🙆
ディレクトリ同期アカウント（Entraコネクタアカウント）は条件付きアクセスの対象外にすべきか
背景
Entra Connect を設定したら、同期用に "On-Premises Directory Synchronization Service Account" というディレクトリ同期アカウントがEntraIDに作成される。このアカウントが、EntraIDへの書き込みの役割を担う。Entraコネクタアカウントとも呼ばれる。
このアカウントは Azure Portal にサインインするようなものではないのでは？そのため、条件付きアクセスの対象外にしなくていいのでは？と思ったので調べた。
結論
対象外にした方がいい。
理由
ユーザーがサインインするものではないが、自動でサインインが行われている。多要素認証の要求やブロック、その他満たせない条件を要求されていることにより、Azure AD Connect 構成ウィザードにおける画面がしばらくしても進まないなどが発生する可能性があるため、対象外にしておくほうが無難。
下記サポートブログから引用
Azure AD コネクタ アカウントについては、明示的に管理者などのユーザーがサインインを行うものではなく、Azure AD Connect 新規インストール時やその後の定期的な同期処理のタイミングで、自動で当該アカウントによるサインインが行われるものとお考えください。
下記のように Azure AD コネクタ アカウントに対して MFA が要求されているために、当該アカウントによるサインインに失敗していることが確認できます。
Discussion