11 10月 2026

PC をドメインに参加させる方法（Windows 11/10）

Q: リモート PC をドメインに参加させるには VPN が必要ですか？

ドメイン コントローラーと Active Directory 統合 DNS への安全な接続が必要です。一般的な解決策は VPN です。展開時に VPN がない場合は、オフライン ドメイン参加を使用し、ユーザーが接続した後にポリシーの設定を完了します。

Q: ドメイン参加と Azure AD 参加の違いは何ですか？

ドメイン参加は、グループ ポリシーや Kerberos のためにオンプレミスの Active Directory に接続します。Azure AD 参加は、Intune や条件付きアクセスによるクラウド優先の管理のために Microsoft Entra ID に接続します。ハイブリッドは両者を組み合わせます。

Post by Aurorina

はじめに

Windows コンピューターを組織のドメインに参加させると、シングルサインオン、グループポリシー、集中管理されたセキュリティが利用できるようになります。本ガイドでは、Windows 11 および Windows 10 で、設定、システムのプロパティ、PowerShell、Netdom、オフラインドメイン参加を使用して PC をドメインに参加させる方法を説明します。前提条件、正確な手順、参加の検証方法、ポリシー適用とデバイス強化のために参加後に行うことも学びます。さらに、リモートおよび VPN シナリオも取り上げ、よくあるエラーの修正方法を提供します。管理者であれば、コマンドをコピーしてスクリプトに利用できます。デスクサイドのテクニシャンであれば、クリックパスとプロンプトに従ってください。まず簡単なヘルスチェックから始め、最初の試行で参加が成功するようにします。その後、環境とアクセスに合った方法を選択します。各セクションは前のセクションを基盤としており、計画から検証へと抜け漏れなく移行できます。

参加前に必要なもの（前提条件とサポートされるエディション）

ドメイン参加を試みる前に、デバイス、アカウント、ネットワークが要件を満たしていることを確認してください。参加失敗の多くは、DNS または時刻の問題、未サポートのエディション、権限不足に起因します。最初にこのチェックリストを実施することで、再起動の回数を減らし、後続のポリシー適用にかかる時間を節約できます。

必要な管理者権限

コンピューターをドメインに参加させる権限を持つアカウントを使用します。Domain Admin でも構いませんが、最小権限が望ましいです。
IT チームがコンピューターオブジェクトを事前ステージしている場合、そのオブジェクトまたは対象 OU での参加権限があることを確認します。
ローカル PC 上では、ローカル管理者としてサインインして参加を完了し、必要な再起動を実行します。

ネットワーク、DNS、および時刻同期の要件

PC の DNS は Active Directory の DNS サーバーを指すように設定します。参加時にパブリック DNS サーバーは使用しないでください。
PC がネットワーク上または安全な VPN 経路を介してドメインコントローラーに到達できることを確認します。
システム時刻はドメインコントローラーと5分以内に合わせます。Kerberos の失敗を避けるため、NTP またはドメイン時刻を構成します。

サポートされる Windows エディション：Pro/Enterprise/Education と Home の違い

Windows Pro、Enterprise、Education はローカルの Active Directory ドメイン参加をサポートします。
Windows Home はローカルの AD ドメイン参加をサポートしません。環境に適合する場合はアップグレードするか、Azure AD 参加を検討してください。
インベントリを整え、ポリシーのスコープを正しくするため、開始前にデバイス名と OU の配置を決めておきます。

上記の前提条件を満たしていれば、最初の参加方法に直接進めます。エディションとネットワークが整っている場合は、Windows 11 の組み込み「設定」ワークフローから始められます。

方法 1: Windows の設定からドメインに参加（Windows 11）

Windows 11 には、設定アプリで簡潔な参加フローが用意されています。コンソールアクセスがあり、ガイド付きのモダンな操作を望む場合に使用します。単発の参加や少量のバッチに適しています。

手順:
1) 設定 > アカウント > 職場または学校へのアクセスを開きます。
2) 「接続」を選び、「このデバイスをローカルの Active Directory ドメインに参加させる」を選択します。
3) corp.example.com などのドメイン名を入力し、参加権限を持つ資格情報を入力します。
4) 求められた場合、最初のドメインサインイン用のアカウントの種類（管理者または標準）を選択します。
5) プロンプトに従って再起動します。サインイン画面で「その他のユーザー」を選び、DOMAIN\username または username@domain としてサインインします。
6) 初回サインイン後、デバイスは信頼を確立し、ユーザープロファイルを準備します。

