Microsoft Entra クロステナント アクセス ガイド

By Mirko Peters · 2026-04-29 · Updated 2026-07-18

Microsoft Entra のクロステナント アクセスについて、セキュリティ、ガバナンス、アクセス制御、導入、実際の運用例に関する実践的なガイドで学べます。

Automatically translated with AI from the original post. Read the English original

Microsoft Entra ID のクロステナント アクセス設定は、組織間で安全かつ柔軟にコラボレーションするための中核となる機能です。企業が業務をクラウドへ移行するにつれ、異なる Microsoft テナントにまたがるパートナー、サプライヤー、さらには子会社と接続して協業する必要性は、かつてないほど高まっています。同時に、その管理も複雑になっています。Entra ID には、誰が参加できるか、どこまでの操作を許可するか、そして自社の守りをどのように堅く保つかを制御するための強力なツール群が用意されています。

本ガイドでは、Entra ID のクロステナント アクセス設定によって B2B のアイデンティティ管理を安全かつ便利にする方法を、順を追って解説します。基本的なルールの設定、特定のパートナー向けポリシーの細かな調整、高度な連携、ゼロトラストのセキュリティ対策、実際の運用でのトラブルシューティングまで扱います。外部の数名とだけ始めたい場合も、厳格なコンプライアンスやガバナンスの要件に対応する必要がある場合も、ここで答えが見つかるはずです。

Entra ID における B2B のクロステナント アクセスの理解

世界は孤立した島では成り立っていません。特にエンタープライズ IT においてはなおさらです。ほぼすべての組織が、自社の境界を越えたコラボレーションに依存しています。相手はコンサルタント、サプライ チェーンのパートナー、買収した別の企業などです。課題は、各社がそれぞれ独自の Microsoft Entra ID テナントを管理しており、自社のデータをリスクにさらさずにすべてを開放することはできない点にあります。

まさにここで、Entra ID の B2B クロステナント アクセス設定が役立ちます。これらの設定により、あるテナントのユーザーが別のテナントのリソースとどのようにやり取りするかを定義、監視、調整できます。ゲスト ユーザーの招待、重要なアプリへのアクセスの有効化、途中での強力なセキュリティ チェックの適用など、用途はさまざまです。いわばドアに立つ用心棒のようなものです。ID を確認するだけでなく、誰が VIP リストに載っているか、誰は窓から覗くことだけが許されるか、そして誰が自社のデータに近づく権利をまったく持たないかを把握しています。

概して、B2B のクロステナント アクセスは単なるトグルやチェックボックスの集まりではありません。Microsoft Entra の組織間でアイデンティティを管理し、信頼関係を築くための包括的な枠組みです。これらの設定は、日常的な外部コラボレーション ツールや基本的な条件付きアクセス ポリシーとは異なります。すべての外部ユーザーとすべての外向きのリクエストに対する、やり取りの基本ルールを確立することが目的です。詳細な構成に取りかかる前に、これが全体的な ID 戦略のどこに位置づけられるかを理解しておくことが重要です。具体的な構成は、後の詳細なセクションで扱います。

B2B コラボレーションのためのクロステナント アクセス設定とは

Microsoft Entra ID のクロステナント アクセス設定は、他の Entra テナントのユーザーが自組織のリソースとどのように連携するか、またその逆をどう管理するかを決める一連の構成です。これらの設定は、安全なビジネス間（B2B）コラボレーションで中心的な役割を果たします。対象となるのは、社内のデジタル環境で作業する必要がある協力会社、外部パートナー、買収した企業などです。

B2B のクロステナント アクセス設定を使うと、ゲスト ID の信頼レベル、アクセス許可、条件を定義できます。たとえば、パートナーのテナントからの多要素認証（MFA）やデバイス コンプライアンスの要求を受け入れるかどうかを指定したり、自社のポリシーを適用したり、特定のユーザーやアプリケーション以外のアクセスをすべてブロックしたりできます。要するに、テナントの境界をまたいで誰が、何に、どこから、どのようにアクセスできるかを統制するための司令塔です。

