Microsoft Entra PIM セットアップガイド

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Microsoft Entra Privileged Identity Management の設定方法を解説します。前提条件の確認、対象ロールの割り当て、MFA と承認の構成、ロールのアクティブ化のテストまでを扱います。

Automatically translated with AI from the original post. Read the English original

クイックアンサー: Microsoft Entra PIM を設定するには、特権ロールを特定し、責任を持つ所有者を割り当てます。必要に応じて適格な権限に期限を設け、承認と MFA の要件を定義し、通知を構成したうえで、アクティブ化と緊急時の手順をテストします。影響の大きい管理者ロールから着手し、割り当て結果を定期的に確認してください。特権アクセスが既定で恒久的な状態になることを防げます。

IT セキュリティの業務に携わっている方や、Microsoft クラウド環境を管理している方なら、特権アクセスに最も大きなリスクが潜んでいることをご存じでしょう。本ガイドでは、Microsoft Entra ID の Privileged Identity Management（PIM）の基本を解説します。重要なロールや機密性の高いリソースを、確信を持って保護できるようになることが目標です。

PIM とは何か、なぜ必要なのかといった基礎から、ロールの構成、ジャストインタイム（JIT）アクセスの設定、大規模チーム向けのセットアップの自動化までを取り上げます。さらに、監査とコンプライアンス、そして堅牢なガバナンスに向けた実践的な手順も紹介します。ユーザーが 20 人でも 20,000 人でも役立つ内容です。権限の肥大化や予期しない管理者権限を排除し、承認が滞りなく進み、セキュリティチームが安心して眠れる体制を目指しましょう。

Privileged Identity Management の概要と価値

Privileged Identity Management（PIM）は、クラウドにおける「鍵」を誰が保持しているかを制御するための仕組みです。管理者アカウントを狙う攻撃が数多く発生している現状で、特権を常時開放しておくのは危険です。PIM では、必要なときだけ昇格した権限を「アクティブ化」し、作業が終われば自動的に元に戻す方式を採用します。これがジャストインタイム（JIT）の特権アクセスです。

管理者に 24 時間 365 日の権限を与えたままにする常時の管理アクセスは、大きな攻撃対象になります。誤用やミス、さらにはアカウントの侵害によって、すぐに重大な被害につながりかねません。攻撃者は、こうした常時有効な特権を狙います。PIM を使えば、ジャストイナフアクセス（JEA）を徹底できます。ユーザーには、必要な権限だけを、本当に必要なときにのみ付与できます。

PIM は単に過剰に警戒するためのものではありません。説明責任を果たし、意図しない被害を減らすための仕組みです。誰がいつ、なぜ権限を昇格したのかを監査可能な記録として残すことで、水面下で特権が悪用されていないかを把握できます。MFA を導入していても特権が悪用されるケースについては、このMicrosoft 365 の侵害事例に関する詳細な解説をご覧ください。現在の脅威の状況において、厳格なガバナンスと監視がなぜ不可欠なのかがわかります。

要するに、PIM はコンプライアンスの維持、権限の肥大化の抑制、そして監査人から確認を求められた際の迅速な対応に役立ちます。

Microsoft Entra ID による特権アクセス管理の強化

Microsoft Entra ID は、単なるログインの仕組みにとどまりません。ユーザーアクセスの管理、ポリシーの適用、そして強い権限を持つ管理者ロールの厳格な監視を支える基盤となる、ID セキュリティの司令塔です。

Entra ID で PIM を有効にすると、統合されたガバナンス基盤を利用できるようになります。ロールの割り当て、アクティブ化の要求、承認はすべて、Azure portal という 1 つの使い慣れた画面で追跡・管理されます。これにより、管理上の抜け漏れが減り、混乱も少なくなります。また、通常の操作と特権操作を確実に分離できます。

Entra ID では、条件付きアクセスと多要素認証も組み合わせられるため、特権ロールがアクティブ化されるたびに自動的なチェックを設定できます。これは攻撃の抑止につながるだけでなく、コンプライアンスと内部監査の簡素化にも役立ちます。ID をコントロールプレーンとして捉える考え方や、拡張性の高いクラウドセキュリティにおいて条件付きアクセスが重要な理由に関心がある方は、このEntra ID と条件付きアクセスに関するポッドキャストエピソードで、実際の現場に即した戦略をご確認ください。