ローカルドメインに参加するオプションが表示されない場合は、Windows エディションと、デバイスがすでに Azure AD に登録されていないかを確認してください。ポリシーで設定アプリがブロックされている、または従来の手順を好む場合は、「システムのプロパティ」を使う方法が確実です。

方法 2: システムのプロパティから参加（Windows 10/11 で有効）

従来の「システムのプロパティ」ダイアログは Windows 10/11 の両方で機能します。設定が制限されている場合、一貫したレガシーのワークフローを好む場合、または参加の一環としてデバイス名を変更したい場合に使用します。

手順:
1) Windows キー+R を押し、sysdm.cpl と入力して Enter を押します。
2) 「コンピューター名」タブで「変更」を選択します。必要に応じて命名規則に合わせて PC 名を変更します。
3) 「ドメイン」を選び、corp.example.com を入力して「OK」を選択します。
4) ドメイン参加の権限を持つ資格情報を入力します。
5) 確認を受け入れ、プロンプトに従って再起動します。
6) ドメインアカウントでサインインして、プロファイル設定を完了し、リソースへのアクセスをテストします。

この方法は多くの管理者にとって信頼性が高く馴染みのある手順です。参加を自動化し、OU 配置を組み込み、特定のドメインコントローラーを指定する必要がある場合は、次の PowerShell の方法に進みます。

方法 3: PowerShell Add-Computer（管理者と自動化向け）

PowerShell は、ログ記録やエラー処理付きで、再現性のあるスクリプト化された参加を提供します。スケール、リモート実行、デバイスが正しい OU に配置されるよう標準化するのに最適です。

基本コマンド（管理者として実行）：
– 再起動付きの基本的な参加:
Add-Computer -DomainName corp.example.com -Restart
– 資格情報を含める:
$cred = Get-Credential
Add-Computer -DomainName corp.example.com -Credential $cred -Restart
– 参加時に名前変更と OU 指定:
Rename-Computer -NewName PC-SALES-027 -Force
Add-Computer -DomainName corp.example.com -OUPath ‘OU=Sales,OU=Workstations,DC=corp,DC=example,DC=com’ -Credential $cred -Restart
– 優先するドメインコントローラーを指定、または VPN 越しに参加:
Add-Computer -DomainName corp.example.com -Server dc01.corp.example.com -Credential $cred -Restart

成功のためのヒント:
– コマンドは try/catch でラップし、Start-Transcript でログをエクスポートして監査に備えます。
– Resolve-DnsName で名前解決を検証し、Test-NetConnection で到達性をテストします。
– ポリシーで要求される場合は、コンピューターオブジェクトを適切な OU に事前ステージします。

オフラインプロビジョニングを含むコマンドラインが必要な場合は、次のセクションで Netdom と Djoin を解説します。

方法 4: Netdom とオフラインドメイン参加（Djoin.exe）

Netdom と Djoin は、復旧、イメージング、リモート先行のワークフローで威力を発揮するクラシックツールです。Netdom は GUI と同様のオンライン参加を行います。Djoin は信頼データをオフラインでプロビジョニングし、後でクライアントに適用します。

Netdom によるオンライン参加の例:
– 参加して再起動:
netdom join %COMPUTERNAME% /domain:corp.example.com /userd:JoinUser /passwordd:*
shutdown /r /t 0
– 参加と DC 検出の確認:
nltest /dsgetdc:corp.example.com
systeminfo | findstr /i Domain

オフラインドメイン参加の手順:
1) ドメイン参加済みの管理サーバーまたは DC 上でプロビジョニングデータを作成:
djoin /provision /domain corp.example.com /machine PC-REMOTE-015 /savefile C:\temp\odjblob.txt
2) このブロブを安全にクライアントへ転送します。
3) クライアントでブロブを適用:
djoin /requestodj /loadfile C:\temp\odjblob.txt /windowspath C:\Windows /localos
4) デバイスを再起動し、ネットワーク利用可能後にドメインアカウントでサインインします。

