Azure Entra IDテナント作成と初期設定｜エンタープライズID管理の第一歩

1. Microsoft Entra ID（旧Azure AD）とは？

1. Microsoft Entra ID（旧Azure AD）とは？

Microsoft Entra ID（マイクロソフト エントラ アイディー）は、マイクロソフトが提供するクラウドベースのアイデンティティおよびアクセス管理サービスです。かつてはAzure Active Directory（アジュール アクティブ ディレクトリ：略称Azure AD）と呼ばれていました。2023年にブランド名が変更されましたが、機能自体はさらに進化しています。

企業がクラウドサービスを利用する際、誰がどのデータにアクセスできるかを一括で管理する必要があります。Entra IDは、その「誰が（ID）」と「何ができるか（アクセス権限）」を司る司令塔のような役割を果たします。例えば、Microsoft 365（マイクロソフト サンロクゴ）へのログインや、自社開発したWebアプリケーションへのサインインも、すべてこの仕組みで制御されます。

特に、現代のセキュリティで重要視されるゼロトラスト（何も信頼しないという前提で、常に認証・認可を確認する考え方）を実現するための必須ツールと言えるでしょう。

2. テナントという概念を理解する

2. テナントという概念を理解する

Azureの世界で頻繁に登場する「テナント」という言葉。これは、特定の組織専用に予約されたMicrosoft Entra IDサービスの専用インスタンス（実体）のことを指します。アパートの一室を借りるイメージに似ており、その中にはユーザー情報、グループ情報、アプリケーション登録情報などが格納されます。

1つのテナントは他のテナントから完全に隔離されているため、セキュリティが保たれます。企業は通常、会社全体で1つのテナントを持ちますが、開発環境やテスト環境として別のテナントを切り出すことも可能です。まずは、自分たちの組織専用の「箱」を作る作業から始まります。

3. Entra IDテナントの作成手順

3. Entra IDテナントの作成手順

テナントの作成は、Azureポータル（管理画面）から行います。以下の手順で進めていきましょう。ただし、既にMicrosoft 365を契約している場合は、自動的にテナントが作成されていることが多いです。今回はゼロから新規作成する場合の流れを説明します。

1. Azureポータル（portal.azure.com）にログインします。
2. メニューから「リソースの作成」を選択し、「Microsoft Entra ID」を検索します。
3. 「作成」ボタンをクリックし、ディレクトリの種類を選択します（通常はAzure Active Directory / Microsoft Entra ID）。
4. 「構成」タブで、組織名（例：株式会社サンプル）と初期ドメイン名（例：sample-corp.onmicrosoft.com）を入力します。
5. 「確認および作成」をクリックして、内容に問題がなければ「作成」を実行します。

ここで決める「初期ドメイン名」は後から変更できませんが、独自のカスタムドメイン（例：example.com）を後で追加して上書きすることが可能ですので、安心してください。

4. ユーザーの追加とライセンス割り当て

4. ユーザーの追加とライセンス割り当て

テナントができたら、次は社員（ユーザー）を登録します。ユーザーを作成しないと、誰もシステムを利用できません。ユーザー作成時には、氏名、ユーザー名（メールアドレス形式）、役職などを設定します。

また、作成したユーザーがAzureのリソースを使ったり、Officeアプリを使ったりするためには、ライセンスの割り当てが必要です。Entra IDには無料版（Free）のほか、P1やP2といった高度なセキュリティ機能が使える有料エディションがあります。

ここで、プログラムからユーザー情報を参照する際のイメージを確認してみましょう。例えば、Graph API（グラフ エーピーアイ）を使用してユーザー情報を取得する際のC#コード例は以下のようになります。

// ユーザー情報のモデルクラス例
public class EntraUser
{
    public string DisplayName { get; set; }
    public string UserPrincipalName { get; set; }
    public string JobTitle { get; set; }
}

// ユーザーを表示する処理
var newUser = new EntraUser 
{ 
    DisplayName = "山田 太郎", 
    UserPrincipalName = "taro.yamada@example.com",
    JobTitle = "システム管理者"
};
Console.WriteLine($"登録ユーザー: {newUser.DisplayName} ({newUser.JobTitle})");

登録ユーザー: 山田 太郎 (システム管理者)

5. PowerShellを使用したユーザー管理の自動化

5. PowerShellを使用したユーザー管理の自動化

GUI（マウス操作の画面）で1人ずつ登録するのは、人数が多いと大変です。ITエンジニアは、Microsoft Graph PowerShell（マイクロソフト グラフ パワーシェル）というツールを使って、コマンドラインから一括登録を行うことがよくあります。これにより、作業ミスを減らし、効率的に管理できます。

