Microsoft Entra ID（旧Azure AD）は、Microsoft 365や連携SaaSの認証・アクセスを管理します。P1は条件付きアクセス、P2はPIMやリスクベース制御に対応します。認証統合とSaaS側のアカウント処理を分けて、運用を設計しましょう。

Microsoft Entra IDとは

Microsoft Entra IDとは、Microsoftが提供するクラウド型のID・アクセス管理サービスです。Microsoft 365のサインインを支え、Azureや外部SaaSとの認証連携、シングルサインオン、多要素認証、条件付きアクセスを担います。

Azure ADから名称変更された経緯

名称変更は2023年8月に始まり、SKU表示名は2023年10月1日にAzure Active DirectoryからMicrosoft Entra IDへ変わりました。名称変更による機能・価格・ライセンス体系の変更はなく、Microsoft Entraブランドの一部になりました。

旧ポータルURLや一部API名称が存続する移行期間中は、Azure AD表記をすぐ変えなくてよい場合もあります。ただし、非推奨のAzure AD Graph、ADAL（Azure AD Authentication Library）、AzureAD PowerShellモジュールを使うスクリプトは棚卸しと移行計画が必要です。

Entra IDで解決できる課題

Entra IDでまとめられるのは、連携先の認証やアクセス制御です。SaaSのアカウント削除まで自動化するには、認証連携に加えて設定が必要になります。

• 部門ごとに別々のIDで利用していたSaaSのログイン情報を1つに集約する
• 連携設定済みのSaaSに対して多要素認証や条件付きアクセスを適用する
• SSO連携済みアプリへの新規サインインを停止できる（アカウント削除・無効化の自動化にはSCIMプロビジョニング設定が別途必要）
• アクセスログを一元的に監査ログ基盤へ送り出す

認証連携の仕組みを整理するには、IDaaSとSSOの関係も確認できます。

参考：Microsoft Entraとは - Microsoft Learn

Entra IDのライセンスプランと選び方

基本的な認証を使うFree、条件付きアクセスを使うP1、PIMやリスクベース制御を使うP2から、必要な機能で選びます。Microsoft 365の契約に含まれる範囲も確認すると、追加ライセンスの要否を判断できます。

○は利用可能、×は対象外を示します。PIMは管理者権限を必要な時間だけ付与する機能です。

※料金は2026年9月時点のMicrosoft公式価格ページ（年間契約）に基づきます。価格改定があるため、最新の料金はMicrosoftのEntra ID製品ページでご確認ください。

認証のプランを決めたら、連携対象外のSaaSや余剰ライセンスの管理も整理しましょう。Josysの機能概要は「5分でわかるJosys」をダウンロードして確認できます。

Free プラン

Microsoft 365やAzureに含まれる無料プランです。ユーザー管理、SSO、クラウドユーザーのパスワード変更に対応します。オンプレミスへの書き戻しを含むパスワードリセットには上位ライセンスが必要で、条件付きアクセス・PIMは対象外です。

P1 プラン

ユーザーあたり月額課金で、Microsoft 365 E3にも含まれます。条件付きアクセス、動的グループ、SCIMプロビジョニング、Entra Connect Healthなどを利用できます。

P2 プラン

ユーザーあたり月額課金の上位プランで、Microsoft 365 E5にも含まれます。PIM、Identity Protectionによるリスクベース条件付きアクセス、アクセスレビューを利用できます。

プラン選定の判断軸

判断軸は次の3点です。

• 多要素認証のみで十分か、リスクベースの自動制御まで必要か
• 特権アカウントへのジャストインタイム制御が必要な統制要件があるか
• アクセスレビューによる定期的な権限棚卸しが内部監査で要求されているか

内部統制報告制度（J-SOX）への対応では、特権管理や定期的な権限棚卸しの要件と照らして判断します。

参考：Microsoft Entra ライセンス - Microsoft Learn

Microsoft Entra IDの主要機能

SSOはログインをまとめ、MFAは本人確認を補強します。条件付きアクセスはアクセス条件を制御し、PIMは管理者権限を使う時間を制限します。認証・アクセス制御・特権管理を分けて使い方を整理します。

