クラウドの ID を「正」として、AD LDS などの LDAP 依存アプリへユーザー情報を一方向で供給。MIM の汎用 LDAP / カスタムコネクタからの移行先となる構成です。
Microsoft Entra ID をマスターに、ECMA Connector Host（ECMA2Host）と汎用 LDAP コネクタを介して、オンプレミスの LDAP ディレクトリへユーザーを自動供給します。
Entra ID → プロビジョニングエージェント → ECMA Connector Host → 汎用 LDAP コネクタ → ターゲットディレクトリ
| コンポーネント | 役割 |
|---|---|
| Entra プロビジョニングサービス | 司令塔。割り当て・属性マッピングを管理 |
| プロビジョニングエージェント | オンプレミス Windows Server 上で動作し、クラウドと通信 |
| ECMA2Host | SCIM 指示をコネクタ形式に変換（既定ポート 8585） |
| 汎用 LDAP コネクタ | 実際の LDAP 書き込みを実行 |
設計前に必ず押さえておくべき非対応・制約。
Active Directory ドメインサービスへのプロビジョニングは非対応（AD への供給は Entra Cloud Sync を使用）。
LDAP → Entra ID 方向の同期には対応していません（一方向供給）。
グループおよびメンバーシップのプロビジョニングは不可。
Entra ユーザーのパスワードはディレクトリへ転送できません。
AD LDS はパスワード未設定アカウントの有効化を拒否。無効状態で供給→別途有効化、または検証環境ではポリシー緩和で対処。
自動プロビジョニング設定でプロビジョニングエージェントを登録。
管理者として構成。ポート 8585 を使用。
DLL 指定、接続情報（ホスト・バインド・LDAPS など）を入力。
アンカー（objectGUID）、プロビジョニング解除方法を定義。
DN の式マッピング、userPrincipalName の照合、isSoftDeleted→msDS-UserAccountDisabled などを設定し検証。
Microsoft Entra ID P1 以上 / ハイブリッド ID 管理者・アプリケーション管理者ロール
Windows Server 2016 以降 / RAM 3GB 以上 / .NET Framework 4.7.2 以上 / ターゲット LDAP への接続性