以下は、現在ログインしているユーザーのリストを表示するコマンドの例です。

Connect-MgGraph -Scopes "User.Read.All"
Get-MgUser -Select "displayName,userPrincipalName"
DisplayName  UserPrincipalName
-----------  -----------------
Admin User   admin@sample.onmicrosoft.com
Taro Yamada  taro.yamada@sample.onmicrosoft.com

このように、コマンド一つで情報を取得できるのがクラウド管理の強みです。

6. カスタムドメインの設定

6. カスタムドメインの設定

初期ドメイン「onmicrosoft.com」のままでも利用は可能ですが、ビジネスで使うなら自社のドメイン（例：@company.co.jp）を使いたいですよね。これを実現するのがカスタムドメインの設定です。設定には、お使いのドメイン管理サービス（お名前.comなど）のDNS（ディーエヌエス）設定に、Azureから指定されたTXTレコードを追加する必要があります。

これにより、社員は普段使っている会社のメールアドレスをそのままログインIDとして利用できるようになります。利便性とブランドイメージの向上に繋がります。

7. セキュリティの要！多要素認証（MFA）の有効化

7. セキュリティの要！多要素認証（MFA）の有効化

クラウド管理において最も重要なのがセキュリティです。IDとパスワードだけの認証は、流出のリスクが高いため推奨されません。そこで必ず設定してほしいのが多要素認証（MFA）です。スマートフォンのアプリ（Microsoft Authenticator）やSMS（ショートメッセージ）を使って、二段階で確認を行います。

初期設定として「セキュリティの既定値群」を有効にすると、組織全体に簡単にMFAを導入できます。初心者のうちは、この設定をオンにすることから始めましょう。

データベースでユーザーの認証状態を管理する場合のイメージをSQLで表現してみると、以下のようになります。

id | user_name      | mfa_enabled | last_login
---+----------------+-------------+-------------------
1  | taro.yamada    | true        | 2026-03-31 09:00
2  | hanako.sato    | true        | 2026-03-31 10:15
3  | ichiro.suzuki  | false       | 2026-03-25 14:20
4  | jiro.tanaka    | true        | 2026-03-31 11:05

-- MFAが有効になっていないユーザーを抽出する
SELECT user_name, last_login
FROM user_security_status
WHERE mfa_enabled = false;

user_name      | last_login
---------------+-------------------
ichiro.suzuki  | 2026-03-25 14:20

このように、セキュリティ設定状況を把握し、適切に保護することが管理者の責務です。

8. グループ管理で効率的な権限設定

8. グループ管理で効率的な権限設定

ユーザーが100人、1000人と増えたとき、一人ひとりに「このフォルダを見ていいよ」「このアプリを使っていいよ」と設定するのは現実的ではありません。そこで使うのがグループ機能です。「営業部」「総務部」といったグループを作り、そのグループに対して権限を付与します。ユーザーをグループに入れるだけで、必要な権限が自動的に引き継がれます。

C#で「グループに所属しているか」を判定するロジックの例を見てみましょう。

string userRole = "Sales";
bool isAdmin = false;

// 条件分岐による権限チェック
if (userRole == "Admin")
{
    Console.WriteLine("管理画面へのアクセスを許可します。");
}
else if (userRole == "Sales")
{
    Console.WriteLine("売上データのみ閲覧可能です。");
}
else
{
    Console.WriteLine("アクセス権限がありません。");
}

売上データのみ閲覧可能です。

9. 条件付きアクセスによる高度な制御

9. 条件付きアクセスによる高度な制御

Entra ID P1以上のライセンスが必要になりますが、条件付きアクセスは非常に強力な機能です。「社外からのアクセスの時だけMFAを求める」「特定の国からのログインを拒否する」「会社が支給したパソコン以外からはアクセスさせない」といった、柔軟なルール作りが可能です。これにより、利便性を損なわずに強固な守りを固めることができます。これが、現代のエンタープライズID管理のゴールと言えるでしょう。

まとめ

まとめ

ここまで、Microsoft Entra ID（旧Azure AD）のテナント作成から、初期設定、ユーザー管理、そしてセキュリティ強化の重要なステップについて詳しく解説してきました。クラウド時代のアイデンティティ管理は、単なるログイン情報の保持にとどまらず、組織全体のセキュリティと利便性を左右する極めて重要な基盤です。