これらのポリシーは、組織全体に適用するグローバル設定としても、外部パートナーごとに調整する組織固有の設定としても構成できます。この柔軟性により、提供するアクセス レベルを細かく制御でき、社内のセキュリティ要件や GDPR、HIPAA などの規制要件への準拠に役立ちます。さらに、ユーザーのライフサイクル管理を簡素化し、外部 ID のオンボーディングを効率化し、ID の乱立を抑えられます。これは、放置すると頭痛の種になることを IT 担当者なら誰もが知っている問題です。

結局のところ、クロステナント アクセス設定は、シームレスなコラボレーションと厳格なセキュリティの橋渡しをするものです。誰でも招き入れるためのものではありません。信頼できる外部の人を、自分が管理するルールのもとで、Microsoft Entra のエコシステムに安全かつ効率的に迎え入れるためのものです。

Entra ID における B2B のクロステナント アクセスと他の ID 設定の比較

Entra IDのほかのID関連ツールとクロステナントアクセス設定は混同されやすいものですが、目的はまったく異なります。クロステナントB2Bアクセスは、外部のEntra組織とそのユーザーがご自身のテナントおよびリソースとどのように関わるかに焦点を当て、受信および送信のコラボレーションに関する明確なルールを定めます。一方、条件付きアクセスポリシーは、内部ユーザーか外部ユーザーかを問わず、リスク、デバイスのコンプライアンス状態、または場所に基づいて、ユーザーがアクセスできる対象を制御します。

一方、外部コラボレーションの設定はゲストユーザーの招待と全般的な共有を扱い、ID プロバイダーの構成はどのサービスでユーザーの認証を行えるかを決定します。それぞれをいつ使うべきかを理解しておくと、セキュリティを厳格かつ柔軟に保てます。また、意図しない全面開放や、複雑で重複したポリシーによるつまずきも防げます。条件付きアクセスを最大限に活用する方法については、Microsoft 365環境における信頼とポリシーの問題を扱った記事もご覧ください。

既定のアクセスと組織固有の設定を構成する

クロステナントアクセスがなぜ重要か、そしてID管理全体の中でどこに位置づけられるかを理解したところで、実際に設定してみましょう。最初のステップは、既定で許可する内容を定義することです。つまり、誰が自社に入ってこられるか(受信)と、誰が他者と協業するために外へ出られるか(送信)の両方を決めます。Microsoft Entra IDでは、すべての組織に適用される基準ポリシーを設定できます。これにより、運用をシンプルかつ予測可能に保てます。

ただし、ビジネスはすべてを一律に扱えるとは限りません。たとえば、ベンダーAには機密性の高い財務データを扱わせる一方で、ベンダーBとは距離を置きたい場合があります。そこで役立つのが組織固有のオーバーライドです。特定のパートナーに対してアクセスを厳しくしたり緩めたりでき、ほかの組織には影響を与えません。既定のルールと個別のルールを組み合わせることで、実際のビジネス関係に即した、安全で柔軟なコラボレーションの基盤を構築できます。

以降のセクションでは、既定の設定とカスタム設定を具体的にどう構成するかを解説します。アクセス経路を整理し、外部コラボレーションを安全かつ生産的にするガードレールを整えていきましょう。