シングルサインオン（SSO）

職場または学校アカウントで、連携先SaaSや社内アプリにサインインできます。SAML 2.0、OpenID Connect、WS-Federationに対応し、Microsoft 365、Salesforce、Slack、Boxなどと認証を連携します。

多要素認証（MFA）

パスワードに加えて、Microsoft Authenticatorアプリ・SMSコード・FIDO2セキュリティキーなどを組み合わせた多要素認証を全ユーザーに適用できます。条件付きアクセスと組み合わせることで「社外からのアクセス時のみMFA要求」といった柔軟な制御も可能です。

条件付きアクセス

条件付きアクセスはユーザー、デバイス状態、所在地などのシグナルを組み合わせてアクセス可否を自動判定する仕組みです（リスクベースの条件付きアクセスはP2のIdentity Protectionが必要）。Entra ID P1ライセンス以上で利用でき、ゼロトラストアーキテクチャを実装する中核機能として位置づけられています。

代表的なポリシー例として、未管理デバイスからの機密データアクセス拒否、海外IPからのサインインに追加認証要求、レガシー認証プロトコルの全面ブロックなどが挙げられます。

Privileged Identity Management（PIM）

PIMは管理者権限を必要なときだけ、必要な時間だけ付与するジャストインタイム特権管理機能です。Entra ID P2ライセンスで利用でき、グローバル管理者やセキュリティ管理者などの強い権限が常時有効になっている状態を解消できます。

特権アクティブ化時に承認ワークフロー、追加MFA、理由入力を必須化することで、内部不正と特権アカウント乗っ取りの両方のリスクを下げられます。

条件付きアクセスとPIMは、制御する対象が異なります。

リスクベースの条件付きアクセスにはP2のIdentity Protectionが必要です。

参考：Microsoft Entra 条件付きアクセス: Zero Trust ポリシーエンジン - Microsoft Learn

オンプレミスActive Directoryとの違い

Entra IDとオンプレミスADは、構成も対応プロトコルも異なります。オンプレADはWindows Server上で動作し、Entra IDはクラウドで提供されます。社内システムとSaaSの認証要件を整理して併用を判断します。

提供形態とインフラ

オンプレADはWindows Server上に構築する自社運用基盤で、ドメインコントローラの可用性とパッチ適用は組織側の責任になります。Entra IDはMicrosoftが運用するマネージドクラウドサービスで、可用性99.99%のSLAが提供されます。

対応プロトコル

オンプレADはKerberos、NTLM、LDAPといった社内ネットワーク向けプロトコルが中心です。Entra IDはSAML、OpenID Connect、OAuth 2.0、SCIMといったクラウド・モバイル時代のプロトコルに対応しており、SaaSやモバイルアプリとの連携を前提としています。

ハイブリッド構成での同期

Entra ConnectでオンプレADとEntra IDを同期できます。社内システムはオンプレAD、SaaSやMicrosoft 365はEntra IDで認証する構成にすれば、段階的に移行できます。

参考：Active Directory と Microsoft Entra ID との比較 - Microsoft Learn

情シスがEntra IDを導入するメリット

Microsoft 365を利用する組織では、Entra IDを軸にSaaS連携や退職対応、監査ログの扱いをそろえられます。認証を統合しただけで削除まで完了したと判断せず、連携設定とSaaS側の処理結果を確認する運用が必要です。

SaaS連携の標準化

新規SaaSの導入時にEntra IDでSSOできるかを確認すると、認証連携の判断軸をそろえられます。Entraアプリギャラリーには数千のSaaSテンプレートがあり、Microsoft 365に同梱される範囲も利用できます。

退職処理の即応性

人事システムからEntra IDへ退職データを連携し、SCIMプロビジョニングを設定した連携SaaSでは、アカウントの無効化を自動化できます。退職処理に半日かかっていた工数が10分以下に短縮された事例もあります。認証停止とSaaS側の処理は、次のように分けて確認します。