Microsoft Entra ID導入のポイントを再確認

まず、第一歩として「テナント」という専用の領域を確保することが重要です。これは家を建てるための土地を手に入れるような作業であり、すべてのクラウド活動の出発点となります。テナントを作成した後は、初期ドメイン（onmicrosoft.com）での運用だけでなく、企業の信頼性を高めるために「カスタムドメイン」の設定を検討しましょう。これにより、既存の会社メールアドレスをそのままIDとして利用でき、ユーザーの利便性が飛躍的に向上します。

次に、管理の効率化です。一人ひとりのユーザーを手動で作成するのも良いですが、組織が拡大するにつれて、Microsoft Graph PowerShellなどを活用した自動化のスキルが求められます。また、個別に権限を付与するのではなく、「グループ」単位でアクセス制御を行うことで、管理ミスを減らし、運用の透明性を確保できます。

セキュリティ対策は「多要素認証」から

そして、何よりも忘れてはならないのがセキュリティです。パスワードだけの認証は現代のサイバー攻撃に対して脆弱です。Microsoft Authenticatorなどのアプリを利用した「多要素認証（MFA）」を全ユーザーに適用することは、管理者として最優先で取り組むべき課題です。さらに、将来的にライセンスをアップグレードすることで、場所やデバイスの状態に応じてアクセスを動的に制御する「条件付きアクセス」を活用し、ゼロトラストモデルの構築を目指しましょう。

Azure Entra IDは非常に多機能ですが、最初からすべてを完璧に使いこなす必要はありません。まずは安全なテナントを作り、ユーザーが正しく、かつ安全にログインできる環境を整えることから始めてください。この記事の内容をベースに、一歩ずつクラウド管理のスキルを高めていきましょう。

データベースでのユーザー権限管理イメージ

システム内部で、どのユーザーがどのグループ（ロール）に属し、どのような認証状態にあるかを管理するデータベースのテーブル構造を考えてみましょう。以下は、管理システムにおけるユーザーマスターの構成例です。

user_id | login_id            | display_name | department_id | mfa_status | account_status
--------+---------------------+--------------+---------------+------------+---------------
1       | taro@example.com    | 山田 太郎    | 10            | active     | enabled
2       | hanako@example.com  | 佐藤 花子    | 10            | active     | enabled
3       | ichiro@example.com  | 鈴木 一郎    | 20            | inactive   | enabled
4       | jiro@example.com    | 田中 次郎    | 30            | active     | disabled
5       | saburo@example.com  | 伊藤 三郎    | 20            | active     | enabled
6       | yoshiko@example.com | 高橋 良子    | 10            | active     | enabled

次に、SQLを使用して「MFAが有効で、かつアカウントが有効なユーザー」のみを抽出するクエリの例です。

-- 有効なセキュリティ設定を持つユーザーの一覧を取得する
SELECT 
    user_id, 
    display_name, 
    login_id 
FROM 
    users 
WHERE 
    mfa_status = 'active' 
    AND account_status = 'enabled';

user_id | display_name | login_id
--------+--------------+---------------------
1       | 山田 太郎    | taro@example.com
2       | 佐藤 花子    | hanako@example.com
5       | 伊藤 三郎    | saburo@example.com
6       | 高橋 良子    | yoshiko@example.com

プログラムによるテナント情報の出力例

C#を使用して、テナント名やドメイン情報をコンソールに表示する簡単なロジックを書いてみましょう。

using System;

public class AzureTenantInfo
{
    public string TenantId { get; set; }
    public string DomainName { get; set; }
    public bool IsMfaRequired { get; set; }

    public void DisplayConfig()
    {
        Console.WriteLine("--- Azure Entra ID 設定情報 ---");
        Console.WriteLine($"テナントID: {TenantId}");
        Console.WriteLine($"ドメイン名: {DomainName}");
        Console.WriteLine($"MFA強制設定: {(IsMfaRequired ? "有効" : "無効")}");
    }
}

class Program
{
    static void Main()
    {
        var myTenant = new AzureTenantInfo
        {
            TenantId = "abc-1234-defg-5678",
            DomainName = "sample-corp.onmicrosoft.com",
            IsMfaRequired = true
        };

        myTenant.DisplayConfig();
    }
}

--- Azure Entra ID 設定情報 ---
テナントID: abc-1234-defg-5678
ドメイン名: sample-corp.onmicrosoft.com
MFA強制設定: 有効

Linux環境からの接続確認

LinuxサーバーなどからAzure CLIを使用して、現在のログインアカウントを確認する際のコマンド例です。

az account show --query "{user:user.name, tenant:tenantId}"
{
  "tenant": "abc-1234-defg-5678",
  "user": "admin@sample-corp.onmicrosoft.com"
}