Azure Managed Service Column ＜Azure運用コラム＞IDガバナンスとは？Microsoft Entra ID Governanceの役割と重要性から実装方法までを詳しく解説！

一貫したID管理は難しい？セキュリティとコンプライアンス強化につながる方法を解説

法規制遵守とデータ保護の要件が厳しくなる中、企業はアイデンティティ管理におけるセキュリティとコンプライアンスをいかに強化するかが重要な課題となっています。

Microsoft が提供する Microsoft Entra ID は、オンプレミスからクラウドへの移行を支援し、一元化されたアクセス管理を実現することで、効率的な運用とリスクの最小化を可能とするプロダクトです。

本記事では、 Microsoft Entra ID を用いたガバナンス強化とはどのようなものか、そしてアイデンティティ管理のための必要な機能とメリット、ガバナンスポリシーの設計と実装手順について解説します。

1. Microsoft Entra ID Governanceとは

Microsoft Entra ID は、 Microsoft が提供するクラウドベースのID管理サービス（ IDaaS ）として広く利用されていますが、ここではまず ID ガバナンス管理の役割と重要性、そして Microsoft Entra ID Governance の概要について解説します。

IDガバナンス管理とは

ID ガバナンス管理（IGA ： Identity Governance Administration ）は、 ID ガバナンスと ID 管理を合わせた言葉で、ユーザーアカウントに対して、その ID ごとに必要なタイミングで適切な権限を持たせ、監視・制御するためのプロセスや仕組みです。

ユーザー ID とそれに関連するアクセス権限を適切に管理し、誰が、いつ、どのリソースにアクセスできるかを明確にすることで、セキュリティ強化と効率性の向上を目的としています。

近年、企業ではさまざまなシステム、アプリケーション、 SaaS などを使用することで ID管理が複雑化しており、企業が一貫した ID の管理、アクセス権限の制御を行うことが難しくなっています。

もし企業が社員に対して過剰なアクセス権限を付与してしまうと、情報漏洩などのセキュリティインシデントを引き起こす大きなリスクとなります。そのため、 ID ガバナンス管理を適切に行うことは、セキュリティと効率性の向上のために不可欠な仕組みであると言えます。

Microsoft Entra ID Governanceの概要

図版出典：Microsoft公式サイト

Microsoft Entra ID Governance は、 Microsoft Entra のサービスの一部として提供され、組織が ID およびアクセス管理の自動化、セキュリティ強化、コンプライアンス遵守を容易にするための「 ID ガバナンス管理機能」を提供するサービスです。

Microsoft Entra ID Governance により、適切なユーザーが必要なリソースに適切なアクセス権を持つようにすることが可能になり、 ID 管理における管理の効率化とセキュリティリスクの軽減が期待できます。

Microsoft Entra ID Governance は、 ID のライフサイクル、アクセス権のライフサイクル、特権 ID のライフサイクルを管理するための機能を提供し、従業員、ビジネスパートナーなどの ID ガバナンスを管理します。組織は生産性を向上させつつ、セキュリティを確保することができます。

Microsoft Entra ID Governance を使用することで、誰がどのリソースへのアクセス権を持つべきか、そのアクセスによって何が実行されるか、管理が効果的に機能しているかを確認することが可能となります。

Microsoft Entra ID Governance の料金体系

Microsoft Entra ID Governance は、 Microsoft Entra ID のオプション機能として提供されています。 Microsoft Entra ID P1 および P2 の購入者が追加で購入可能なオプションとなっており、 1 ユーザーあたり月額 880 円で提供されています。料金体系の詳細については公式サイト（※1）を参照してください。

2. Microsoft Entra ID Governanceの主要な機能とメリット

Microsoft Entra ID Governance は様々な機能を提供していますが、ここではその主要な機能とそれによるメリットについて解説します。

エンタイトルメント管理

エンタイトルメント管理は、従業員や外部のパートナーがその権限に合ったアプリケーションやディレクトリなどへ適切にアクセスできるよう、アクセス要求のワークフロー、権限割り当て、レビュー、期限切れの処理を自動化する機能です。