エンタープライズ全体でガバナンスを展開する組織にとって、Entra ID は Azure Policy、RBAC、自動適用ツールと統合されています。これは適切に設計されたクラウドセキュリティモデルの基盤となるもので、詳しくはAzure Enterprise Governance Strategyをご覧ください。文書化された統制を維持し、組織が成長しても混乱を避け、回復力のある状態を保つのに役立ちます。

PIM の導入要件とライセンス要件

Microsoft 環境で Privileged Identity Management を展開する前に、まず基盤を整えておくことが重要です。これは「設定して放置」できる機能ではありません。始める前に、適切な技術的な構成要素を用意し、いくつかのライセンス要件を満たしておく必要があります。

PIM は、組織が利用している Entra ID（Azure AD）のエディションに大きく依存します。オンボーディングのリソースやきめ細かな制御を含め、PIM の機能をフルに利用するには、Azure AD Premium P2 ライセンスが必須です。また、特権ロールを扱う前に、ユーザーと承認者の両方が適切にライセンスされている必要があるため、誰にどのライセンスが必要かを把握することも同じくらい重要です。

もう一つの要素として、PIM 自体を管理するための適切な Azure ロールを事前に準備しておくことが挙げられます。一部のセットアップや構成の作業は、グローバル管理者または特権ロール管理者のみが実行できます。管理者の運用方法を早い段階で計画しておけば、後で困った障害に遭遇するのを避けやすくなります。

次のセクションでは、これらのライセンスを割り当て、一般ユーザーから アクセス承認者まで、アクセスが必要な全員が PIM を最大限に活用できる状態にする方法を説明します。アクセス許可のエラーや予期せぬ問題に遭遇しないように準備を進めましょう。

PIM のユーザーと承認者へのライセンス割り当て

• ユーザーと承認者を選択する: 特権アクセスを申請または承認する必要がある人を特定します。IT チームのメンバー、ヘルプデスクの担当者、チームリーダーなどが対象になります。
• Azure ポータルに移動する: Azure Active Directory > ライセンス > すべての製品 に移動し、該当する Premium P2 ライセンスを選択します。
• ライセンスを割り当てる: 「割り当て」をクリックし、対象のユーザーを追加します。効率化のために、個々のユーザーだけでなくグループ全体を指定することもできます。
• 割り当てを確認する: ユーザーのライセンスの概要ページで確認します。これで、ユーザーは PIM の申請や承認をスムーズに行えるようになります。

PIM の構成: ロールの割り当てとアクセスモデル

ライセンスと前提条件の準備が整ったら、PIM の中核となる作業に取りかかりましょう。ロールの割り当てを構成し、重要なクラウドリソースを保護します。最初に検討するのは、ユーザーにどのようにアクセスを許可するかです。適格（オンデマンド）または有効（常時）の管理者として割り当てるかを選択し、チームの構造に実際に合ったアクセスモデルを定義します。

PIM の中核は「適格」ロールの設定です。適格ロールのユーザーは、常時管理者権限を持つことはありませんが、必要に応じて権限を申請できます。これにより、不要なアクセス許可を大幅に減らし、権限の肥大化（privilege creep）が起きる前に防止できます。また、スケールしても管理しやすいように、どのユーザーやグループに適格性を付与するかも検討する必要があります。

次に、Azure リソースとロールを PIM にオンボーディングし、堅牢な制御と追跡を実現します。グローバル管理者、セキュリティ管理者、サブスクリプション所有者などの特権ロールはそれぞれ、マッピング、保護、管理が行われるため、誰がどの権限を、いつまで保持しているかを常に把握できます。強制されたガバナンスと文書化されたロールモデルが重要な理由をさらに詳しく知りたい場合は、Azure Enterprise Governance Strategy guideをご覧ください。

実際に手を動かす準備はよろしいですか。以降のセクションでは、適格と有効の割り当ての違い、ユーザーとグループの適格性の設定、そして最も重要な Azure ロールを PIM にオンボーディングする際のベストプラクティスを順に解説します。

特権ロールの適格割り当てと有効割り当ての違い

適格ロールの割り当てとは、必要なときにユーザーが昇格したアクセスを申請できることを意味します。ただし、常時その特権を持つわけではありません。これはまさに just-in-time（JIT）アクセスの実践です。作業が完了すると、権限は自動的に削除され、いわば後ろの扉に鍵をかけるような仕組みになります。