SSOとアカウントの自動処理を区別するには、SCIMプロビジョニングの仕組みを確認してください。

Entra IDと併用するSaaSのアカウント管理を検討する場合は、Josysの無料デモで連携範囲と退職対応の運用を確認することができます。

コンプライアンス対応の効率化

サインインログ・監査ログはAzure MonitorやSentinelに転送できます。SIEM基盤へのログ集約と四半期ごとのアクセスレビューを運用に組み込むと、監査対応資料を整理しやすくなります。

Entra ID導入時の注意点

導入前には、緊急アクセス用アカウント、レガシー認証の移行、グループに使う属性データを確認します。条件付きアクセスを有効にする際は、管理者自身や既存業務への影響も点検し、サインインログを見ながら段階的に切り替えます。

緊急アカウント（Break-Glassアカウント）の確保

Entra IDがダウンしたり、条件付きアクセスポリシーの設定ミスで全管理者がロックアウトされる事態に備え、条件付きアクセス対象外の緊急アクセス用アカウントを2つ以上用意するのがMicrosoft推奨です。

レガシー認証の段階的廃止

旧来のメールクライアントやスクリプトはBasic認証など古い方式を使っているため、レガシー認証ブロックポリシーを一気に有効化すると業務停止リスクがあります。サインインログから利用状況を可視化し、段階的に切り替えるアプローチが安全です。

グループ運用の設計

Entra IDのグループには「割り当て済み」「動的ユーザー」「動的デバイス」の3種類があり、運用負荷が大きく異なります。属性に応じた自動グルーピングを使うと退職・異動時のメンテナンスが不要になりますが、属性データの正確性が前提になります。

Entra IDだけでは解決できないSaaS管理の課題

認証を統合しても、対応外SaaSや利用状況・コスト・ライセンス重複の管理は残ります。SaaSが30種類を超える組織では、Entra IDとSaaS管理プラットフォーム（SMP）を組み合わせた運用も選択肢になります。

Entra ID対応外SaaSの存在

SAML・SCIMに非対応のSaaSは、アカウント発行・削除を別ルートで管理します。部門独自の契約や業務特化型ツールも確認対象です。

ライセンスコストの可視化

各SaaSの有償ライセンス利用率や支出を見直すには、アカウントの有無に加え、利用状況とコストを把握する仕組みが必要です。

利用状況のヒートマップ

SaaSごとの利用実態や休眠アカウントを確認し、未使用ライセンスを見直します。SaaS管理プラットフォームの併用で削減につながった事例もあります。

SaaS管理プラットフォームが補う領域

ジョーシスが提供するJosysは、AI駆動のアイデンティティセキュリティ基盤です。350以上のSaaSアプリと31カテゴリの連携に対応し、国内外1,000社以上の導入実績があります。SaaS Discoveryはログイン・ブラウザ活動からSaaS利用状況を検出し、アカウントの付与・削除は連携対象の範囲で支援します。事例によってはIT工数を最大50%、ITコストを最大75%削減した報告もあります。

認証とSaaS管理の役割分担は、IDaaSとSaaS管理の連携で確認できます。

Microsoft Entra IDについてよくある質問

Entra IDの導入検討フェーズで情シス担当者から多く寄せられる質問を整理しました。

Entra IDとAzure ADは別物ですか

同じサービスです。2023年10月の名称変更によって、機能・価格・ライセンス体系は変わっていません。

Entra IDだけでゼロトラストは実現できますか

P2の条件付きアクセス、Identity Protection、PIMでID側の対策を進められます。ネットワーク・デバイス・データ層には、DefenderやIntuneなどとの連携が必要です。

オンプレADと併用するべきですか

レガシーアプリやファイルサーバが残る場合はEntra Connectによる併用、クラウド中心ならEntra ID単独運用を検討します。

Entra IDのバックアップは必要ですか

インフラはMicrosoftが冗長化しています。誤削除・設定ミス・ロックアウトへの備えとして、ディレクトリ設定とポリシーをエクスポートする運用も整備します。

まとめ

必要な機能でFree・P1・P2を選んだら、SSO連携先、SCIM設定済みSaaS、別ルートで管理するSaaSを書き出してください。認証停止から退職者アカウントの処理まで、担当範囲を具体化できます。