Azure ロールと Entra ID ロール: クラウド管理者が誤解しやすいポイント

By Mirko Peters · 2026-10-29

Azure RBAC と Microsoft Entra ロールの混同をやめましょう。スコープ、アクセス許可、管理方法の重要な違いを理解し、クラウドを確実に保護します。

Automatically translated with AI from the original post. Read the English original

Azure ロールと Microsoft Entra ロールは、クラウド管理者が混同しやすい 2 つの異なる認可の境界です。これら 2 つのアクセス許可の仕組みを理解することで、適切な権限を適切な ID に割り当てられます。インフラストラクチャやディレクトリ サービスに対する過剰な権限を、意図せず付与してしまうことも防げます。

重要なポイント

• Azure ロールは、仮想マシン、ストレージ アカウント、仮想ネットワークなどのクラウド リソース オブジェクトへのアクセスを制御します。
• Microsoft Entra ID ロールは、ユーザーのプロビジョニング、グループの作成、ライセンスの割り当てなど、ディレクトリ レベルのアクセス許可を管理します。
• グローバル管理者は、明示的な設定を行わない限り、Azure サブスクリプションに対する完全な制御権を自動的には受け取りません。
• スコープの違いを理解しておくことで、重大な権限昇格や、コンプライアンス監査中のセキュリティ上の見落としを防げます。

根本的な違い: リソースとディレクトリ

Microsoft クラウド エコシステムでアクセス許可の管理を始めると、「ロール」という言葉が複数の管理センターにまたがって登場します。この用語の重なりが、エンジニア、アーキテクト、サポート チームにとって最も多い混乱の原因です。頭を整理する最も簡単な方法は、変更しようとしている対象を切り分けることです。

Azure ロールは Azure リソースへのアクセスを制御します。仮想マシンのデプロイ、仮想ネットワークの構成、ファイアウォール規則の調整、ストレージ コンテナー内のファイルの読み取りなどを行う場合は、Azure ロールベースのアクセス制御 (RBAC) の範囲で作業しています。これらのアクセス許可は、サブスクリプション内で動作するインフラストラクチャとデータ プレーンに直接適用されます。

一方、Microsoft Entra ロールはディレクトリ リソースへのアクセスを制御します。新しいユーザー アカウントの作成、グループ メンバーシップの変更、Microsoft 365 ライセンスの割り当て、パスワードのリセットなどを行う場合は、Microsoft Entra ID の中で作業しています。これらの操作は、コンピューティングやストレージのレイヤーではなく、組織の ID レイヤーに関わるものです。

この 2 つのシステムを混同すると、危険な管理上の近道を取ってしまいます。ディレクトリの権限がインフラストラクチャへのアクセスを与えると思い込んだエンジニア (またはその逆) は、日々の作業を終えるためだけに、不必要に広範なアクセス許可を要求しがちです。適切な認可の領域にタスクを対応付けることが、安全なクラウド アーキテクチャの基盤となります。

スコープと境界の比較

アクセス許可が及ぶ範囲は、Azure ロールを扱うか Entra ID ロールを扱うかによって大きく異なります。スコープは、人間または自動化された処理による誤操作の影響範囲を決めるため、両方のシステムの階層構造を把握しておくことが重要です。

Azure ロールのスコープ

Azure RBAC は厳密な階層型のスコープ モデルで動作します。Azure でロールを割り当てる際は、次の 4 つのレベルのいずれかに適用します。

• 管理グループ: 複数のサブスクリプションにまたがってアクセス許可を適用する、最も広いコンテナー レベルです。
• サブスクリプション: 課金、ガバナンス、および関連するサービスの集まりの境界です。
• リソース グループ: プロジェクトや環境向けの特定のリソースを格納する論理的なフォルダーです。
• リソース: 最も狭い範囲で、単一の仮想マシン、ストレージ アカウント、データベースを対象とします。

親レベルで割り当てられたアクセス許可は、下位へ継承されます。管理グループ スコープで閲覧者ロールを割り当てると、そのID は配下のすべてのサブスクリプションに含まれるすべてのリソースを参照できるようになります。

Entra ID ロールのスコープ

Microsoft Entra のロールは、Azure リソースの階層には従いません。代わりに、テナント レベル、管理単位全体、または登録済みのエンタープライズ アプリケーションなど個々のオブジェクトを対象に割り当てられます。リソース グループや仮想マシンに Entra ID ロールを割り当てることはできません。これらのオブジェクトは、ディレクトリのグラフ内に同じ形では存在しないためです。

グローバル管理者に関する誤解と実態

クラウド管理において最も根強い誤解の一つが、Microsoft Entra でグローバル管理者の役割を持つと、Azure 環境内のすべてのサブスクリプションとリソースを無制限に管理できるというものです。実際にはそうではありません。

Azure リソースと Entra ディレクトリ オブジェクトは、別々の認可システムで管理されています。そのため、新しいグローバル管理者であっても、明示的な操作を行うまでは、サブスクリプション内で稼働する仮想マシンを自動的に参照または管理することはできません。一方で、グローバル管理者には自身の特権を昇格させる固有の権限があります。Azure ポータルの特定のアクセス管理スイッチを切り替えることで、グローバル管理者は、テナント内のすべてのサブスクリプションに対して自分自身に ユーザー アクセス管理者 ロールを付与できます。

この仕組みにより、存在を知らなかったインフラストラクチャを管理者が誤って削除してしまうことは防げます。しかし、誰がこの昇格スイッチを使用したかを組織が監視していなければ、監査の死角が生じます。ディレクトリの管理と Azure リソースの管理を、まったく別の分野として扱うことが、強固なセキュリティ態勢を維持するうえで極めて重要です。

まとめ

クラウドのアクセス許可を正しく理解するには、Azure のロールと Microsoft Entra のロールが、まったく異なる役割を担っていることを認識する必要があります。インフラストラクチャの変更は Azure RBAC に、ID 管理は Entra ID に結び付けておくことで、曖昧さを排除し、影響範囲を小さくし、自信を持って컴플라이언스監査に対応できます。

Microsoft クラウド全体でアクセス制御がどのように機能するかについては、ポッドキャストの関連回もぜひご覧ください。エピソード全編を聴くと、専門用語を使わずに解説された内容で、クラウド アーキテクチャとセキュリティの実践を習得するうえで役立つ知見が得られます。

よくある質問

グローバル管理者は、Azure のストレージや仮想マシンに自動的にアクセスできますか？

いいえ。グローバル管理者はディレクトリ レベル (Entra ID) を管理するもので、サブスクリプション全体のユーザー アクセス管理に関するポータルのスイッチを使って明示的に権限を昇格させない限り、Azure リソースに自動的にアクセスすることはできません。

Azure ロールと Entra ID ロールでは、スコープにどのような違いがありますか？

Azure ロールのスコープは、管理グループ、サブスクリプション、リソース グループ、または個々のリソースです。Entra ID ロールのスコープは、テナント全体、管理単位、または特定のアプリケーション オブジェクトです。

Entra ID ロールを使って、特定の Azure 仮想マシンのアクセス許可を割り当てることはできますか？

いいえ。Entra ID ロールは、ユーザーやアプリケーションなどのディレクトリ オブジェクトを管理するものです。仮想マシンやリソース グループのアクセス許可を管理するには、Azure ロールベースのアクセス制御 (RBAC) を使用する必要があります。

Azure の従来のサブスクリプション管理者ロールはどうなりますか？

アカウント管理者、サービス管理者、共同管理者などの従来の管理者ロールは、Microsoft によって完全に廃止されています。現在のアクセス管理はすべて Azure RBAC を通じてのみ行われます。