Azure Managed Service Column ＜Azure運用コラム＞Azure ADの「テナント」とは？使用方法やテナント間アクセス設定方法についても解説

アクセス制限の設定方法を知ってセキュリティを高めよう

テレワークが普及してきたことにより、仮想デスクトップ基盤を導入する企業が増加しています。

仮想デスクトップ基盤のひとつである、 Microsoft の Azure を使用していると、「テナント」という言葉を聞くことが多いのではないでしょうか。 Azure AD を使用するにあたって、テナントの概念を理解することは必要不可欠です。

そのため、本記事ではテナントとその使用方法を理解するため、テナントの概要やセキュリティを考慮した設定方法などを解説していきます。

1.Azure ADテナントの概要

テナントの概要を理解するためには、テナントの概要と Azure AD との関係について知る必要があります。以下に解説します。

Azure ADにおけるテナントとは

テナントとは、 Azure AD 内において、ユーザーやアプリケーションをひとまとめにした、グループのようなものを指します。テナントと呼ばれていることからわかるように、ビルのテナントに入るイメージをすると分かりやすいでしょう。

Azure という建物の中に自社を入居させたい場合、テナントとして自社の社員や使用するアプリケーションをひとまとめにする必要があります。管理者は、テナント内に組織のユーザーや使用するアプリをひとまとめにすることで、セキュリティやポリシーの設定をテナント単位で一括で行うことが可能になります。

Azure ADとの関係

Azure の利用をする場合は、 Azure AD テナントの作成および使用が必要です。したがって、テナントを使用したい場合も、 Azure AD の作成および使用は必須になります。

2.アクセスをテナントに制限し、セキュリティを高める方法

Azure AD では、アクセスをテナントごとに制限してセキュリティを高める方法があります。以下にその方法を解説します。

テナント制限機能について

Azure AD では「テナント制限」の機能が設けられており、指定したテナント以外のアクセスを制限する機能が存在します。

たとえば、自社のユーザーが社内 LAN の環境から Office 365 のテナントに対してアクセスする場合のみアクセスを許可して、社内 LAN 以外からのアクセスや他社のユーザーからのアクセスはブロックしたいという時に使用することが可能です。

また、テナント制限を使用するためには、 Azure AD Premium 1 のライセンスが必要となるため、もしこのライセンスを使用していない場合は、別途ライセンスが必要です。

テナントアクセス制限の仕組み

テナント制限はプロキシの設定を通じて設定することが可能です。

プロキシサーバー側に指定の http ヘッダーを入力することにより、 Azure AD がヘッダーに記載されているテナントのみにトークン（アクセス許可証）を発行してアクセスを許可し、それ以外のテナントはアクセスができないようにすることが可能です。

3.テナント間でセキュアにアクセスする方法（Azure AD External Identities）

Azure AD では、テナント間でのアクセスのセキュリティを高める方法が存在します。その方法として、クロステナントと Azure AD External Identities について解説します。

クロステナントの概要

クロステナントとは外部の Azure AD テナントと共同でアクセスをする方法のことを指しており、外部の組織のユーザーが他の組織の Azure AD へアクセスすることが可能となります。

Azure AD External Identitiesの概要

Azure AD External Identities は、クロステナントを実施する方法のひとつで、以下 2 つの設定をすることによって、外部の Azure AD テナントのアクセス管理を実施することができます。

• インバウンド設定
• アウトバウンド設定

インバウンド設定

インバウンド設定をすることで、 Azure AD テナントにアクセスできる外部ユーザーを制御することができます。組織内の特定のユーザーやグループの指定や、逆に外部ユーザーがアクセス可能な内部のアプリケーションについても指定して制限をすることができます。

アウトバウンド設定

アウトバウンド設定は、ユーザーがアクセス可能な外部組織を指定することができます。内部のユーザーが外部組織にアクセスをする際はどの外部組織にアクセスをするのか制御することができます。加えて、どの外部組織のグループやアプリケーションにアクセスできるのか、細かい指定をすることも可能です。

4.やむを得ない事情で複数のテナントが必要な場合（Azure AD B2B コラボレーション）

Azure AD の B2B コラボレーションを使用すると、複数のテナントと共同作業をすることが可能です。以下に B2B コラボレーションの概要と、その特徴について解説します。

Azure AD B2Bコラボレーションの概要

Azure AD B2B コラボレーションとは、内部のユーザーと外部のユーザーが Azure AD 上で共同作業をするためのツールです。内部ユーザーからインビテーションを送ることにより、外部ユーザーが Azure AD を使用することができます。

図版出典：Microsoft 公式サイト

Azure AD B2B コラボレーションの特徴

Azure AD B2Bコラボレーションには、以下 2 つの特徴があります。

特徴1：コラボレーション先の相手のアカウント

Azure AD B2B コラボレーションを使用する場合は、コラボレーション相手は Azure AD のアカウントを持っている必要はなく、Azure AD のユーザーでなくてもコラボレーションが可能です。

特徴2：コラボレーション相手が使用するアカウント

Azure AD のアカウントを使用する必要が無いため、コラボレーション相手は Google や Facebook といったソーシャルアカウントを使用することになります。

5.まとめ

ここまで、 Azure AD のテナントについて解説してきました。Azure AD は働き方の多様化に対応できる便利なサービスですがよりセキュアに利用するためにはテナントの理解が欠かせませんが、自社だけでの導入が難しい場合、専門家へ相談されることもお勧めします。

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag： Azure AD

• 

  Azure Virtual Desktop（AVD）の条件付きアクセスとは何か？仕組みや設定例についても紹介

• 

  Azure ADテナントとは？課金の仕組みや運用方法を解説