こんにちは、InfraAcademyを運営しているryuです。
今回は、Microsoft Entra IDとは何か、ユーザーやグループをどのように管理するのかをIT初心者向けに解説します。
Azureを勉強していると、ユーザーを作ったり、管理者へ権限を付けたりする場面が出てきます。そのときに中心となるサービスがMicrosoft Entra IDです。
古いAzureの記事では、Azure Active DirectoryやAzure ADという名前で紹介されていることがあります。現在はMicrosoft Entra IDへ名称が変更されているため、この記事も現在の名称と管理方法に合わせて全面的に見直しました。
また、初心者が特に混乱しやすい、Microsoft Entra IDのロールとAzure RBACの違いについても解説します。
Microsoft Entra IDとは？¶
Microsoft Entra IDは、Microsoftが提供するクラウドベースのIDおよびアクセス管理サービスです。
ユーザーやグループを管理し、Microsoft 365やAzure、SaaSなどへ誰がサインインできるのかを制御します。多要素認証やConditional Accessなどを組み合わせて、アカウントを安全に利用するための仕組みも提供しています。
元記事ではAzure Active Directoryという名称を使っていましたが、現在はMicrosoft Entra IDへ名称変更されています。
名前は変わりましたが、Azure ADから別のサービスへ置き換わったわけではありません。以前Azure ADとして提供されていたID管理サービスが、Microsoft Entra IDという名称になったと考えると分かりやすいです。
そもそも「IDを管理する」とは？¶
ID管理と聞くと、単にユーザー名とパスワードを保存するサービスだと思うかもしれません。
実際には、もう少し広い役割があります。
例えば、会社にAさんとBさんがいるとします。Aさんは一般社員で、BさんはMicrosoft Entra IDのユーザー管理を担当する管理者です。
この2人へ同じ管理権限を与える必要はありません。Bさんにはユーザー作成などの管理権限が必要ですが、Aさんには通常必要ありません。
また、退職したユーザーがいつまでも会社のサービスへログインできる状態も危険です。入社時にアカウントを作り、必要なグループへ追加し、退職時には利用できない状態へ変更する、といった管理が必要になります。
Microsoft Entra IDは、このような誰が組織に所属していて、どのサービスへアクセスできるのかを管理する土台になります。
テナントとは？¶
Microsoft Entra IDを学ぶと、テナントという言葉がよく出てきます。
テナントは、組織ごとに用意されるMicrosoft Entra IDの管理単位です。会社Aと会社BがMicrosoftのクラウドサービスを使っていても、通常はそれぞれ別のテナントでユーザーや設定を管理します。
新しいMicrosoft Entraディレクトリには、例えば次のような初期ドメインが用意されます。
example.onmicrosoft.com
会社で独自ドメインを利用する場合は、example.co.jp などのカスタムドメインを追加することもできます。
ユーザーやグループ、アプリケーション、認証設定などは、このテナントの中で管理されます。
Microsoft Entra IDとWindows ServerのActive Directoryは同じ？¶
名前が似ているため、ここも混乱しやすいところです。
Windows ServerにはActive Directory Domain Services、略してAD DSがあります。一方、Microsoft Entra IDはクラウドベースのID・アクセス管理サービスです。
どちらもユーザーや認証を扱いますが、まったく同じ仕組みではありません。
| Microsoft Entra ID | Active Directory Domain Services | |
|---|---|---|
| 主な場所 | クラウド | オンプレミスのWindows Serverなど |
| 主な用途 | クラウドサービスへの認証・アクセス管理 | Windowsドメイン内のPCやサーバー管理 |
| 認証 | クラウド認証など | Kerberos、NTLMなど |
| LDAP | 通常のEntra IDでは直接利用しない | 利用する |
| グループポリシー | AD DSと同じGPOは使わない | 利用できる |
会社によっては、オンプレミスのActive DirectoryとMicrosoft Entra IDの両方を利用し、ユーザー情報を同期する構成もあります。
初心者の段階では、Windows ServerのActive DirectoryとMicrosoft Entra IDは似た役割を持つ部分もあるが、別の仕組みと覚えておけば十分です。
Microsoft Entra IDで管理できるもの¶
Microsoft Entra IDでは、ユーザーだけでなくさまざまなIDやアクセス情報を管理します。
代表的なものは次のとおりです。
- ユーザー
- グループ
- デバイス
- アプリケーション
- Microsoft Entraロール
- 認証方法
- 多要素認証
- Conditional Access
- 外部ユーザー
最初からすべてを覚える必要はありません。
この記事では、入門として最も基本になるユーザーとグループを中心に見ていきます。
Microsoft Entra IDでユーザーを作成する¶
現在は、Microsoft Entra管理センターからユーザーを作成できます。
Microsoft Entra管理センターへサインインし、Entra ID → Users を開きます。
新しい社内ユーザーを作成する場合は、New user → Create new user を選択します。
ユーザー作成画面では、主に次の情報を設定します。
