Contents
Microsoft Entra IDの初期設定を成功させる実践ガイド: 最新版（2023年時点）
Microsoft Entra IDの初期構成は、企業や教育機関にとってセキュリティ基盤を築く上で不可欠なプロセスです。本記事では、テナント作成からセキュリティポリシーの設定までを網羅した手順を提供し、IT管理者が最新版で導入する際のポイントを解説します。
導入: Microsoft Entra IDの概要と初期設定の意義
Microsoft Entra IDは、クラウド環境におけるユーザー認証・アクセス管理を担うIDプロバイダーです。多要素認証（MFA）や条件付きアクセスポリシーといった機能が強化され、中小企業でも導入の価値があります。
初期設定は「組織のセキュリティポリシーを一貫して実装するための土台」となります。特に教育機関では、ユーザー数の増加に伴うアクセス制御や認証失敗時の対応が求められます。以下で具体的な手順を解説します。
テナント作成時のドメイン登録手順
Microsoft Entra IDの利用にはテナント作成とドメイン登録が必要です。公式ドキュメントに沿ったステップを時系列で説明します。
ドメイン所有権の証明プロセスは、DNSレコードの設定がカギです。
ドメイン登録の基本手順
- Microsoft 365アカウントの準備: テナント作成には既存のMicrosoft 365アカウントが必要です。管理ユーザーとして登録されたメールアドレスでログインしてください。
- ドメイン登録と所有権確認: Azure portalで「ドメイン」セクションにアクセスし、組織用ドメインを登録します。
注意点: ドメインのDNS設定（TXTレコード）は、24時間以内に完了しないと所有権が失効する可能性があります。メールアドレスを確認するステップも必ず実施してください。
| 手順 | 内容 | 注意点 |
|---|---|---|
| 1. テナント作成 | Microsoft 365アカウントでAzure portalにログインし、テナントを作成 | 初回は「onmicrosoft.com」ドメインが自動割り当てられますが、本番環境では自社ドメイン登録が必要 |
| 2. ドメイン登録 | 「ドメイン管理」セクションから所有するドメインを追加 | TXTレコードの設定に時間がかかる場合があります |
Microsoft Entra IDとの統合方法
Microsoft Entra IDはAzure AD（旧名称）と連携し、アプリケーションやリソースへのアクセス制御を行います。OAuth 2.0とSAMLの選択基準を踏まえた手順を解説します。
フェデレーテッドIDプロバイダー構成では、認証フローが大きく変わります。
OAuth 2.0 vs SAMLの選定ガイド
- OAuth 2.0: 単一サインオン（SSO）が必要な内部アプリケーション向け
- SAML: 外部システムとの統合や教育機関の学籍管理システムと連携する際に適しています
Microsoft Entra ID portalで接続設定を行う際、リダイレクトURIの指定ミスが原因で認証エラーが発生するケースがあります。 以下の手順を厳守してください。
- Microsoft Entra ID portal → 「アプリケーション登録」セクションにアクセス
- 新規登録画面で「アプリケーションタイプ」を選択し、クライアントIDとシークレットを生成
- フェデレーションIDプロバイダー（Microsoft Entra ID）を設定し、認証フローをテスト
ユーザー権限設定のベストプラクティス
ロールベースアクセス制御（RBAC）は、セキュリティと運用効率のバランスを取る重要な要素です。最小特権原則に基づく実装例を紹介します。
現場での権限管理ミス事例: 某教育機関で「教師用グループ」に過剰な管理者権限が付与され、誤ってデータの削除が発生しました。
ロール設定ガイドライン
| ロール | 許可範囲 | 用途 |
|---|---|---|
| 読み取り専用ユーザー | リソースの閲覧・ダウンロードのみ | 学生向けアカウント設定 |
| リソース管理者 | 特定フォルダへの編集権限 | 教師向けファイル管理 |
| グローバル管理者 | 全てのユーザーとリソースにアクセス可能 | 本部IT担当者限定 |
最小特権原則を実装するには、リソースグループごとにロールを分割し、必要最低限の許可範囲で設定することが推奨されます。
セキュリティポリシーの基本構成
Multi-Factor Authentication（MFA）と条件付きアクセスポリシーは、攻撃からの防御において不可欠です。最新版での導入手順を以下に示します。
MFAおよびリスクスコアリングの設定手順
- MFAの導入: Microsoft Entra ID portal → 「身分証明」セクションから「MFAポリシー」を作成し、強制的に有効化
- 条件付きアクセスポリシー: リスクスコアリング機能を活用し、異地からのアクセスや不正なログインを検出
攻撃パターン対応例: 「海外IPからのログイン時、認証失敗後は1時間間隔で再トライ不可」とするポリシー設定により、リスクスコアの上昇に迅速に対応できます。
注意: リスクスコアリング機能の詳細については、Microsoft Entra ID公式ドキュメントを参照してください。
グループ管理とアプリケーション連携
動的グループルールを活用することで、ユーザー属性に基づいた自動グルーピングが可能になります。アプリケーション登録時のAPI権限設定も解説します。
動的グループルールの作成手順
- Microsoft Entra ID portal → 「グループ」セクションへアクセス
- 新規グループを作成し、動的ルールを選択
- 以下の例を参考に属性条件を設定
- 属性条件:
user.department -eq "IT"で「IT部門」に所属するユーザーを自動追加 - 除外条件:
user.jobTitle -ne "アルバイト"など、特定職種を除外
アプリケーション登録時のAPI権限設定
- OAuthクライアントシークレットの管理方法が重要です。 クライアントシークレットはMicrosoft Entra ID portalで生成し、定期的に変更することが推奨されます。
- PowerShellを使用したクライアントシークレットの更新例:
powershell
$secret = ConvertTo-SecureString "new_client_secret" -AsPlainText -Force
Set-AzureADApplicationPasswordCredential -ObjectId <アプリケーションID> -Secret $secret -StartDate (Get-Date) -EndDate (Get-Date).AddYears(1)
トラブルシューティング例と実践的な対応策
過去の事例をもとに、認証失敗時のログ解析やドメイン登録エラーの解決法を紹介します。
認証失敗時の確認手順
- Microsoft Entra ID portal → 「監視」セクションで「アクティビティログ」を確認
- エラーコード（例：
AADSTS50057: Invalid client secret）から原因を特定 - ログイン画面の「詳細なエラー情報」を確認し、必要に応じてMicrosoftサポートチケットを開票
ドメイン登録エラーケース
- エラーコード
Invalid TXT record: DNSレコードの設定ミスが原因。再設定後、最大72時間待つ必要があります。
トラブルシューティングにはMicrosoftサポートチケットを活用することが効率的です。公式ドキュメントにも記載されているケースは、対応手順を明確に確認してください。
まとめ
- テナント作成時はドメイン登録のタイミングとDNS設定に注意
- Microsoft Entra IDとの統合ではOAuth/SAMLの選択が重要
- ユーザー権限はロールごとに細分化し、最小特権原則を徹底
- MFAや条件付きアクセスポリシーでセキュリティ基盤を強化
- グループ管理では動的グループルールを活用し、運用効率を向上
Microsoft Entra IDの初期設定は、組織のデジタルセキュリティを支える核となるプロセスです。公式ドキュメントを参照しつつ、本記事の手順で初期構成を開始してください。