既定の受信および送信設定を構成する

1. クロステナントアクセス設定にアクセスする: Microsoft Entra 管理センターにサインインします。「外部 ID」セクションに移動し、「クロステナント アクセス設定」を選択します。ここが、受信と送信のすべての構成の出発点です。
2. 既定の受信ポリシーを設定する: 外部テナントのどの組織が既定でリソースにアクセスできるかを決めます。ここでは、すべてのテナントを許可する、既定ですべてブロックする、または検証済みの組織のみ許可するといった選択ができます。一般的な使い方は、既定でブロックしたうえで信頼できるパートナーのみ例外として許可する方法です。コラボレーションが盛んな業界で事業を行っており、リスクは別の管理策で抑えている場合は、既定で許可することもあります。
3. 既定の送信設定を定義する: 自社のユーザーが他テナントのリソースにどうアクセスするかを制御します。厳格なデータ管理が必要な場合はすべての送信アクセスをブロックできます。一方、Teams や SharePoint を通じて外部パートナーと日常的に協業している場合は、許可する方が適しています。多くの組織では、送信アクセスを許可したうえで定期的に監視・見直しを行うことで、バランスを取っています。
4. 信頼設定を構成する: 外部の MFA およびデバイスのコンプライアンスの要求を信頼するかどうかを選択します。外部ユーザーに、自分のテナントで MFA を実施したことの証明を求めることも、自社のポリシーに従って再度 MFA を実施させることもできます。この手順により、正規の共同作業者に常に不便をかけることなく、リスクを軽減できます。
5. 保存して監視する: 既定値を設定したら変更を保存し、クロステナントのアクティビティを監視します。監査ログとアクセスレビューを使い、設定が意図どおりに機能していることを確認しましょう。予期しない動作は、セキュリティインシデントに発展する前に見つけることが大切です。

既定の受信および送信アクセスを慎重に設定することで、生産性を損なうことなく、安全で予測可能なコラボレーションの基盤を構築できます。このアプローチは、最初の段階から不要な露出を制限するため、ガバナンスやコンプライアンスの要件にも適合しやすくなります。

既定の組織固有アクセスルールをカスタマイズする

1. 特定の外部組織を追加する: クロステナントアクセス設定で、テナント ID を入力して外部テナントを指定します。これにより、既定のルールに関係なく、そのパートナーに対する個別の設定が作成されます。
2. アクセスルールをカスタマイズする: 追加した組織ごとに、受信と送信のアクセス許可を設定します。たとえば、ベンダーに対しては Teams の共有チャネルのみを許可し、子会社に対しては SharePoint へのフルアクセスを付与するといった設定が可能です。
3. セキュリティ対策を絞り込んで適用する: 組織ごとの設定により、ビジネス上の必要性とリスクのバランスを取ることができます。機密性の高いアプリへのアクセスを制限または許可したり、特定のパートナーからの外部 MFA のみを信頼したり、リスクの高いコラボレーションに対して準拠デバイスを必須にしたりできます。

こうした個別の例外設定は、IT ポリシーを実際のビジネス関係に合わせるうえで非常に重要です。適切な道具を選び、必要以上に大きな対策を取らないようにできます。

信頼できる組織を管理し、アクセスを制御する

既定の設定と個別の例外設定を行った後も、クロステナントアクセスを長期的に健全な状態に保つためのプロセスが必要です。ビジネス上の関係は急速に変化する可能性があります。今日の戦略的パートナーが、明日は競合相手になることもあれば、その逆もあります。そのため、信頼できる組織の一覧に簡単に追加または削除でき、その信頼に伴うアクセス許可を調整できる仕組みが必要です。

Microsoft Entra ID を使うと、信頼できる外部組織として扱う対象を正確に管理できます。単にオンとオフを切り替えるだけではありません。誰がアクセスできるか、どの種類のアクセスを許可するかを厳密に管理し、問題が発生した場合にはただちにアクセスを遮断できるようにすることが重要です。こうした信頼できる組織を適切に管理することは、IT によるコラボレーションを、セキュリティ運用の方針やコンプライアンスの要件に合わせるうえで大きな一歩になります(特に HIPAA、GDPR、SOC 2 への対応が求められる場合はなおさらです)。

次のセクションでは、組織を追加および削除する手順と、受信および送信アクセスの信頼レベルを、特定のアプリやリソースの種類まで細かく調整する方法を見ていきます。

クロステナントポリシーへの組織の追加と削除

• 組織を追加する: クロステナント管理のパネルで、外部テナントの ID を入力します。Entra ID がその表示名を取得するため、対象のパートナーが正しいかどうかを簡単に確認できます。
• 信頼とアクセスを構成する: この組織に合わせて受信と送信のルールを設定し、変更を保存すると直ちに反映されます。
• 組織を削除する: ビジネス上の必要性が変わった場合は、組織を選択してクロステナントポリシーから削除するだけです。アクセスはリアルタイムで取り消されます。
• セキュリティとコンプライアンスを確認する: 信頼できる組織の追加や削除は、意図しない公開や、アクセス取り消しの漏れを防ぐために、社内の承認ワークフローに従って行う必要があります。

