ディレクトリ同期（AAD Sync含む）を利用する環境下において、Exchange Onlineで利用されるユーザーなどの情報は全てオンプレミスのActive Directoryから同期され、管理されます。
このため、アドレス帳非表示やふりがななど、メールボックスの動作を制御する一部の属性はオンプレミス側で設定し、同期する必要があります。オンプレミスにExchange Serverが無い場合は、その設定用にスキーマ拡張のみして属性を設定するというTIPSは比較的昔から存在していました。
こういった環境のユーザーがAAD Connectに移行すると、アドレス帳非表示の設定が消えるなどの影響が出る可能性があり、注意が必要です。
なぜかと言いますと、AAD Connectはマルチフォレスト（特にリソースフォレストモデルのExchange環境）のサポートを行うために、デフォルトの同期ルールが以前と変わっています。
具体的には、ユーザーの属性を取得する際に、Exchange関連の属性は[mailNickname]が存在するフォレストから取得するようになっています。
従来：
Azure Active Directory に同期した属性値のリスト
AAD Connect：
Azure AD Connect Sync: 既定の構成について
MailNicknameは、Exchangeにおける[Alias]として利用されている物であり、Exchange関連のオブジェクトであれば必須のパラメータとなっています。しかし、ADSIエディタなどでアドレス帳非表示を制御するmsExchHideFromAddressListsなどの属性を加える運用を行っている場合、mailNicknameには値が入っていないというケースが多くあります。
PowerShellから、Exchange属性であるmsExchHideFromAddressListsを同期しているルールを確認すると、[In from AD – User Exchange]というルールで同期されており、そのフィルタの条件はmailNicknameがNOTNULLということが分かります。
Get-ADSyncRule | ? {$_.AttributeFlowMappings -like "*msExchHideFromAddressLists*" -and $_.SourceObjectType -eq "user"} | ft Name,Identifier
(Get-ADSyncRule -Identifier [上記で表示されたID]).ScopeFilter.ScopeConditionList
同様に、ルールエディタからも確認ができます。
※このルールはExchangeのスキマー拡張がされていない環境では作成されません。また、マルチフォレスト、マルチドメイン環境では複数作成されます。
さて、では対応するためにどうしていけばいいかですが、アプローチとしては2つあります。
- [In from AD – User Exchange]のデフォルトルールを変更し、mailNicknameによる条件フィルタ自体を削除する
- [In from AD – User Exchange]をコピーして新たなルールを作成し、条件をmailNickname = NULLにする
いずれも、全ユーザーに対してExchange関連属性を設定するという意味では同じですが、今後ソフトウェア更新をした際にデフォルト設定に戻る可能性があるリスクを考えると2番の方がメンテナンス性は良いかと個人的には考えてます。
手順ですが、Syncroniztion Rule Editorを管理者として起動し、[In from AD – User Exchange]のEditを選択する。この際、[YES:既存のルールのコピーを作成し、オリジナルのルールを無効化する][No:既存のルールの変更を続ける]の確認が表示されるので、[はい(Y)]を選択する。
Precedenceに既存と重複せず、元のルールより低い（数値の大きい）値を設定する。（ここでは200とした。）Scoping Filterの項目を開き、プルダウンのISNOTNULLをISNULLに変更する。
もう一度[In from AD – User Exchange]の[Edit]を選択し、今度は[いいえ(N)]を選択してオリジナルのルールを開く。[Disabled]のチェックを外して保存。
