「とりあえずグローバル管理者にしておけば何でもできるから」という理由で、IT担当者全員にグローバル管理者ロールを付与してしまう。
気づけばグローバル管理者が10人以上いて、誰が何の権限を持っているか誰も把握していない、という現場は珍しくありません。
グローバル管理者はEntra IDとMicrosoft 365のすべてを管理できる最強の権限です。このアカウントが1つ侵害されると、テナント全体が危険にさらされます。
本記事ではEntra IDのロールの仕組みと、グローバル管理者に頼らない最小権限設計の実務パターンを解説します。
ADとEntra IDの権限設計の違いについては「ADとEntra IDの権限設計比較｜オンプレとクラウドで何が変わるのかを整理する」を参照してください。
Entra IDのロールとは
ADのDomain Adminsとは別物
Entra IDのロールとは、ユーザーに付与する管理権限の種類を定義した役割です。ADの「Domain Admins」のような単一の管理者グループとは異なり、機能ごとに細かく分かれた役割が用意されています。
Entra IDロール（Entra ID Role）
Microsoft Entra IDにおける管理権限の単位。「何を管理できるか」を役割として定義し、ユーザーやグループに付与する。組み込みロール（Microsoft定義）とカスタムロール（独自定義）の2種類がある。ロールを付与されたユーザーは、そのロールで許可された操作のみを実行できる。
ADとEntra IDのロールの考え方の違いを整理します。
| 項目 | Active Directory | Entra ID |
|---|---|---|
| 主な管理者権限 | Domain Admins（全権限） | グローバル管理者（全権限）＋機能別ロール |
| 権限の粒度 | 粗い（Domain Adminsか委任か） | 細かい（100種類以上の組み込みロール） |
| 最小権限の実現 | OUへの委任で実現 | 機能別ロールの付与で実現 |
| 一時的な昇格 | 標準機能なし | PIMで実現 |
ADではDomain Adminsという全権限を持つグループが中心でしたが、Entra IDでは「この人はユーザー管理だけ」「この人はライセンス管理だけ」という細かい権限設計が可能です。
組み込みロールとカスタムロールの違い
Entra IDのロールは2種類あります。
組み込みロール（Built-in Role）
Microsoftが事前に定義した標準ロール。グローバル管理者・ユーザー管理者・セキュリティ管理者など100種類以上が用意されている。多くの場合、組み込みロールで要件を満たせる。
カスタムロール（Custom Role）
組み込みロールでは要件を満たせない場合に独自定義するロール。特定の操作だけを許可する細かい権限設計が可能。Microsoft Entra ID P1以上のライセンスが必要。
現場ではまず組み込みロールで対応できないか検討してからカスタムロールを作成することを推奨します。カスタムロールは管理コストが増えるため、本当に必要な場合のみ使ってください。
現場でよく使う組み込みロール
管理者系ロールの使い分け
現場でよく使う管理者系ロールを整理します。
| ロール名 | 主な権限 | 使いどころ |
|---|---|---|
| グローバル管理者 | Entra ID・M365全体の管理 | 緊急時・初期設定のみ。日常業務に使わない |
| ユーザー管理者 | ユーザー・グループの作成・編集・削除 | ヘルプデスク・HR担当者向け |
| パスワード管理者 | 非管理者ユーザーのパスワードリセット | ヘルプデスク（権限を絞りたい場合） |
| ライセンス管理者 | M365ライセンスの割り当て・解除 | ライセンス管理担当者向け |
| セキュリティ管理者 | セキュリティポリシー・条件付きアクセスの管理 | セキュリティ担当者向け |
| Exchange管理者 | Exchange Onlineの管理 | メール担当者向け |
| SharePoint管理者 | SharePoint Onlineの管理 | ファイル管理担当者向け |
| 課金管理者 | サブスクリプション・請求の管理 | 購買・経理担当者向け |
| 特権ロール管理者 | PIMとロール割り当ての管理 | PIM運用担当者向け |
グローバル管理者でなければできない操作は限られています。日常的な管理作業のほとんどは、上記の機能別ロールで対応できます。
読み取り専用ロールの活用
管理操作は不要だが状態を確認したいという用途には、読み取り専用ロールを活用します。
| ロール名 | 主な権限 |
|---|---|
| グローバル閲覧者 | Entra ID・M365全体の読み取り（変更不可） |
| セキュリティ閲覧者 | セキュリティ設定・レポートの読み取り |
| レポート閲覧者 | 使用状況レポートの読み取り |
監査・レポート確認・現状把握が目的であれば、読み取り専用ロールで十分です。「確認するだけなのにグローバル管理者を使う」という運用は避けてください。
条件付きアクセスの設定・確認については「条件付きアクセスとは？設計パターンと実務ガイド」を参照してください。
ロール設計の実務パターン
グローバル管理者は2〜4人に絞る
Microsoftはグローバル管理者を最低2人・最大4人に絞ることを推奨しています。
1人だけだとアカウントが使えなくなったときに詰まります。一方で10人以上いると、侵害リスクが高まり管理も困難になります。
グローバル管理者アカウントの設計ポイントは以下です。
- 日常業務用アカウントとは別の専用アカウントを作成する（例：admin-ryou@nlab.onmicrosoft.com）
- MFAを必ず有効化する（条件付きアクセスで常時MFA要求）
- サインインログを定期的に確認する
- ADのDomain Adminsアカウントとは同期させない
特権アカウントの管理原則については「AD特権アカウントの設計｜Tier0保護と管理者アカウント分離の実務」も参照してください。
日常業務は最小権限ロールで運用する
