社長に「うちもADとか入れたほうがいいの？」と聞かれた。あるいは出入りの業者から、サーバの更新に合わせてActive Directoryの構築を提案されている。30人の会社にそれが要るのか、判断の物差しが無い。
私の答えは、ほとんどの場合、要りません。 Microsoft 365かGoogle Workspaceを契約している会社には、利用者とグループの名簿（ディレクトリ）がすでにあります。それを正本として使い切るほうが先です。ADの構築を仕事にしてきた立場で言いますが、10〜50人の会社にオンプレのADを新しく建てる理由は、いまは1つしか残っていません。この記事を読み終えると、自社がどの行に当たるかを判断表で決められ、業者の提案に何を聞き返せばよいかが分かります。
先に結論
- 決めるのは製品ではなく、「人の名簿の正本をどこに1つ置くか」。 入社・退職のたびに直す場所が1か所なら、どの方式でも回ります。
- オンプレのADを新設してよいのは、ドメイン参加（Windowsの認証）が前提の業務ソフトかサーバが社内にある場合だけ。 「一元管理できるから」「セキュリティのために」は理由になりません。それはクラウドのディレクトリで出来ます。
- すでにADがある会社は、急いで捨てない。 依存している物が無くなってから外します。順番を逆にすると、業務ソフトとファイルサーバが同じ日に止まります。
目次（6）
1. なぜ「要らない」と言い切るのか
ADは建てるより、維持するほうが重い仕組みです。ドメインコントローラは、止まると全員がサインインできなくなるサーバです。だから本来は2台要り、バックアップと復元の手順が要り、OSの更新とサポート期限の管理が要り、数年ごとに移行の作業が来ます。
よくあるのは、サーバの更新のついでにADが1台だけ建ち、構築した業者の担当者が替わり、管理者のパスワードを誰も知らないまま数年動き続ける形です。発覚するのは、そのサーバのディスクが壊れた日か、退職者のアカウントでまだVPNに入れると気づいた日です。ひとり情シスが兼任で背負う仕組みではありません。
2. 4つの方式は何が違うか
| 方式 | 何であるか（公式の説明の要約） | 得意なこと | 前提・注意 | 私の評価 |
|---|---|---|---|---|
| オンプレのAD（Active Directory Domain Services） | 社内のサーバ（ドメインコントローラ）で動くディレクトリ。ドメイン参加、グループポリシー、LDAP、Kerberos／NTLMの認証を提供する | 社内ネットワークの中のWindowsパソコン、ファイルサーバ、ドメイン参加が前提の業務ソフトの一元管理 | サーバを自社で維持する。社外のパソコンやクラウドのサービスは、そのままでは対象にならない | 新設は、理由が1つある会社だけ |
| Microsoft Entra ID | クラウドで提供される、利用者・グループ・アプリへのサインインの管理。Microsoft 365の利用者の名簿はここにある | Microsoft 365や他のクラウドサービスへのサインインの一本化、条件付きのアクセス制御、社外のパソコンを含む管理（端末の管理は別の管理サービスと組み合わせる） | グループポリシーやKerberosそのものではない。パソコンを直接参加させた場合（Entra 参加）は、Entra IDのアカウントでサインインする。Microsoftの資料では、社内のADの利用者をEntra IDへ同期している会社なら、この形でも社内ネットワーク上で社内のファイルサーバ等にシングルサインオンできるとされている | M365の会社はこれが正本 |
| Google Workspaceのディレクトリ（Cloud Identity） | 利用者とグループをクラウドで一元管理するサービス | Google Workspaceと、連携したクラウドサービスへのサインインの一本化 | Windowsパソコンへのサインインを Googleアカウントで行う仕組み（Google Credential Provider for Windows）は、対応するWindowsのエディションが決まっている。LDAP前提の機器をつなぐ機能（Secure LDAP）は、使えるエディションが限られる。どちらも公式ヘルプで確認 | Googleの会社はこれが正本 |
| 何も入れない | パソコンごとのローカルアカウントと、サービスごとのアカウントを、台帳で管理する | 導入の手間が無い | 名簿の正本が「台帳」になる。台帳の更新が止まると、退職者のアカウントが残る | 10人前後までなら、あり |
