【101シリーズ】Azure ADユーザーの無効化と削除

皆さんこんにちは。国井です。

Azure ADって最近、機能が増えすぎて基本的なところを確認する機会が失われているように思います。なので、今日は基本に戻ってAzure AD Connectから同期されたユーザーの無効化機能について色々なパターンを考えてみたいと思います。

Azure ADユーザーの無効化

Active Directoryではアカウントの無効化って明確な設定がありますが、Azure ADには有効/無効という設定項目がありません。そのため、[サインインのブロック]が有効/無効の設定の代わりを果たしています。

image

Azure AD Connectで同期された無効なユーザー

次に、Azure AD Connectを使って無効なActive Directoryユーザーを同期すると、[サインインのブロック]欄が[はい]になった状態のユーザーが出来上がります。[サインインのブロック]欄は[いいえ]にすることもできますが、オンプレミスの設定が優先されるので、次回同期時に[サインインのブロック]設定は[はい]に戻ります。

Azure AD Connectで同期される無効扱いのユーザー

その他、Active Directoryで[アカウントを無効にする]を設定する以外にも、ユーザーを利用できなくする設定は色々あります。これらの設定を行ったのち、Azure AD Connectでユーザーを同期するとAzure ADのユーザーにはその設定が反映されるのか調べてみました。結果は以下の通りです。

ADの設定 Azure ADユーザーは無効化されるか?
アカウントの無効化 はい
ロックアウト いいえ
ログオン時間 いいえ
ログオン先 いいえ
パスワードの有効期限切れ いいえ

あらら、アカウントは無効にしない限りAzure ADのユーザーが無効になることはないのですね。

削除したユーザー

Azure ADに作られたユーザーを削除した場合、Azure ADのゴミ箱である[削除済みのユーザー]に格納します。

image

画面にも書いてある通り、削除してから30日以内であれば復元できるので、「あ、やっちまった」ってときは[削除済みのユーザー]からユーザーを選んで[ユーザーの復元]をクリックして復元しましょう。そうすれば、パスワードも含めてちゃんと復元してくれます。

同期したユーザーの削除

Azure AD Connectで同期したユーザーをActive Directory側から削除した場合、Azure ADに同期されたユーザーも削除されます。
そして、削除されたユーザーはAzure ADに直接作成したユーザーと同じく[削除済みユーザー]に格納されます。
ここからが興味深いのですが、[削除済みユーザー]を復元すると、Azure AD Connectと同期されたユーザーとしてではなく、Azure ADに直接作成したユーザーとして復元されます
少し詳しく動きを説明します。

image

上の図では、user1とuser2という2つのユーザーがあります。2つのユーザーはもともとActive Directoryに作成したユーザーをAzure AD Connectで同期したものですが、user2だけはActive Directoryから削除し、その後、同期を行いました。

すると、user2は一度削除されます。削除されたユーザーは先ほどの説明の通り[削除済みのユーザー]に格納されます。(この時点でソースが[Azure Active Directory]になっているのはなぜ??)

image

そして、ユーザーを復元すると、Azure  ADのユーザーとして復元されます。

image

これにより、user2はActive Directoryからは完全に切り離されたAzure ADのユーザーとなるので、属性情報も自由に設定できるようになります。