この記事では、Microsoft Entra のロールベースのアクセス制御 (Microsoft Entra RBAC) を使用するためのベスト プラクティスについて説明します。 これらのベスト プラクティスは、Microsoft Entra RBAC に関して Microsoft が蓄積してきたノウハウと、ユーザーの皆様の経験に基づいています。 Microsoft Entra ID でのハイブリッドおよびクラウドデプロイの特権アクセスのセキュリティ保護に関する詳細なセキュリティ ガイダンスも参照することをお勧めします。
1. 最小特権の原則を適用する
アクセスの制御戦略を計画するときは、最小特権を管理することをお勧めします。 最小特権とは、ジョブを実行するために必要な特権を管理者に正確に付与することを意味します。 管理者にロールを割り当てる際に考慮すべき 3 つのアスペクトがあります。特定の期間、特定のスコープに対する、特定の権限セットです。 当初、より広範なスコープでより広範なロールを割り当てる方が便利に思われたとしても、避けてください。 ロールとスコープを制限することで、セキュリティ プリンシパルが侵害された場合にリスクにさらされるリソースを制限することができます。 Microsoft Entra RBAC では、65 を超える 組み込みロールがサポートされています。 Microsoft Entra には、ユーザー、グループ、アプリケーションなどのディレクトリ オブジェクトを管理したり、Exchange、SharePoint、Intune などの Microsoft 365 サービスを管理したりするためのロールがあります。 Microsoft Entra の組み込みロールについて詳しくは、「 Microsoft Entra ID のロールについて」をご覧ください。 ニーズを満たす組み込みロールがない場合は、独自の カスタム ロールを作成できます。
適切なロールを見つける
適切なロールを見つけるには、次の手順に従います。
Microsoft Entra 管理センターにサインインします。
Entra ID>ロールと管理者>すべてのロールに移動します。
サービス フィルターを使用して、ロールの一覧を絞り込みます。
![サービス フィルターが開いている管理センターの [ロールと管理者] ページ。](https://learn.microsoft.com/media/best-practices/roles-administrators.png)
Microsoft Entra の組み込みロールのドキュメントを参照してください。 各ロールに関連付けられている権限は、読みやすくするためにまとめて表示されます。 ロールのアクセス許可の構造と意味を理解するには、「ロールのアクセス 許可を理解する方法」を参照してください。
タスク別の最小特権ロールのドキュメントを参照してください。
![サービス フィルターが開いている管理センターの [ロールと管理者] ページ。](media/best-practices/roles-administrators.png#lightbox)
2. Privileged Identity Management を使用して Just-In-Time アクセスを付与する
最小特権の原則の 1 つは、必要なときにのみアクセス許可を付与することです。 Microsoft Entra Privileged Identity Management (PIM) を使用すると、管理者に Just-In-Time アクセス権を付与できます。 Microsoft Entra ID で PIM を使用することをお勧めします。 PIM を使用すると、ユーザーは Microsoft Entra ロールの対象となり、必要に応じて限られた期間だけロールをアクティブ化できるようになります。 期間が経過すると、特権アクセスは自動的に削除されます。 また、承認を必須にしたり、誰かがロールの割り当てをアクティブ化したときに通知メールを受信したり、その他のロール設定を行うように PIM 設定を構成することもできます。 通知により、高度な特権ロールに新しいユーザーが追加された場合にアラートを受け取れます。 詳細については、「 Privileged Identity Management で Microsoft Entra ロール設定を構成する」を参照してください。
3. すべての管理者アカウントに対して多要素認証を有効にする
調査によると、多要素認証 (MFA) を使用する場合、アカウントは 99.9% 侵害される可能性が低くなります。
次の 2 つの方法を使用して、Microsoft Entra ロールで MFA を有効にすることができます。
4. 定期的なアクセス レビューを構成して、時間の経過に伴う不要なアクセス許可を取り消す
アクセス レビューを使用すると、組織は管理者のアクセス権を定期的に確認して、適切なユーザーのみが継続的なアクセス権を持つようにすることができます。 通常の監査は、次の理由により、管理者が非常に重要です。
- 悪意のあるアクターによってアカウントが侵害される可能性があります。
- 企業内でチームが移動します。 監査を行わないと、時間の経過と共に不要なアクセスが増える可能性があります。
アクセス レビューを使用して、不要になったロールの割り当てを見つけて削除することをお勧めします。 これにより、承認されていないアクセスや過剰なアクセスのリスクを軽減し、コンプライアンス標準を維持することができます。
