仕組みに置き換えられる役割」と「従来の AD のまま残す必要がある役割」が分かれてきます。

AD の移し先は3つに分けて考える

Microsoft は、自分で運用する AD DS（Active Directory Domain Services）、Microsoft Entra Domain Services、Microsoft Entra ID の3つを、同じ技術の名前を持ちながら役割の違うものとして比べています。

1つ目は、Azure の仮想マシンの上で AD DS を自分で運用する形です。いまの AD に近い使い方ができ、スキーマの拡張や、ほかのフォレストとの信頼関係の設定もできますが、ドメインコントローラーの更新やバックアップなどの管理はすべて自社が担います。

2つ目の Microsoft Entra Domain Services は、Microsoft が管理するドメインです。Kerberos や NTLM といった従来の認証を必要とするアプリケーションを、管理の手間を少なくしてクラウドで動かしたい場合に向く、と Microsoft は説明しています。グループポリシーは使えますが、ドメインの管理者の権限は与えられず、スキーマの拡張もできません。参加させる機器は、管理されたドメインと同じ仮想ネットワークにつながっている必要があり、主に Azure 上のサーバーの仮想マシンを想定しています。

3つ目の Microsoft Entra ID は、インターネット越しに使うクラウドの認証の仕組みです。OAuth や OpenID Connect で利用者を認証し、パソコンはグループポリシーではなく Intune などのモバイルデバイスの管理（MDM）で管理します。クラウドのサービスとモバイルの端末が中心の会社では、自前の AD DS を作って運用する必要がない場合がある、とされています。

出典：Compare self-managed Active Directory Domain Services, Microsoft Entra ID, and managed Microsoft Entra Domain Services（Microsoft Learn）

多くの会社では、どれか1つに切り替えるのではなく、段階を踏みます。社内に AD を残したまま Microsoft Entra ID とアカウントを同期し、クラウドのサービスのログインから Entra ID に寄せ、従来の認証が要るアプリケーションが減ったところで、AD の役割を小さくしていく進め方です。

社内の AD と Microsoft Entra ID をつなぐ

社内の AD のアカウントを Microsoft Entra ID に同期する仕組みとして、Microsoft Entra Connect（社内に置くアプリケーション）と、クラウドで管理する Microsoft Entra Cloud Sync があります。Microsoft は、Cloud Sync を同期の今後の形と位置づけ、Entra Connect を置き換えるものと説明しています。Entra Connect の版を上げる前に、Cloud Sync へ移ることを検討するよう案内されています。

ログインの方式には、パスワードのハッシュを同期する方式と、社内の AD でパスワードを確かめるパススルー認証などがあります。Entra Connect の利用自体には料金がかからない、とされています。

出典：What is Microsoft Entra Connect?（Microsoft Learn）

アカウントの同期を始めると、クラウドの側の権限の管理も同時に考える必要が出てきます。権限の付け方の基本は、最小の権限の考え方と、アクセス権の棚卸しと特権IDの管理の進め方を参考にしてください。

サーバーの移行は Azure Migrate で洗い出しから始める

業務アプリケーションの載った Windowsサーバーを移すときは、Azure Migrate を使うと、洗い出しから移行までを一つの流れで進められます。

Azure Migrate は、移行を決め、計画し、実行するのを支えるサービスで、社内に置く軽い仮想アプライアンスでサーバーを洗い出し、Azure 上での動かしやすさ、仮想マシンの大きさの見積もり、費用の見積もり、サーバー間の通信の依存関係を評価できます。VMware や Hyper-V の仮想マシン、物理のサーバー、ほかのクラウドのサーバーの移行に対応し、SQL Server のデータベースや、Web アプリケーションの Azure App Service への移行も評価できます。Microsoft は Azure Migrate を無料のサービスとしています（パートナーの道具を使う場合や、移した後の Azure の資源には料金がかかります）。

出典：What is Azure Migrate?（Microsoft Learn）

サーバー間の依存関係の評価は、とりわけ役に立ちます。古い Windowsサーバーでは、どのサーバーがどのサーバーと通信しているかが記録に残っていないことが多く、1台だけ先に移して業務が止まる、という事態を避ける手がかりになります。移す順番の決め方は、オンプレミスからクラウドへの移行の進め方で説明しています。

古い版の Windows Server は、移行と更新を一緒に計画する

Windows Server 2012 と 2012 R2 の延長サポートは2023年10月10日に終わり、その後の延長セキュリティ更新（ESU）は3年間で、2026年10月13日に終わりました。Azure 上のサーバーには ESU が追加の料金なしで提供されていましたが、Microsoft は、ESU の期間が終わると更新の提供をやめるとし、できるだけ早く新しい版へ更新するよう勧めています。

出典：Extended Security Updates for Windows Server overview（Microsoft Learn）

2026年11月時点で、これらの版のサーバーを Azure へ移しても、セキュリティの更新を受けられる期間は残っていません。古い版のサーバーを移す場合は、移行と同時か、移行の直後に新しい版へ更新する計画を立てます。サポートの終わったソフトウェアの扱いは、サポートの終わるOS・データベースを放置しないで詳しく説明しています。

当社のご支援

当社は、Windowsサーバーと AD の Azure への移行を、いまの AD の役割の洗い出し、移し先の選び方、アカウントの同期の設計、サーバーの移行と移した後の運用管理まで、クラウドの構築と運用管理でお手伝いしています。古い版のサーバーが残っている場合は、移行と版の更新を一つの計画にまとめます。いまの状態を確かめたい場合は、クラウドの自己診断（無料）もお使いいただけます。