Contents
Microsoft Entra IDの特権アクセス管理（PIM）導入前の準備
Microsoft Entra IDを活用する際、特権アイデンティティ管理（PIM）の設定はセキュリティ体制の核となる重要なステップです。特にIT管理者やセキュリティ担当者は、「Entra ID 特権アイデンティティ管理 設定手順」を正しく理解しておかなければ、不適切なアクセス権付与によるリスクが生じます。本記事では、PIMの導入に必要なライセンス確認からモニタリング設定まで、ステップバイステップで解説します。
Entra ID Governanceライセンスの確認方法
Entra IDにおける特権アクセス管理（PIM）を有効化するには、Microsoft Entra ID GovernanceまたはP2ライセンスが必須です。ライセンス不足では設定ができないため、事前に確認が必要です。以下に、ライセンスの種類と用途について整理しました。
Privileged Identity Management(PIM)の有効化手順
PIMは、管理者アカウントやアプリケーションへのアクセスを厳格に制御する仕組みです。導入前の準備が整った後、Azureポータル経由で有効化します。
AzureポータルでのPIM有効化手順
- Azureポータルにアクセスし、「Microsoft Entra ID」を選択します。
- 左側メニューから「特権アイデンティティ管理（PIM）」を開きます。
- 「サービスの有効化」ボタンをクリックし、Microsoft Entra ID Governanceライセンスを確認してアクティブ化します。
参考: 詳細な手順はMicrosoft公式ドキュメントに記載されています。
ポリシー設定の初期構成
PIMを有効化した後、ポリシーを初期設定する必要があります。これにより、不正なアクセスリスクが大幅に抑圧されます。
初期ポリシー設定手順
- 「ポリシー」セクションを開き、「特権アクセスの制限」を設定します。
- セキュリティグループやユーザーごとのアクセス制限を定義します（例: 許可時間、承認フロー）。
ポイント: 初期設定は最小限の特権アクセスを原則とし、セキュリティポリシーに即した柔軟なルール構築が重要です。
特権ロールの分類と割当設定
PIMでは「管理者ロール」と「アプリケーションロール」を分けて管理する必要があります。誤った割当はセキュリティホールを生むため、慎重に行うことが重要です。
管理者ロールとアプリケーションロールの区別
| ロールタイプ | 説明 | 例 |
|---|---|---|
| 管理者ロール | 人間のユーザーに割り当てられるロール（例: グループ管理者） | Group Administrator |
| アプリケーションロール | 自動化やサービスアカウント向けのロール（例: 認証管理者） | Authentication Admin |
ポイント: 管理者ロールは「最小限の特権アクセス」を原則とし、アプリケーションロールは必要に応じて時限付きで割り当てましょう。
ユーザーごとのロール割当手順
- PIMポータルで「ロール割当の管理」を開きます。
- 対象ユーザーまたはサービスプリンシパルを選択し、「ロールの追加」をクリックします。
- 必要なロールを選んで、承認フロー（自動承認/多要素認証）を設定します。
注意: 高権限ロール（例:
Global Administrator）は、JITまたはポリシー制限で常に有効化しないようにしてください。
Just-In-Time(JIT)アクセスの構成方法
Just-In-Time（JIT）とは、特権アクセスを「必要なときにのみ」提供する仕組みです。これにより、アクセス期間が長すぎるリスクを解消できます。
JITの基本概念と動作原理
| 要点 | 内容 |
|---|---|
| 目的 | 特権ロールを常に有効化せずに、必要なときのみ使用可能にする |
| 仕組み | リクエスト→承認→アクセス提供→自動削除のサイクル |
例: サーバー管理者が1時間だけリモートデスクトップにアクセスする際、JITを経由して一時的な資格情報を発行します。
JITによる一時的アクセス設定
- PIMポータルで「JITアクセスの管理」を開きます。
- 保護したいリソース（例: Azure VM）を選択し、「JITアクセスの有効化」をクリックします。
- セキュリティグループや時間制限を設定し、承認フローを指定します。
参考: 詳細な監査ログ設定についてはMicrosoft公式ドキュメントを参照してください。
活動監査ログの設定と監視
PIM経由でのアクセスはすべて記録されるため、監査ログの適切な管理が不可欠です。異常なアクセスや不正利用を早期に検出するには、以下のような設定が必要です。
アクセスログの収集先指定
- Azureポータルで「アクティビティ ログ」を開きます。
- 「イベントのフィルタリング」から、「特権ロールの割当・アクセス」を検索条件にします。
- ログの出力先として「Azure Monitor」または「SIEMツール（例: Splunk）」と連携させます。
異常アクティビティの検出方法
| 検出項目 | 対応策 |
|---|---|
| 異常時間帯のアクセス | タイムゾーン制限を設定し、深夜アクセスを許可しない |
| 頻繁なロール変更 | 自動通知でセキュリティチームに報告する |
参考: 詳細な監査ログ設定についてはMicrosoft公式ドキュメントを参照してください。
まとめ
本記事では、Microsoft Entra ID 特権アイデンティティ管理 設定手順をステップバイステップで解説しました。
- ライセンス確認からPIMの有効化まで、導入前の準備が不可欠です。
- 管理者ロールとアプリケーションロールを明確に区分し、最小限の特権アクセスを実施しましょう。
- JIT設定で必要時のみアクセスを許可し、リスクを低減します。
- 監査ログを活用して、異常なアクティビティを見逃さない体制を整えましょう。
これらのステップにより、Microsoft Entra IDのセキュリティ体制は大幅に強化されます。