ロールのアクセス レビューの詳細については、「PIM で Azure リソースと Microsoft Entra ロールのアクセス レビューを作成する」を参照してください。 ロールが割り当てられているグループのアクセス レビューの詳細については、「 Microsoft Entra ID でグループとアプリケーションのアクセス レビューを作成する」を参照してください。
5. グローバル管理者の数を 5 人未満に制限する
ベスト プラクティスとして、組織内の 5 人未満 にグローバル管理者ロールを割り当てることをお勧めします。 グローバル管理者は基本的に無制限のアクセス権を持っているため、攻撃対象領域を小さく保つことが最善の利益となります。 前述のように、これらのアカウントはすべて多要素認証で保護する必要があります。
5 つ以上の特権を持つグローバル管理者ロールの割り当てがある場合は、 グローバル管理者 ロールの割り当てを監視するのに役立つグローバル管理者アラート カードが Microsoft Entra の [概要] ページに表示されます。
![特権ロールの割り当ての数を含むカードを示す Microsoft Entra の [概要] ページのスクリーンショット。](media/best-practices/overview-privileged-roles-card.png#lightbox)
既定では、ユーザーが Microsoft のクラウド サービスに新規登録すると、Microsoft Entra テナントが作成され、そのユーザーはグローバル管理者ロールに割り当てられます。 グローバル管理者ロールに割り当てられているユーザーは、Microsoft Entra 組織内のほとんどすべての管理設定を読み取り、変更できます。 いくつかの例外を除き、グローバル管理者は Microsoft 365 組織内のすべての構成設定を読み取り、変更することもできます。 グローバル管理者は、アクセス権を昇格させてデータを読み取ることもできます。
Microsoft では、グローバル 管理者 ロールが永続的に割り当てられている 2 つのクラウド専用緊急アクセス アカウントを組織に付与することをお勧めします。 このようなアカウントは高い特権を持っており、特定のユーザーには割り当てられません。 アカウントは、通常のアカウントを使用できない場合や、他のすべての管理者が誤ってロックアウトされているような、緊急時または「ブレークグラス」シナリオに限定されます。これらのアカウントは、緊急アクセスアカウントの推奨事項に従って作成する必要があります。
6. 特権ロールの割り当ての数を 10 未満に制限する
一部のロールには、資格情報を更新する機能など、特権アクセス許可が含まれます。 これらのロールは特権の昇格につながる可能性があるため、組織内でこれらの特権ロールの割り当ての使用を 10 未満 に制限する必要があります。 特権ロールの割り当てが 10 件を超えると、[ロールと管理者] ページに警告が表示されます。
PRIVILEGED ラベルを探すことで、特権を持つロール、アクセス許可、およびロールの割り当てを識別できます。 詳細については、「 Microsoft Entra ID の特権ロールとアクセス許可」を参照してください。
7. Microsoft Entra ロールの割り当てにグループを使用し、ロールの割り当てを委任する
グループを利用する外部ガバナンス システムがある場合は、個々のユーザーではなく、Microsoft Entra グループにロールを割り当てることを検討します。 また、PIM でロール割り当て可能なグループを管理して、これらの特権グループに継続的な所有者またはメンバーがいないことを確認することもできます。 詳細については、「グループの Privileged Identity Management (PIM)」をご覧ください。
ロールを割り当て可能なグループに所有者を割り当てることができます。 その所有者は、グループに対して追加または削除されるユーザーを決定し、間接的には、ロールの割り当てを取得するユーザーを決定します。 このようにして、特権ロール管理者は、グループを使用して役割ごとにロール管理を委任できます。 詳細については、「 Microsoft Entra グループを使用してロールの割り当てを管理する」を参照してください。
8. PIM for Groups を使用して一度に複数のロールをアクティブにする
個人が PIM を介して Microsoft Entra ロールに対して 5 つまたは 6 つの適格な割り当てを持っている場合があります。 各ロールを個別にアクティブにする必要があるため、生産性が低下する可能性があります。 さらに悪いことに、多数の Azure リソースが割り当てられている場合もあり、問題が悪化します。
この場合は、 グループに Privileged Identity Management (PIM) を使用する必要があります。 PIM for Groups を作成し、複数のロール (Microsoft Entra ID と Azure のどちらかまたは両方) に対する永続的なアクセスを付与します。 このユーザーを、このグループの有資格メンバーまたは所有者にします。 アクティブ化を 1 回行うだけで、リンクされたすべてのリソースにアクセスできます。