セットアップ中にドメインコントローラーに到達できない場合（例：ノート PC をリモートユーザーに出荷する際）は、オフラインドメイン参加を使用します。ユーザーが VPN に接続した後、グループポリシーやその他のサービスが適用されます。方法を把握したうえで、組織のアイデンティティ戦略に合った信頼モデルを選択してください。

ローカル AD と Azure AD とハイブリッド：最適な参加の選び方

適切な参加タイプを選ぶことで、余計な負担なく、ユーザーに必要なポリシーとアプリを提供できます。選択は、ID の所在とデバイス管理に使うツールによって決まります。

ローカル AD ドメイン参加：グループポリシー、オンプレミスのファイル共有、Kerberos を使用する業務アプリ、Configuration Manager に依存する環境に最適。
Azure AD 参加（Microsoft Entra ID）：Intune、条件付きアクセス、パスワードレスサインイン、Windows Autopilot などのモダンなプロビジョニングを伴うクラウドファースト管理に最適。
ハイブリッド Azure AD 参加：オンプレミスのグループポリシーがまだ必要で、かつデバイスベースの条件付きアクセスなどクラウド機能も利用したい場合に有用。

適切なモデルを選び、参加を完了したら、信頼が期待どおりに機能するか確認します。検証は、ユーザーが気づく前に問題を見つける最短の方法です。

参加とデバイスの信頼を検証する

検証は、参加が成功し、ポリシーが適用可能であることを証明します。短いチェックを今行うことで、後のサポートチケットを防ぎ、安心してデバイスを引き渡せます。

次の簡易検証を実施:
– 設定 > システム > バージョン情報を確認し、デバイスに正しいドメインが表示されていることを確認します。
– ドメインアカウントでサインインします。whoami と whoami /groups を実行し、ID とグループメンバーシップを確認します。
– PowerShell でセキュアチャネルをテスト:
Test-ComputerSecureChannel -Verbose
– コンピューターオブジェクトが正しい OU に存在し、想定どおりのポリシーを継承していることを確認します。
– イベントビューアー > システムで Netlogon と GroupPolicy のエントリを確認します。
– 参加に失敗、または予期せぬ挙動があった場合は、C:\Windows\debug
etsetup.log を確認します。

信頼を検証できたら、強化と生産性向上の設定を適用します。ここからが、参加後タスクによる集中管理の価値が発揮される部分です。

参加後のタスクとベストプラクティス

参加の成功はスタートに過ぎません。参加後のタスクにより、デバイスをセキュリティベースラインに合わせ、アプリやリソースを配布し、長期的な管理に備えます。

推奨アクション:
– デバイスを正しい OU に移動し、ベースライン GPO が適用され、継承が正しいことを確実にします。
– gpupdate /force を実行し、再起動してポリシー、スクリプト、プリファレンスを処理します。
– グループポリシーの Restricted Groups またはグループポリシー環境設定を使用して、ドメイングループをローカルの Administrators および Remote Desktop Users に追加します。ユーザーの直接割り当てではなくグループを推奨します。
– Intune や Configuration Manager などのエンドポイント管理ツールにデバイスを登録します。コンプライアンスポリシーとデバイス構成プロファイルが適用されることを確認します。
– 代表ユーザーで、割り当てられたドライブ、プリンター、業務アプリが機能することを検証します。
– ホスト名、OU、主なユーザー、資産情報をインベントリシステムに記録します。

強化と検証が済んだら、ユーザーが社外からどのように接続するかを検討します。リモートシナリオでは、DNS、ルーティング、ドメインコントローラー到達性への特別な配慮が必要です。

社外や VPN 経由での参加

リモートデバイスは、多くの場合、社内ネットワークに入る前に参加が必要です。適切な計画により、初回起動時の失敗や信頼問題を防げます。

リモート参加のガイダンス:
– ドメインコントローラーと AD 連携 DNS へアクセスできる VPN を使用します。スプリットトンネリングに AD トラフィックを含めるか、フルトンネルを使用します。
– DNS をテスト：ドメインと SRV レコードの nslookup を実行し、FQDN でドメインコントローラーに ping します。
– プロビジョニング時に DC に到達できない場合は、オフラインドメイン参加を使用し、ユーザーが VPN に接続した後にポリシー処理を完了します。
– Always On VPN などを検討し、サインイン時および起動時にセキュアチャネルが手動操作なしで更新されるようにします。