| 項目 | 内容 |
|---|---|
| User principal name | ユーザーがサインインするときに使う名前 |
| Display name | 画面に表示するユーザー名 |
| Password | 初回サインインなどで使うパスワード |
| Account enabled | ユーザーがサインインできる状態か |
例えば、testuser というユーザーを作成し、テナントのドメインが example.onmicrosoft.com なら、サインイン名は次のような形になります。
testuser@example.onmicrosoft.com
カスタムドメインを設定している場合は、会社のドメインを使ったユーザー名にすることもできます。
User Principal Name（UPN）とは？¶
Microsoft Entra IDを使っていると、User Principal Nameという言葉が出てきます。略してUPNと呼ばれます。
UPNは、ユーザーを識別する名前の一つで、見た目はメールアドレスに似ています。
例えば次のような形式です。
user@example.com
メールアドレスと同じ値を使う組織も多いですが、UPNとメールアドレスは概念としては別のものです。
Microsoft Entra IDへのサインインではUPNが使われる場面が多いため、ユーザー管理を学ぶなら名前だけでも覚えておくとよいでしょう。
ユーザー作成時に権限を与えすぎない¶
ユーザーを作成するときに重要なのが、必要以上の権限を与えないことです。
Microsoft Entra IDには、ユーザー管理者やグループ管理者、グローバル管理者など、さまざまな管理ロールがあります。
例えば、ユーザーの作成や削除を担当する人なら、必要な範囲に応じてユーザー管理者などのロールを検討します。すべての設定を変更できるグローバル管理者を、日常的な作業をする全員へ付与する必要はありません。
これは最小特権の原則と呼ばれる考え方です。
必要な人へ、必要な範囲だけ、必要な期間だけ権限を与えることで、アカウントが侵害された場合の影響も小さくできます。
社外の人はゲストユーザーとして招待できる¶
Microsoft Entra IDでは、組織内のユーザーだけでなく、社外のユーザーをゲストとして招待することもできます。
例えば、共同プロジェクトを行う外部企業の担当者に、特定のアプリケーションだけ利用してもらう場合があります。
このようなケースで、わざわざ自社用の新しいパスワードを作らせるのではなく、外部ユーザーを招待してアクセスを管理できます。
Microsoft Entra管理センターでは、Entra ID → Users → New user → Invite external user から外部ユーザーを招待できます。
社内ユーザーと外部ユーザーを区別して管理できることも、Microsoft Entra IDの重要な役割です。
グループを使ってユーザーをまとめる¶
ユーザーが数人なら、一人ずつ設定してもそれほど大変ではありません。
しかし、社員が100人、500人と増えると、一人ずつ同じ権限やアプリケーションを割り当てるのは現実的ではありません。
そこでグループを使います。
例えば、Webアプリケーションを開発するメンバーをまとめた WebAppDevelopers グループを作り、そのグループへ必要なアクセスを割り当てます。
新しい開発者が入社したら、個別に多数の設定を行うのではなく、適切なグループへ追加することで管理しやすくなります。
Microsoft Entra IDでグループを作成する¶
Microsoft Entra管理センターで、Entra ID → Groups → All groups を開きます。
新しいグループを作成し、グループ名やメンバー、所有者などを設定します。
Microsoft Entra IDでよく利用するグループには、SecurityグループとMicrosoft 365グループがあります。
| グループ | 主な用途 |
|---|---|
| Security | リソースやアプリへのアクセス管理 |
| Microsoft 365 | Microsoft 365での共同作業など |
Azureやアプリケーションへのアクセス権をまとめて管理したい場合は、Securityグループを使うことが多いです。
例えば、WebAppDevelopers というSecurityグループを作成し、開発チームのユーザーをメンバーとして追加できます。
ユーザーへ直接権限を付けるよりグループが便利¶
アクセス権をユーザーへ直接割り当てる方法もあります。
しかし、人数が増えるほど、誰に何の権限が付いているのか確認しづらくなります。
グループを使えば、開発者、運用担当者、経理担当者など、役割ごとにユーザーをまとめられます。権限の割り当てもグループ単位にすることで、人の入れ替わりに対応しやすくなります。
例えば、開発チームから異動した人は WebAppDevelopers グループから外します。新しく配属された人はグループへ追加します。
権限そのものを毎回作り直す必要がないため、運用がシンプルになります。
Microsoft EntraロールとAzure RBACは別物¶
ここは、Azure初心者が特に混乱しやすい部分です。
Microsoft Entra IDには、ユーザー管理者、グループ管理者、グローバル管理者などのMicrosoft Entraロールがあります。
一方、Azureには、Owner、Contributor、ReaderなどのAzure RBACロールがあります。
この2つは管理する対象が違います。
| Microsoft Entraロール | Azure RBAC | |
|---|---|---|
| 主な対象 | Microsoft Entra ID | Azureリソース |
| 例 | ユーザー管理者、グローバル管理者 | Owner、Contributor、Reader |
| 管理するもの | ユーザー、グループ、アプリ、ID設定など | VM、Web App、Storage、VNetなど |