9. Microsoft Entra ロールにクラウド ネイティブ アカウントを使用する
Microsoft Entra ロールの割り当てには、オンプレミスの同期されたアカウントを使用しないでください。 オンプレミスのアカウントが侵害された場合、Microsoft Entra リソースも危険にさらされる可能性があります。
10. きめ細かなアクセス ガバナンスに階層化されたコントロールを使用する
Microsoft Entra IDには、最小限の特権アクセスを細かいレベルで適用するのに役立つ補完的な機能がいくつか用意されています。 すべての承認シナリオに対応する機能は 1 つないため、組織の要件に基づいてこれらのコントロールをレイヤーに組み合わせます。
| 制御 | それが何をするか | いつ使用するか |
|---|---|---|
| 管理単位 | ロール割り当ての対象範囲を、特定のユーザー、グループ、またはデバイスの一部に限定します。 | テナント全体のアクセス許可を付与せずに、地域または部門の管理者に管理を委任します。 |
| カスタム ロール | ジョブ関数に必要なアクセス許可のみを持つロールを定義します。 | 組み込みロールは、特定の責任に対して広すぎるか狭すぎます。 |
| Privileged Identity Management (PIM) | Just-In-Time の期限付きの承認ベースのロールのアクティブ化を可能にします。 | 管理者や開発者を含む特権ロールのユーザーに対する永続的な特権アクセスを排除します。 |
| 条件付きアクセス | リアルタイム信号 (ユーザー リスク、デバイス コンプライアンス、場所、アプリケーション) を評価して、アクセスを強制またはブロックします。 | 変化するリスク条件に適応するコンテキストベースのアクセス決定を適用します。 |
| 資格管理 | 自動要求、承認、および有効期限のワークフローを使用して、リソースをアクセス パッケージにバンドルします。 | 大規模なプロジェクト、チーム、または組織間コラボレーションのアクセス権を管理します。 |
| 継続的アクセス評価 (CAE) | アクティブ セッション中のアクセスの再評価は、重要なイベント評価 (アカウントの無効化、パスワード リセット、管理者トークンの失効など) と条件付きアクセス ポリシーの評価 (ネットワークの場所の変更など) の 2 つのシナリオで行います。 | トークンの有効期限を待たずに、ほぼリアルタイムでポリシー変更を適用します。 |
| Azure 属性ベースのアクセス制御 (ABAC) を使用したカスタム セキュリティ属性 | ビジネス属性を使用してユーザーとサービス プリンシパルにタグを付け、ロールの割り当ての属性条件によってサポートされているAzure リソース (現在Azure Blob StorageおよびAzure Queue Storageデータ アクション) へのアクセスを制限します。 | 多数の明示的なロールの割り当てを 1 つの属性条件付き割り当てに置き換え、インベントリとレポート用に数百のアプリを分類します。 |
階層化アプローチの例: 地域のヘルプデスク管理者が自分の地域のユーザーのパスワードのみをリセットできるように、管理単位をスコープとしたカスタム ロールを割り当てます。 ロールが期限付きで承認ベースになるように、PIM のアクティブ化を要求します。 管理者がロールをアクティブ化するときに、準拠しているデバイスと多要素認証を必要とする条件付きアクセス ポリシーを適用します。 エンタイトルメント管理のアクセス レビューを使用して、管理者がまだ割り当てを必要としていることを定期的に検証します。
Note
前の表のコントロールの可用性は、Microsoft Entraライセンスレベルによって異なります。 たとえば、カスタム ロールと条件付きアクセスには P1 Microsoft Entra IDが必要であり、管理単位には管理単位をスコープとする管理者には Microsoft Entra ID P1 が必要です (作成と基本メンバーシップは Microsoft Entra ID Free で利用できます)。 Privileged Identity Management には Microsoft Entra ID P2 または Microsoft Entra ID ガバナンス が必要です。一方、エンタイトルメント管理とアクセス レビューには Microsoft Entra ID ガバナンス または Microsoft Entra スイート が必要です（一部の機能は Microsoft Entra ID P2 で利用できます）。 継続的アクセス評価の重要なイベント評価は、すべてのテナントで利用できます。条件付きアクセス ポリシーの評価部分は、条件付きアクセスに依存します。これには、Microsoft Entra ID P1 が必要です。 各レベルに含まれる内容を比較するには、Microsoft Entra プランと価格を参照してください。
これらの階層化されたコントロールが付与した内容を監査するには、「だれが 何にアクセスできるかを理解する」を参照してください。
最小特権アクセス戦略の設計の詳細については、「 Microsoft Entra ID でのハイブリッドおよびクラウドデプロイのセキュリティ保護特権アクセス」を参照してください。