一方、常時割り当て（アクティブ割り当て）では、ユーザーに常に特権が与えられます。これは危険な運用です。誤操作や悪用に対して環境が無防備になるためです。セキュリティのベストプラクティスとしては、攻撃対象領域を減らし、内部脅威を抑え、ポリシーの適用と監査を大幅に簡素化できる「対象の割り当て（資格のある割り当て）」を強く推奨します。

ユーザーとグループへの資格割り当て

• PIM のロールに移動: Azure portal で Microsoft Entra ID を開き、「Privileged Identity Management」>「Azure AD ロール」を選択します。
• 対象のロールを選択: 管理対象とする管理者ロールまたはリソースロールを選びます（例：グローバル管理者、ユーザー管理者）。
• ユーザーまたはグループを割り当て: 「割り当ての追加」を選び、個人またはセキュリティ グループ全体を指定します。グループ単位で指定すると、大規模な管理も容易になります。
• 割り当て の種類を設定: 「アクティブ」ではなく「資格あり」に設定します。これにより最小特権の原則に従い、監査可能な状態を維持できます。

PIM ロールの割り当てによる特権 Azure ロールの保護

1. リソースのオンボード: 重要な Azure ロールとサブスクリプションを PIM に登録します。ポータルに表示されるオンボードの案内に従って進めてください。
2. 資格の割り当て: 指定されたユーザーと承認済みグループだけに資格のある割り当てを行い、機密性の高いリソースへのアクセスを期間限定にします。
3. アクティベーション ポリシーの設定: ジャストインタイムでのアクティベーションを必須にし、正当性の理由の入力、承認ワークフロー、チケット参照を要求して、さらに安全性を高めます。
4. セキュリティに関する推奨事項の確認: ポータルには、緊急時用のブレークグラス アカウントの利用やアクセス履歴の確認といったヒントが表示されます。これらを活用すれば、常に監査に備え、特権の悪用を先回りして防げます。
5. 大規模なガバナンスの維持についての詳細は、Azure ガバナンスのベストプラクティス ガイドをご覧ください。アクセスモデルを整理し、ポリシーのドリフトを防ぐのに役立ちます。

PIM のアクセス要求と承認の管理

PIM のロールと割り当てが整ったら、特権アクセスのアクティブ化、承認、却下といった日常の運用フローが、管理の中心になります。ここからは設定段階を終えて実際の運用に入ります。ユーザーは実際に作業が必要になったときだけ昇格した権限を要求し、管理者は誰が何を求めているのかを明確に把握できます。

要求と承認のプロセスを理解しておくと、運用がスムーズに進みます。ユーザーは理由を入力し、チケット番号を登録して、承認を待つだけで済みます。承認者は通知を受け取り、ひとつの画面ですべての内容を確認できます。そのうえで、アクセスを許可するか、不審な点があれば拒否するかを判断します。

これらのワークフローは、承認ステップ、多段階の承認、機密性の高いロールに対する追加の質問を組み合わせてカスタマイズできます。その結果、すべての特権割り当てについて継続的に確認できる監査証跡が残ります。これはコンプライアンス要件への対応や、異常なアクティビティの監視に欠かせません。

以降のセクションでは、この流れの両側面を取り上げます。ユーザーがアクセス要求を出す方法と、管理者または指定された承認者が要求を進める、または却下する方法です。

PIM 要求を作成してアクティブ化する手順

• サインイン: ユーザーは通常の資格情報を使って Azure portal にサインインします。
• 要求の送信: PIM を開き、資格のあるロールを選択して「アクティブ化」をクリックします。必須項目（正当性の理由、チケット番号、期間）を入力します。
• 承認ワークフロー: ポリシーによっては、要求が承認者に回されてレビューされます。リスクの低いロールでは、自動承認が有効になっている場合もあります。
• 通知の送信: 承認されるとユーザーに通知が届きます。ステータスの更新もリアルタイムで届きます。
• アクセスの付与: アクティブ化されると、ユーザーは指定された期間だけ高い権限を持ちます。期間が過ぎると自動的に失効します。