グローバル管理者を使わなくていい操作は、すべて機能別ロールに切り替えます。
やりがちな運用：
全員にグローバル管理者を付与
→ 何でもできる代わりに侵害リスクが高い
推奨する運用：
ヘルプデスク担当 → ユーザー管理者 または パスワード管理者
ライセンス担当 → ライセンス管理者
セキュリティ担当 → セキュリティ管理者 + 条件付きアクセス管理者
メール担当 → Exchange管理者
ロールはユーザーに直接付与するのではなく、セキュリティグループ経由で付与することを推奨します。グループにロールを付与しておけば、異動・退職時はグループのメンバーを変更するだけで権限管理ができます。
PIMで必要な時だけ昇格する
グローバル管理者などの高権限ロールは、常時付与するのではなく必要な時だけ一時的に有効化するのがベストプラクティスです。この仕組みを提供するのがPIM（Privileged Identity Management）です。
PIM（Privileged Identity Management：特権アクセス管理）
高権限ロールを必要な時だけ一時的に有効化できるMicrosoft Entra IDの機能。普段は「対象」として登録されているだけで権限はなく、必要な時に申請→承認→一時有効化という流れで使用する。Microsoft Entra ID P2ライセンスが必要。
PIMを導入すると、グローバル管理者ロールを「常時付与」から「対象として登録」に変更できます。
PIMなしの運用：
グローバル管理者ロールが常時有効
→ 侵害されると即座に全権限が奪われる
PIMありの運用：
普段はグローバル管理者権限なし
→ 必要な時だけ申請して一時的に有効化（例：1時間）
→ 作業完了後は自動的に権限が失効する
PIMの設定と運用については「PIMとは？Azure特権アクセス管理の仕組みと実務設定ガイド」で詳しく解説しています。
現場でよくある設計ミス
1. 全員グローバル管理者にしている
「とりあえず全部できるようにしておけばいい」という発想でIT担当者全員をグローバル管理者にしているケースがあります。グローバル管理者の数が増えるほど侵害リスクは高まります。まず現在のグローバル管理者一覧を確認し、日常業務に機能別ロールで対応できる人は切り替えてください。
# グローバル管理者の一覧を確認する
Connect-MgGraph -Scopes "Directory.Read.All"
Get-MgDirectoryRoleMember -DirectoryRoleId (
Get-MgDirectoryRole | Where-Object {$_.DisplayName -eq "Global Administrator"}
).Id | Select-Object Id, DisplayName
2. ロールをユーザーに直接付与している
ロールをユーザー個人に直接付与していると、異動・退職時の権限剥奪が漏れやすくなります。セキュリティグループを作成してそのグループにロールを付与し、グループのメンバー管理で権限を制御する設計を推奨します。Entra IDの動的グループと組み合わせると、属性変更時に自動でメンバーが更新されます。
3. PIMを導入していない
グローバル管理者ロールが常時有効な状態のままにしているケースがあります。Entra ID P2ライセンスがあればPIMを活用し、高権限ロールは「対象」として登録して必要な時だけ一時的に昇格する運用に切り替えてください。ライセンスがない場合でも、グローバル管理者の数を絞り・MFAを必須化・サインインログの監視を徹底することでリスクを下げられます。
4. ロールの棚卸しをしていない
「誰がどのロールを持っているか」を定期的に確認していないケースがあります。異動・退職後もロールが残り続け、気づけば退職者が管理者権限を持ったままになっているリスクがあります。最低でも年2回はロールの棚卸しを実施してください。
# すべてのロール割り当てを一覧表示する
Get-MgRoleManagementDirectoryRoleAssignment -All |
Select-Object PrincipalId, RoleDefinitionId, DirectoryScopeId |
Format-Table -AutoSize
チェックリスト
ロール設計の確認
- [ ] グローバル管理者の数が2〜4人に絞られている
- [ ] グローバル管理者は日常業務用アカウントとは別の専用アカウントになっている
- [ ] 日常業務の管理操作は機能別ロール（ユーザー管理者・ライセンス管理者等）で対応している
- [ ] ロールはユーザーに直接付与せず、セキュリティグループ経由で付与している
PIM・監視の確認
- [ ] 高権限ロール（グローバル管理者等）にPIMを適用している
- [ ] グローバル管理者アカウントに常時MFAを要求する条件付きアクセスが設定されている
- [ ] グローバル管理者のサインインログを定期的に確認している
- [ ] ロールの棚卸しを定期的に実施している（推奨：年2回）
まとめ
Entra管理センター（entra.microsoft.com）→「ロールと管理者」→「グローバル管理者」から、まずはグローバル管理者の数を確認してください。
5人以上いる場合は機能別ロールへの切り替えを検討してください。
Entra IDのロール設計は「とりあえずグローバル管理者で何でもできるようにする」から「必要な権限だけを必要な人に付与する」への転換が出発点です。
機能別ロールの活用とPIMの導入を組み合わせることで、侵害リスクを大幅に下げながら適切な管理体制を実現できます。
あわせてご覧ください
- ADとEntra IDの権限設計比較｜オンプレとクラウドで何が変わるのかを整理する
- PIMとは？Azure特権アクセス管理の仕組みと実務設定ガイド
- 条件付きアクセスとは？設計パターンと実務ガイド
- AD特権アカウントの設計｜Tier0保護と管理者アカウント分離の実務
- M365のセキュリティ設定チェックリスト
参考文献
参考：Microsoft Entra の組み込みロール（Microsoft Learn）
コメント