Microsoft 365 / 管理者ロールの分担と緊急アクセス用アカウントの準備

Microsoft 365 の管理権限は、すべての担当者にグローバル管理者ロールを付与するのではなく、業務に必要な役割だけを分けて付与するべきです。同時に、通常の管理者アカウントからアクセスできない事故に備えて独立した緊急アクセス用アカウントを準備し、定期的に検証する必要があります。

管理者ロールを分ける理由

管理者ロールは設定を閲覧できる範囲と変更可能な作業を決定します。ライセンス管理者、ユーザー管理者、Exchange 管理者、SharePoint 管理者などは、それぞれ異なる責任に合わせて設計されています。ひとつのアカウントに不必要に広い権限を与えると、アカウント侵害やミスの影響範囲も大きくなります。

MicrosoftのMicrosoft 365管理者ロールガイドでは、最小権限と管理者数の制限を推奨しています。役割を決める際は、担当者が行う具体的な作業をまず書き出し、その作業をサポートする最も制限的な役割を選んでください。役割名だけで権限を推測せず、詳細な権限を確認します。

業務に必要な役割を選ぶ例

例えば、人事担当者が入社者一覧を提供し、IT担当者がアカウントを作成する場合、人事担当者にユーザー管理権限を与えずに承認手続きで連携することもできます。「会社に必要な業務」と「この人が直接行うべき作業」を分けて判断してください。役割の割り当ては、権限を持つ別の管理者が行う必要があります。

一般管理者への役割の割り当て方法

1. Microsoft 365 管理センターで[役割] → [役割の割り当て]を開きます。現在のアカウントで役割を管理する権限が必要です。

2. 業務に合った役割を選択し、権限の説明を読みます。必要に応じて Microsoft Entra 管理センターでより細分化された役割を確認します。
3. [割り当て済み]で担当者を追加した後、保存します。運用記録には付与理由、承認者、適用範囲と再確認スケジュールを残します。
4. 該当アカウントで必要な業務ができるか確認し、不要な権限は削除します。権限の反映には時間がかかることがあるため、ログインセッションを再度開始して確認します。

ユーザー詳細画面の[役割管理]でも役割を変更することができます。Microsoftの役割割り当て手順は両方の経路について説明しています。

保存後は、付与された担当者が新しいログインセッションで必要なメニューと業務を確認します。読み取り業務であれば参照のみを確認し、変更権限を確認する場合は承認された試験対象と元に戻せる値を設定します。エラーが発生した場合は、組織や役割の対象範囲および割り当て状況を先に確認し、すぐにグローバル管理者に昇格させません。

業務が終了したり担当者が変わった場合は、同じ役割割り当て → 該当役割 → 割り当て済みで対象者を削除して再度確認します。複数の役割を持っている場合、1つを削除しても別の経路で同じ作業が可能なことがあります。組織でPIM（Privileged Identity Management、必要なときに権限を有効化する管理機能）を使用している場合は、アクティブな役割と適格な役割を区別して確認してください。

緊急アクセス用管理者アカウントとは何ですか？

緊急アクセス用アカウントとは、通常使用している管理者アカウントや認証方法、または外部IDシステムに問題が発生した場合に組織に再度アクセスするためのアカウントです。日常業務用アカウントをもう一つ作成するのとは異なります。Microsoftは非常用アクセスアカウントのガイドラインにおいて、クラウド専用アカウントを2つ以上用意し、通常の運用アカウントとは異なる認証経路を設計し、使用状況を監視し、定期的にテストすることを推奨しています。

緊急アクセス用アカウントは基本 onmicrosoft.com ドメインのクラウド専用アカウントとして作成し、オンプレミスディレクトリ同期や外部認証サーバーに依存しないよう設計します。2026年6月に更新された上記Microsoftのガイドラインでは、一般管理者と異なるフィッシング耐性のある認証手段を使用し、ログインをブロック・制限する条件付きアクセス ポリシーでは緊急アクセス用アカウントを除外するよう案内しています。レポート専用ポリシーはログインを阻止しないため、その理由だけで除外する必要はありません。

この例外は、パスワードだけでアクセスするように作れという意味ではありません。FIDO2パスキー・セキュリティキーや、用意された公開鍵基盤(PKI)の証明書ベース認証などにより、必須の多要素認証要件を満たす必要があります。日常アカウントが携帯電話認証に依存している場合でも、緊急アクセス用アカウントを同じ電話にのみ依存するように構成してはいけません。PIMを使用する場合、緊急アクセス用アカウントのグローバル管理者ロールは、承認が必要な有資格状態ではなく常時アクティブ状態が推奨されます。

緊急アクセス用アカウントの準備と検証手順

1. 現在のグローバル管理者と認証依存関係を調査します。連携されたオンプレミスIDや単一認証手段にのみ依存していないか確認します。
2. 組織のポリシーに従い、クラウド専用の緊急アクセス用アカウントを2つ以上設計します。アカウント名は用途が識別できるようにしますが、公開文書やスクリーンショットに露出しないようにします。
3. グローバル管理者権限と認証方法をMicrosoftの指針に従って設定し、通常の管理者アカウントとは独立した使用経路を確保します。設定方法は組織のライセンスやポリシーにより異なります。
4. アカウントの使用および設定変更に関する警告と監査手順を整備します。緊急アクセス用アカウントでログインした場合は、事象の記録と事後レビューが残るようにします。
5. 管理された環境で定期的にログインを試験します。試験後、ログと警告が正常に残っているか確認し、担当者が変更された場合はアクセス手順を更新します。

定期試験で確認すべき結果

Microsoftは緊急アクセス用アカウントを最低90日ごとに検証することを推奨しています。管理者の交代、認証ポリシーの変更、保管場所の変更後も再点検してください。実際の障害時に初めてログインするアカウントとならないように、「アカウントが存在する」と「復旧に使用できる」を区別することが重要です。

1. セキュリティ担当者に予定された試験であることを知らせ、承認された担当者が資格情報および指定された安全な作業環境にアクセスできるか確認します。保管庫へのアクセス自体が障害中の業務アカウントに依存している場合、復旧経路も塞がれる可能性があります。
2. 一般アカウントのセッションを再利用せず、緊急アカウントでログインします。必要な認証手段が機能し、管理機能にアクセスできるか確認します。組織のポリシーを試験目的で任意に解除しません。
3. ログイン・監査記録に実際のアカウントと時刻が残るか、他の管理者に監視警告が送信されるか確認します。警告を受け取れなかった場合、正常運用の準備が完了したとは見なしません。
4. ログアウト後、試験結果、アクセス者、失敗項目と修正担当者を記録します。実際に緊急使用した後には、その時実行した作業を調査し、公開の可能性がある資格情報と保管手順を再検討します。

監視はEntraサインインログのアカウントオブジェクトIDを基準に設計できます。Azure Monitorや組織のセキュリティ監視ツールで通知を接続する場合、まずログのエクスポート、ストレージと通知経路を準備する必要があり、別途権限・費用が発生する可能性があります。アカウントを作成しただけで自動警告は構成されません。実際の緊急アカウントのアドレス、回復コードおよびセキュリティキーの保管場所は公開文書に記載せず、制御された運用記録に残してください。