例えば、Aさんへユーザー管理者ロールを付けても、それだけでAzure VMを自由に作成できるわけではありません。
反対に、特定のAzureリソースグループへContributorを割り当てても、それだけでMicrosoft Entra IDのユーザーを自由に作成できるようにはなりません。
元記事ではこの2種類の権限が少し混ざっていましたが、現在の記事では分けて理解することをおすすめします。
Azureリソースへの権限付与は、次の記事で詳しく解説しています。
Azureのユーザーに権限を付与する方法｜RBACとPIMを解説
Microsoft Entra IDのライセンス¶
Microsoft Entra IDには、Free、P1、P2などのライセンスがあります。
Microsoft Entra ID Freeは、Microsoft AzureやMicrosoft 365などのMicrosoftクラウドサービスに含まれます。基本的なユーザーやグループの管理などを利用できます。
P1やP2では、より高度なID管理やセキュリティ機能を利用できます。
代表的な違いを簡単に整理すると、次のようになります。
| ライセンス | 機能の例 |
|---|---|
| Free | 基本的なユーザー・グループ管理、Security defaultsなど |
| P1 | Conditional Accessなど |
| P2 | リスクベースのConditional Access、PIMなど |
実際のライセンス要件は利用する機能によって異なります。
最初からP1やP2の機能をすべて覚える必要はありません。まずFreeで利用できる基本的なユーザー・グループ管理を理解し、そのあとMFA、Conditional Access、PIMなどへ進むと分かりやすいです。
PIMとは？¶
P2などのライセンスを学んでいると、Privileged Identity Management、略してPIMという機能が出てきます。
PIMは、強い管理権限を常に持たせるのではなく、必要なときだけ一時的に有効化するといった管理を行うための仕組みです。
例えば、普段は管理者権限を持たず、メンテナンス作業をするときだけ一定時間管理権限を有効にする、といった運用ができます。
常に強い権限を持つアカウントを減らせるため、最小特権を実現するうえで役立ちます。
ただし、Microsoft Entra IDを初めて学ぶ段階では、まず通常のユーザー、グループ、ロールの違いを理解してからPIMへ進めば十分です。
ユーザーを作ったらMFAも設定しよう¶
ユーザーを作成しただけでは、ID管理のセキュリティ対策は終わりではありません。
パスワードが漏えいした場合に備えて、多要素認証を利用することが重要です。
Microsoft Entra IDでは、Security defaultsやConditional Accessなどを使ってMFAを要求できます。
現在はパスワードだけに依存せず、Microsoft Authenticatorやパスキーなど、複数の認証方法を利用できます。
MFAについてはこちらの記事で詳しく解説しています。
Microsoft Entra IDの多要素認証（MFA）とは？
ユーザー管理で意識したいこと¶
Microsoft Entra IDでユーザーを作れるようになったら、単にアカウント数を増やすのではなく、運用まで考えることが大切です。
例えば、入社した人には必要なグループだけを割り当て、異動時には所属グループを見直します。退職したユーザーは、必要なデータやライセンスの処理を行ったうえでアクセスできない状態にします。
管理者権限も必要以上に付与せず、日常的に使うアカウントと強い管理権限を持つアカウントを分けることがあります。
ID管理では、ユーザーを作る操作よりも、誰が何へアクセスできる状態なのかを継続的に管理することが重要です。
Azureを学ぶならIDと権限をセットで理解する¶
Azureでは、仮想マシンやWeb Appを作ることに目が向きやすいですが、実務では誰がそのリソースを操作できるのかも重要です。
Microsoft Entra IDでユーザーやグループを管理し、Azure RBACでAzureリソースへの権限を管理します。さらにMFAやConditional Accessを使って、サインインそのものを保護します。
この関係が分かると、Azureのセキュリティをかなり理解しやすくなります。
InfraAcademyでは、Linux、ネットワーク、AWS、Azureの考え方につながるクラウド・セキュリティの基礎を、初心者向けに段階的に学べます。
単に管理画面の押し方を覚えるのではなく、なぜユーザー、グループ、権限を分けて管理するのかまで理解しながら進めるのがおすすめです。
Microsoft Entra IDとは？まとめ¶
今回は、Microsoft Entra IDの基本と、ユーザー・グループの管理について解説しました。
Microsoft Entra IDは、ユーザー、アプリケーション、デバイスなどのIDとアクセスを管理するクラウドサービスです。以前はAzure Active Directory、Azure ADという名称でしたが、現在はMicrosoft Entra IDへ変更されています。
入門としてまず理解したいのは、ユーザー、グループ、ロールの3つです。
ユーザーを一人ずつ管理するだけでなく、役割ごとにグループへまとめることでアクセス管理を行いやすくなります。また、管理権限は必要な人だけへ割り当てることが重要です。
さらに、Microsoft EntraロールとAzure RBACは別の仕組みです。Microsoft Entra ID内の管理権限と、Azure VMやWeb Appなどのリソース権限を分けて考えましょう。
ユーザーとグループを理解できたら、次はAzure RBAC、多要素認証、Conditional Accessへ進むと、AzureのID・アクセス管理を体系的に理解できます。
参考¶
あわせて読みたい