資格のある PIM 要求を承認または拒否する方法

• 要求の確認: 承認者は、保留中のアクティベーションについてメールまたはポータルの通知を受け取ります。
• 詳細の評価: ユーザーの正当性の理由、関連するチケット番号、要求された期間を、ポリシーや最近のアクティビティと照らし合わせて確認します。
• 承認または拒否: アクセスを許可する場合は「承認」を、不審な点がある場合は「拒否」を選択します。すべての操作は監査目的で記録されます。
• フィードバックの送信: 必要に応じて、判断の理由を要求者にメッセージで伝えます。特に追加の手順や情報が必要な場合に有効です。

PIM によるユーザー アクセスとガバナンスの強化

特権アクセスを誰が取得できるかだけでなく、すべてのアクティブ化が確実に管理されているかどうかも重要です。最近の攻撃はパスワードや多要素認証（MFA）さえも回避することがあるため、条件付きポリシーとよく整理されたグループを多層的に組み合わせて、防御を強化する必要があります。

ここでは多要素認証（MFA）が最前線の防御になります。条件付きアクセスと組み合わせて、準拠済みのデバイスと信頼できる場所からのみロールの承認やアクティブ化を許可しましょう。グループベースの管理は、アクセスの状態をすっきり保ち、拡張性も確保します。これにより、管理作業に追われることなく、数十人から数千人のユーザーを管理できます。

適切に構造化されたグループは、ポリシーを大規模に適用・徹底することも容易にし、チームの拡大やプロジェクトの変化にも柔軟に対応できるようにします。クラウド環境が拡大し、クラウドネイティブまたはハイブリッド（オンプレミス）の作業で昇格した権限を必要とするユーザーが増えるほど、この点は重要になります。

アイデンティティがコントロールプレーンとして果たす役割と、条件付きアクセスの乱立がどのように予測困難なリスクにつながるのかを深く理解するには、この詳細なEntra IDセキュリティのポッドキャストをご覧ください。Power Platformを利用している場合や、多くの「市民開発者」が活動している場合は、このガバナンスガイドで、これらの環境を保護するためのベストプラクティスも確認できます。

MFAと条件付きアクセスで特権ロールにアクセスするユーザーを保護する

1. すべてのアクティブ化でMFAを適用する: 特権ロールをアクティブ化するたびに、ユーザーに多要素認証の実施を求めます。資格情報が漏えいした場合のリスクを低減できます。
2. 条件付きアクセスを適用する: デバイスの準拠状況、ユーザーの場所、リスクレベルに基づいて条件付きアクセスポリシーを使用し、信頼されたセッションだけが重要なロールをアクティブ化できるようにします。必要に応じてポリシーを調整しますが、緩める場合よりも厳しくする場合を優先してください。
3. アクティブ化の要件を設定する:特に機密性の高いロールでは、アクティブ化の過程で追加の承認や理由の入力を求めます。これにより、特権の不正利用を抑止できます。
4. 安全で予測可能なポリシー設計についてさらに知りたい方は、この条件付きアクセスの信頼に関する問題のガイドで、包括的なポリシーのベースラインと監視のヒントを確認してください。

効果的なPIMアクセス制御のためのセキュリティグループの作成

• ロールごとの専用グループを作成する: 主要な特権ロールごとに専用のセキュリティグループを作成すると、適格な割り当てやアクティブな割り当てを一括で付与できます。
• 一貫した割り当てを行う: 自動化や定期的なレビューでグループのメンバーシップを維持し、アクセスを拡張可能な状態に保ち、必要なときにすぐ取り消せるようにします。
• ガバナンスと統合する: グループの利用を明確なガバナンスモデルと組み合わせます。大規模なチームや安全なイノベーションのためのヒントは、このPower Platformセキュリティガバナンスガイドで確認できます。

PIMの自動化と監査による効率化とコンプライアンスの強化

PIMの設定が順調に機能するようになると、次の課題は規模の拡大です。数百人から数千人の特権ユーザーを管理し、すべてのロールのアクティブ化を追跡するとともに、コンプライアンス担当者が必要とする、シンプルで正確なレポートを提供し続ける必要があります。ここでは自動化と堅牢な監査機能が頼りになります。

PowerShellとMicrosoft Graph APIを使えば、一括での適格な割り当てから、スケジュールに沿ったアクセス取り消しまで、あらゆる作業をスクリプト化できます。管理作業の負担を減らし、手作業によるミスを防ぎ、人の異動に合わせてロールやグループを最新の状態に保つことができます。