ADとEntra IDを併用する形（社内のADの利用者・グループをEntra IDへ同期する）もあります。Microsoftは同期の仕組みとして、軽量のエージェントを社内に置き、設定をクラウド側で管理する方式（Microsoft Entra Cloud Sync）を案内しています。パソコンを社内のADに参加させたうえでEntra IDにも登録する形（ハイブリッド参加）は、Microsoftの資料によると、パソコンが定期的に社内のドメインコントローラと通信できることが前提です。社外に出たままのパソコンが多い会社には向きません。ADが無い会社が、ハイブリッド参加のためにADを建てるのは順番が逆です。
3. 判断表：前提条件から分岐する
上から順に見て、最初に当てはまった行が出発点です。
| # | 前提条件 | 出発点 | 理由 |
|---|---|---|---|
| 1 | すでに社内にADがあり、ドメイン参加が前提の業務ソフト・ファイルサーバが現役 | ADを続け、クラウドのディレクトリへ同期する。業務ソフトの更改のときに、ADを減らせるかを見直す | 動いている認証の土台を先に外すと、業務ソフトとファイルサーバが同時に止まる。外すのは、依存するものが無くなってから |
| 2 | ADは無い。メールとファイル共有はMicrosoft 365 | Entra IDを正本にする（すでに名簿がある）。パソコンはEntra 参加を検討 | 新しくサーバを建てずに、サインインと退職時の停止を1か所にできる |
| 3 | ADは無い。メールとファイル共有はGoogle Workspace | Google Workspaceのディレクトリを正本にする。他のクラウドサービスは、対応していればそこからのサインインに寄せる | 同上。Windowsパソコンのサインインまで寄せるかは、エディションの条件を確認してから |
| 4 | ADは無い。これからドメイン参加が前提の業務ソフトを入れる予定がある | 業務ソフトの提供元に 「クラウドのディレクトリで動くか」を先に確認。動かない場合だけADを検討 | 1本の業務ソフトのためにサーバの維持が始まる。代わりの構成があるなら、そちらが軽い |
| 5 | 10人前後で、共用のパソコンが少なく、クラウドのサービスも数個 | 何も入れず、台帳で管理。ただし5節の「台帳の最低限」を満たす | 仕組みを入れる手間が、得られる効果を上回ることがある |
| 6 | 5に当てはまるが、退職者のアカウントが残っていた・誰が管理者か分からない、が1回でも起きた | 2または3へ進む | 台帳の運用が回っていない合図。人数が増える前に正本を仕組みに移す |
メールがレンタルサーバー付属で、グループウェアの契約が無い会社は、この表の手前にいます。私なら先にMicrosoft 365かGoogle Workspaceを契約し、メールと名簿を同時にそこへ寄せます。ADの検討はその後で、たいてい不要になります。どちらを選ぶかは、取引先とやり取りするファイルがExcelとWord中心ならMicrosoft 365、ブラウザで完結する仕事ならGoogle Workspace、で決めて困りません。
4の行に当たり、確認の結果どうしてもADが要るなら、私は事務所にサーバを置かず、法人向けのクラウドのサーバ（VPSやクラウドの仮想マシン）か、クラウド事業者のマネージドのディレクトリサービスに載せることを先に検討します。事務所の床に置いたサーバは、停電と空調と盗難まで自分の仕事になるからです。
業者にADを提案されたときに聞くこと
| 聞くこと | 答えの読み方 |
|---|---|
| ADが無いと動かない物は、具体的に何ですか | 製品名が出てこなければ、要らない。「管理が楽になる」は答えになっていない |
| ドメインコントローラは何台ですか。1台なら、壊れた日は何が止まり、どう戻しますか | 1台でバックアップの話が出ない提案は、断ってよい |
| 5年後のOSのサポート終了のとき、移行は誰が、いくらでやりますか | 構築費だけの見積は、費用の半分しか見えていない |
| 社外で使うパソコンには、どう効きますか | 「VPNでつなげば」が答えなら、在宅の多い会社には合わない |
方式を決める前に確かめる2点
| 問い | 「はい」なら |
|---|---|
| MicrosoftとGoogleの両方を契約しているか | 正本をどちらか1つに決め、もう一方は同期または手順で追従させる。正本が2つある状態を作らない |
| 複合機・NAS・VPN機器が、利用者の認証にLDAPやADを使っているか | 機器のメーカーの公式資料で、対応する認証方式を確認してから方式を決める |
4. よくある失敗
