Microsoft Entra ID導入ガイド - テナント作成からSSO設定まで

Microsoft Entra ID導入の基本準備とテナント作成手順

中小企業のIT管理者にとって、Microsoft Entra ID（旧Azure AD）の導入はセキュリティ強化と業務効率化につながる重要なステップです。しかし、導入初期の準備を疎かにすると後でトラブルが発生する可能性があります。ここではテナント作成前の確認事項とAzureポータルでの初期設定手順について、実務に即したポイントを解説します。

テナント作成前の確認事項

テナントを作成する前に以下の3つの準備を完了させましょう。

1. ドメイン名の取得: サブドメイン（例：company.onmicrosoft.com）を確保し、後で自社ドメインとの統合が可能になるようにしておく必要があります。
2. 管理者アカウントの用意: 事前に管理者として使用するメールアドレスとパスワードを決めておくことで、作業ミスを防げます。
3. コスト計画の策定: ライセンス費用やクラウドリソースの使用量を把握し、予算に合った導入プランを検討しましょう。

検索結果からも確認できるように、テナント作成はサブスクリプションと密接に関係しており（Qiita）、事前の確認がスムーズな導入につながります。

Azureポータルでの初期設定手順

Azureポータルでテナントを作成する際は、以下の手順に従います。

1. Microsoftアカウントの作成: https://portal.azure.com へアクセスし、「新規登録」から管理者アカウントを生成します。
2. テナント名とドメイン名の入力: 「テナント名」は会社名やプロジェクト名に合わせて設定し、「ドメイン名」は取得済みサブドメインを指定します。
3. 初期パスワードの設定: 管理者アカウントで使用する初期パスワードを設定し、後日変更できるようにしておくと安心です。

この段階で「Entra ID Premium」や「Microsoft 365」など、追加サービスの有無も確認することが重要です（TechTarget）。

ハイブリッド同期設定によるオンプレミスADとの統合方法

既存のWindows Server環境とEntra IDを連携させることで、ユーザー管理を効率化できます。しかし、設定が複雑なため、手順に注意が必要です。

Active Directory Connectのインストール手順

オンプレミスのActive Directory（AD）とEntra IDを同期させるには、「Azure AD Connect」を導入します。

1. AD Connectのダウンロード: https://www.microsoft.com/en-us/download/details.aspx?id=45520 からインストーラーを取得します。
2. インストールの実行: Windows Server上でインストーラーを起動し、Entra IDテナントに接続する際の管理者アカウント情報を入力します。
3. 同期設定の選択: ユーザーとグループの同期、パスワードの同期など、必要に応じてオプションを選択します。

インストール後、同期タスクが正しく実行されているかを確認する必要があります（Microsoft Learn）。

パスワードポリシーの連携設定

オンプレミスADとの同期において、パスワードポリシーを一致させることで、ユーザーが混乱しないようにします。

1. Entra ID側でポリシーを設定: Azureポータルから「パスワードの複雑性要件」や「再認証期限」などを調整します。
2. AD側の同期チェック: 「Azure AD Connect」のログを確認し、同期が適切に行われているかを検証しましょう。

トラブルシューティングポイント: シンクロナイズレーションエラーは、「イベントビューアー」で「Microsoft Azure Active Directory Sync」のログをチェックすることで解決できます。

デバイス自動参加で端末管理を効率化する方法

リモートワークが普及した現代では、社員が使用するWindows 10/11デバイスもEntra IDに登録し、セキュリティと管理を一元化することが重要です。

Azure Device Registrationの設定手順

Azure Device Registration（AD デバイス登録）は、ユーザーが自らデバイスをEntra IDに登録する仕組みです。

1. ポータルでの有効化: Azureポータル →「Microsoft Entra ID」→「Device registration」から機能を有効化します。
2. グループポリシーの設定: Windows 10/11に登録されたデバイスが自動的にEntra IDに参加するように、グループポリシーで設定を行います。

管理者は、登録されていないデバイスは管理者承認が必要になるため、セキュリティ強化の観点からも有効です（note）。

グループポリシーとの連携

ADで設定されたグループポリシーや、Entra IDの条件付きアクセスポリシーを組み合わせて、デバイスごとのアクセス制限を細かく設定できます。

• 例: Windows 10の登録済みデバイスのみにOffice 365へのアクセスを許可
• 非同期時のフォールバック策: データ漏洩リスクがあるため、登録されていない端末は自動的にネットワークから遮断することが望ましいです。

SSO導入で業務効率化を実現する具体的な手順

シングルサインオン（SSO）の導入により、社員がさまざまなクラウドアプリケーションにログインする際の手間を大幅に削減できます。特にOffice 365や自社開発アプリとの連携は必須です。

アプリケーションとの連携設定例

Entra IDにSSO機能を有効化した後、以下のようにアプリケーションごとに接続します。

1. Office 365: Azureポータルの「Enterprise applications」から既存アプリを選択し、「Single sign-on」を設定します。
2. 自社開発アプリ: プロバイダーとしてEntra IDを選択し、SAML認証情報を提供して接続します。

連携時のポイント：SSOのユーザー認証フローが正しく設定されているかをテストすることが重要です（TechTarget）。

ユーザー認証フローの確認方法

SSO導入後は、以下のようにユーザーのログイン動作をチェックします。

• Office 365にアクセス: Entra IDを通じて自動的にログインされるかテスト
• 自社アプリケーションへアクセス: SAML認証が正しく行われるか確認
• エラーログの確認: Azureポータルで「Authentication logs」を参照し、異常がないかチェック

このように設定ミスを防ぎつつ、SSOの安定運用を実現しましょう。

条件付きアクセスポリシーでセキュリティ強化する実践ガイド

Entra IDの条件付きアクセスポリシー（Conditional Access）は、ユーザーとデバイスのリスクに応じてアクセス制限を行う仕組みです。中小企業でも導入を検討すべき機能です。

リスクベースのポリシー作成手順

1. 条件の設定: 例えば、「外部ネットワークからアクセスするユーザー」や「非登録デバイス」など、アクセス対象となる状況を定義します。
2. リスクレベルの判定: 「中程度以上」に設定し、リスクが高くなると自動的にマルチファクター認証（MFA）を強制します。
3. ポリシーの適用: ポリシーを作成後、特定のユーザーまたはグループに対して適用させます。

検索結果によると、条件付きアクセスは「Entra ID導入の基本」であり、中小企業でも実装可能です（app-tatsujin）。

多要素認証の導入例

MFAは、社内ネットワークと外部アクセスを区別して導入することが推奨されます。

具体的な導入方法や無料チェックリストについては、後述のCTAリンクをご確認ください。