リモート参加の失敗は、DNS、時刻、ポートブロックに関連するものがほとんどです。次のセクションでは、一般的な問題を迅速に診断して修正する方法を示します。

よくあるエラーとその対処法（トラブルシューティング）

トラブルシューティングは、まず基本を確認し、次に狙い撃ちのコマンドで深掘りするのが最も効果的です。エディション、接続性、DNS、時刻から始め、その後、権限とセキュアチャネルのエラーを確認します。

頻出問題と対処法:
– ドメインに接続できない：
– PC が AD の DNS サーバーを使用しており、パブリック DNS を使っていないことを確認します。
– SRV レコードを検証：nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example.com
– ルーティングとファイアウォールで LDAP、Kerberos、SMB、RPC を確認します。
– アクセスが拒否される：
– 自分のアカウントに参加権限がある、または事前ステージしたコンピューターオブジェクトに参加できることを確認します。
– 別の資格情報を試す、または「別のユーザーとして実行」で参加を実行します。
– 新しいデバイスと競合する古いコンピューターオブジェクトを削除またはリセットします。
– 参加後に信頼関係が失敗：
– セキュアチャネルを修復：Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
– あるいは netdom reset を使用するか、ドメインを一度離脱して再参加します。
– 時刻同期、DNS 登録、ドメインコントローラーへのネットワーク到達性を再確認します。

所見とコマンドを短いランブックにまとめておきましょう。ここで文書化したパターンは、将来のエスカレーションを短縮し、サポートの標準化に役立ちます。

ドメインを安全に離脱する方法（ロールバック）

デバイスを再利用、売却、再インストールするためにドメインから削除する必要がある場合があります。ロックアウトや必要なデータ損失を避けるため、離脱を計画しましょう。

安全な離脱手順:
1) ローカル管理者アカウントが存在し、パスワードを把握していることを確認します。サインインをテストします。
2) システムのプロパティ（sysdm.cpl）または設定を開き、ドメインから WORKGROUP などのワークグループに切り替えます。
3) デバイスをドメインから削除する際に求められたら、ドメインの資格情報を入力し、再起動します。
4) ローカル管理者アカウントでサインインします。サービスやローカルアプリが正しく起動することを確認します。
5) ワイプや再展開の前に、ローカルプロファイルから必要なユーザーデータを移行またはアーカイブします。
6) デバイスをドメイン外で再利用する場合は、後の名前競合を避けるために名前を変更します。

クリーンに離脱できれば、信頼オブジェクトや孤立したプロファイルを残さずに再構築や再利用が可能です。

まとめ

PC をドメインに参加させる方法は複数あります：設定、システムのプロパティ、PowerShell、Netdom、オフラインドメイン参加。利用するツール、規模、ネットワークアクセスに合った方法を選びましょう。信頼を検証し、デバイスを正しい OU に配置して、セキュリティと生産性のためのポリシーを適用します。リモートユーザーには、VPN 到達性を計画するか、スタックを避けるためにオフラインプロビジョニングを使用します。問題が発生したら、まず DNS と時刻から確認し、その後、権限を修正してセキュアチャネルを修復します。これらの手順とコマンドにより、日常運用に耐える一貫性のある安全な参加を実現できます。

よくある質問

Windows Home をドメインに参加させることはできますか？

Windows Home は、オンプレミスの Active Directory ドメイン参加をサポートしていません。Pro、Enterprise、または Education にアップグレードするか、Intune によるクラウド管理が要件に合う場合は Azure AD 参加を検討してください。

リモート PC をドメインに参加させるには VPN が必要ですか？

ドメインコントローラーと Active Directory 統合 DNS への安全な接続が必要です。一般的な解決策は VPN です。展開時に VPN がない場合は、オフラインドメイン参加を使用し、ユーザーが接続した後にポリシーの設定を完了します。

ドメイン参加と Azure AD 参加の違いは何ですか？

ドメイン参加は、グループポリシーや Kerberos のためにオンプレミスの Active Directory に接続します。Azure AD 参加は、Intune や条件付きアクセスによるクラウド優先の管理のために Microsoft Entra ID に接続します。ハイブリッドは両者を組み合わせます。