| 失敗の型 | 起き方 | 私ならこうする |
|---|---|---|
| 正本が2つになる | ADとクラウドの両方で、別々に利用者を作る。退職のとき片方だけ止めて、もう片方が残る | 作る場所を1つに決め、もう一方は同期する |
| 管理者が1人だけ | 導入した人がそのまま唯一の管理者になり、その人の退職で誰も入れなくなる | 管理者は2人。日常用と管理用のアカウントを分け、管理用には2要素認証 → パスワード管理と2要素認証 |
| ADのサーバが1台で、バックアップも無い | 「動いているから」で後回しになる | 復元の手順を1回試す。試せないなら、その仕組みは持つべきではない。考え方は 3-2-1のバックアップ、停電対策は UPSの容量計算 |
| 共有アカウントが残る | 「全員で1つ」のアカウントは、誰が使ったか分からず、退職のたびにパスワード変更が要る。実際には変えられていない | 個人ごとのアカウントに置き換える。置き換えられないものは台帳に載せる |
| 権限を個人に付ける | グループを作る手間を省く。異動のたびに付け外しが漏れる | 共有フォルダの権限設計 |
5. 「何も入れない」場合の台帳の最低限（記入して使う）
| 列 | 書くこと |
|---|---|
| サービス・機器の名前 | メール、ファイル共有、会計、ドメイン管理、複合機、Wi-Fiなど |
| 管理者 | 2人。うち1人は経営者か、それに準ずる人 |
| 利用者 | 個人ごとのアカウントか、共有か |
| 2要素認証 | 設定済み／未設定。回復用の手段の保管場所 |
| 退職時にやること | 停止／削除／パスワード変更／持ち主の移し替え |
| 最後に確認した日 | 半年に1回 |
台帳は、どの方式を選んでも残ります。ディレクトリに載らないサービス（ドメインの管理画面、銀行、機器の管理画面など）があるためです。退職時の順番は 退職・外注終了のときに止めるアカウントの一覧 にまとめています。
業界のガイドラインや取引先との契約に認証の要件がある場合は、そちらが先です。ファイルサーバをやめる話が同時に出ているなら、NASからクラウドへの引っ越し を先に読んでください。ファイルサーバが無くなれば、ADに残る理由はさらに減ります。
出典（取得日: 2026-09-20）
- Microsoft Learn “Compare self-managed Active Directory Domain Services, Microsoft Entra ID, and managed Microsoft Entra Domain Services” https://learn.microsoft.com/en-us/entra/identity/domain-services/compare-identity-solutions
- Microsoft Learn “What is a Microsoft Entra joined device?” https://learn.microsoft.com/en-us/entra/identity/devices/concept-directory-join
- Microsoft Learn “What is a Microsoft Entra hybrid joined device?” https://learn.microsoft.com/en-us/entra/identity/devices/concept-hybrid-join
- Microsoft Learn “What is Microsoft Entra Cloud Sync?” https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync
- Google Workspace 管理者ヘルプ “About the Secure LDAP service” https://support.google.com/a/answer/9048516?hl=en
- Google Workspace 管理者ヘルプ “Install Google Credential Provider for Windows” https://knowledge.workspace.google.com/admin/devices/install-google-credential-provider-for-windows
- Google Cloud “Overview of Cloud Identity” https://docs.cloud.google.com/identity/docs/overview