監査はチェックボックスを埋めるだけの作業ではありません。すべてのアクティブ化、承認、拒否のイベントをリアルタイムで記録し、想定外のアクティブ化や失敗したアクティブ化、権限の昇格、条件付きアクセスのベースラインからの逸脱など、怪しい動きがあればアラートを設定しておきましょう。

包括的でエクスポート可能なレポートがあれば、SOX、HIPAA、その他の主要な規制への対応も容易になります。セキュリティを本気で強化したいなら、Microsoft Purview Auditを通じて、高度な監査ログと監視の活用方法を学んでください。Microsoftがこれらのツールの自動化オプションを拡充していく動きにも、今後ご注目ください。

PowerShellでPIMロールの割り当てを自動化する

1. 一括でのエligibility割り当て: AzureADまたはMicrosoft Graph PowerShellモジュールを使い、大量のユーザーやグループを対象ロールへの適格な割り当てにスクリプトで追加します。アカウントごとにポータルを操作する必要はありません。
2. 割り当ての日程設定: 期間限定の割り当てを自動化し、契約社員や一時的なスタッフには、開始日と終了日をスクリプトに直接記述して期限切れで自動的に失効させます。
3. 変更の監査: スクリプトのログ記録により、すべての割り当てと取り消しを記録します。リソースのドリフトやエラーが発生した場合も、スクリプトによるロールバックでクリーンアップを簡単かつ迅速に行えます。
4. PowerShellでより厳密なガバナンスを設定したい場合は、古いリソースがオフラインになっている可能性がある点に注意してください。Microsoftがサポートを拡充し続けているため、最新の自動化の選択肢とAPIリファレンスを常に確認してください。

PIM監査ログ、アラート、コンプライアンスレポートの構成

• PIM監査ログの有効化: Azureポータルまたは接続済みのセキュリティツールで、PIMのすべてのアクティビティのログ記録を有効にします。要求、アクティブ化、承認、拒否、変更をリアルタイムで追跡できます。
• リアルタイムアラートの設定: Azure MonitorまたはMicrosoft Sentinelでアラートを構成し、通常とは異なるアクティブ化、承認の失敗、通常の業務時間外の権限昇格などの不審なイベントを検知します。
• レポート生成の自動化: 組み込みのレポート機能を使うか、Log AnalyticsやMicrosoft Purview監査などのツールと連携して、SOX、HIPAA、その他の規制要件に対応したコンプライアンスレポートを生成します。ベストプラクティスについては、Purview監査の実践ガイダンスを参照してください。

あわせて聴きたいエピソード

Microsoft Entra PIMの設定について調べている場合は、ID セキュリティ、ガバナンス、特権アクセス、実装に関する実践的な背景を補足できる、以下のエピソードがおすすめです。

• Microsoft Defender XDR – Simply Explained — IDガバナンスをセキュリティシグナル、調査、対応と結び付けます。
• Conditional Access – Simply Explained — ポリシーベースのアクセス制御によってID に関する判断をどのように適用するかを学びます。
• Privileged Identity Management – Simply Explained — ジャストインタイムの特権、承認、アクセスレビューの役割を理解します。
• Microsoft Teams Governance – The Illusion of Control — アクセス許可とオーナーシップを、繰り返し実施可能な運用にガバナンスでどのように結び付けるかを確認できます。

Microsoft Entra PIM設定チェックリスト

• 明確なオーナーと業務上の目的を定義します。
• 小規模で代表的なパイロットから始めます。
• ユーザーとサポートの一連の流れを全体にわたってテストします。
• 例外、レビュー日、エスカレーション経路を文書化します。

最新の構成ガイダンスについては、Microsoft Learnを参照してください。

よくある質問

想定した選択肢が表示されないのはなぜですか?

設定を変更する前に、サインインしているアカウント、ライセンス、クライアント、ポリシー、アクセス許可の境界を確認してください。

🎧 あわせて聴きたいエピソード

次に取り組むべき実践的な学習ステップとして、以下のエピソードをご覧ください。

• まずはこのエピソードで、基本的な概念と実践的な制御方法を学んでください。
• このエピソードでは、本テーマに役立つガバナンスと運用の視点を補足しています。
• このエピソードでは、本テーマに役立つガバナンスと運用の視点を補足しています。

最終確認日: 2026年7月。Microsoft 365の画面と ポリシー制御は頻繁に変更されます。