新しいアプリケーションの追加やユーザーのアクセス要件の変更に迅速に対応でき、アクセス権管理の効率性と作業品質を担保します。

ライフサイクルワークフロー

ライフサイクルワークフローは、組織内のユーザー管理を自動化する機能です。新入社員の加入、従業員の異動、退職者の離脱など、ユーザーのライフサイクルに関わるプロセスを自動的に管理することができます。

例えば、新入社員の入社日の7日前に管理職へメールを送信するなど、ユーザーの属性に基づいて特定のアクションを設定・自動化することができます。また、 Azure Logic Apps と連携させることにより、より複雑なワークフローを実装することも可能です。

アクセスレビュー

アクセスレビューは、アプリケーションへのアクセス権限、ロールの割り当て状況を効率的にレビューし、管理するためのツールです。

不適切なアクセス権を持つユーザーを特定し、適切なユーザーに適切な権限が割り当てられているかどうかを定期的にチェックすることができます。セキュリティ強化・コンプライアンス確保の上で不可欠な役割を果たします。

特権ID管理

特権 ID 管理とは、組織内の特権アクセスを管理、制御、監視する機能です。この機能により、 Microsoft Entra ID 、 Azure 、 Microsoft 365 などのサービスの重要なリソースへのアクセスを厳格に管理することができます。

特権ロールの承認要求や多要素認証の強制などを通じて、不要または過剰なアクセス権のリスクを軽減し、必要最小限のユーザーのみが機密性の高いリソースへアクセスできるようにすることで、セキュリティを強化し、誤操作や悪意のあるアクセスから保護することができます。

3. ガバナンスポリシーの設計と実装方法

Microsoft Entra ID Governance を効果的に運用するには、適切なポリシーの設計と実装が必要です。最後に、ガバナンスポリシーの設計と実装方法について解説します。

ガバナンスポリシーの設計要素

ガバナンスポリシーは下記のような設計要素で成り立っています。

IDライフサイクル

図版出典：Microsoft公式サイト

ID ライフサイクルの設計は、新入社員の入社から退職までのプロセスを設計するプロセスです。従業員の昇進などの状態変更に伴うアクセス権の追加、更新、削除など、従業員の役職変更や雇用形態の変更などによってアクセス権をどのように変更すべきかを設計します。 Microsoft Entra ID Governance を使用する上で基礎となる重要な設計要素です。

アクセスライフサイクル

アクセスライフサイクルの設計では、ユーザーのアクセス権の付与、管理、および削除のプロセス全体を計画します。適切なユーザーに適切なアクセス権限が割り当てられるよう、アクセス要件の検討、アクセス権限レベルの割り当てポリシー、監査やレビューのプロセスなどを設計します。

特権アクセス

特権アクセスの設計では、高いリスクを持つ特権アクセスを厳格に管理し、セキュリティを損なわないよう、必要な時に一時的な特権の提供、アクセスの承認プロセス、多要素認証の要求タイミング、およびアクセスの使用監視を含むセキュリティポリシーを設計します。特権アクセスは必要最小限に保ち、使用は厳密に監視し、不要になったアクセス権は迅速に削除するようにすることが重要です。

ガバナンスポリシーの実装手順

ガバナンスポリシーの実装は、 Microsoft Entra 管理センターを通じて行います。Microsoft Entra 管理センターのガバナンスダッシュボードにアクセスして、エンタイトルメント管理、アクセスレビュー、ライフサイクルワークフロー、特権 ID 管理それぞれの機能の設定を行います。

ポリシーの設計段階で定義したアクセス要件に基づき、適切なアクセス管理ポリシーを作成・適用します。なお、特定のユーザーやユーザーグループ、リソースごとにカスタマイズすることもできます。

4. まとめ

本記事では、 Microsoft Entra ID を用いたガバナンス強化とはどのようなものか、そしてアイデンティティ管理のための必要な機能とメリット、ガバナンスポリシーの設計と実装手順について解説しました。

Microsoft Entra ID Governance を適切に導入・運用することで、一貫した ID の管理、アクセス権限の制御を行うことができ、総合的なセキュリティ強化とコンプライアンス遵守につなげることができます。ぜひ専門家の支援を受けながら使用を検討してみてください。

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag： Microsoft Entra ID Governance

• 

  Microsoft Entra IDとは？ オンプレAD、Azure ADとの違いや機能、エディション、移行方法をわかりやすく解説

• 

  Microsoft Entra IDへの移行についてポイントを解説