この信頼済みリストを定期的に見直すことで、去年のベンダー一覧ではなく、現在のリスク許容度とビジネスの実態に合わせてコラボレーションを維持できます。

外部組織の受信および送信の信頼を変更する

• 受信アクセスを調整する: 必要に応じてグループ、アプリ、サイトの単位まで、外部組織のユーザーがどのリソースにアクセスできるかを細かく調整します。
• 送信のアクセス許可を変更する: 自社のユーザーがパートナーの環境とやり取りできるかどうか、またどのようにやり取りできるかを決めます。送信のコラボレーションを Teams のみに制限することも、より広範なアクセスを許可することもできます。
• 特定のアプリを許可またはブロックする: 細かい制御により、機密性の高いアプリへのアクセスをブロックしつつ、必要に応じて他のアプリへのアクセスを許可できます。
• 状況の変化に対応する: 監査の結果や、コンプライアンスポリシーの更新に応じて、これらの設定をすばやく調整できます。これにより、制御内容を常に現在のビジネス状況に合わせることができます。

これらのアクセス許可を最新の状態に保つことは、意図的かどうかにかかわらず発生する不正利用に対する安全網になります。あらゆる段階で、アクセスを信頼しつつも検証する体制を整えられます。

受信の信頼 MFA とデバイスコンプライアンスによる安全なコラボレーション

どれほど優れたアクセス制御があっても、ユーザーが本人であることをどのように証明しているかを信頼できなければ意味がありません。クロステナントのコラボレーションを安全にするには、強力な認証とデバイスの管理が欠かせません。そうしなければ、地球の反対側のパートナーテナントに現れた攻撃者を、そのまま受け入れてしまうおそれがあります。

Microsoft Entra IDでは、パートナー組織が実施する多要素認証（MFA）やデバイスのコンプライアンスを信頼することで、その組織のセキュリティを活用できます。パートナーがユーザーにMFAの通過とラップトップのコンプライアンス維持を求めている場合、リソースへのアクセス時にそのクレームを受け入れられます。二重の認証を課してユーザーを煩わせる必要はありません。一方で、パートナーの基準を信頼できない場合は、自組織のセキュリティ要件をクリアするよう求めることもできます。

また、想定どおりにいかない場面もあります。デバイスの紛失、MFAの有効期限切れ、未登録のゲストなどです。Microsoft Entra IDは、ワンタイムパスコードの送信のようなフォールバック認証もサポートしています。これにより、正当なユーザーは緊急時でもアクセスできる一方、なりすましを防ぐことができます。以降のセクションでは、新たな攻撃経路を開くことなく、このクロステナントの信頼を最大限に活用するための手順とシナリオを解説します。

パートナーからのインバウンドMFAとデバイスのクレームを信頼する

1. インバウンドMFAの信頼を有効にする: クロステナント設定で、特定の外部組織からの多要素認証のクレームを信頼するように構成します。これにより、ユーザーがホームテナントでMFA認証を行っている場合、リソースへのアクセス時に追加の確認を求めることなく、その認証を受け入れられます。
2. デバイスのコンプライアンスのクレームを信頼する: 外部ユーザーが使用するデバイスが、所属組織のコンプライアンスや参加の要件を満たしていることを、自テナントで認識できるようにします。ハイブリッド環境や、パートナーが管理するコンプライアンス準拠のエンドポイントを利用するシナリオに有用です。
3. ユーザー体験とセキュリティのバランスを取る: 外部のMFAやデバイスのコンプライアンスを信頼すると、パートナーの利便性が向上します。ただし、高いセキュリティ基準を満たしていることが確実な組織に限って有効にすべきです。そうでない場合は、外部のクレームを信頼せず、自組織のポリシーを適用してください。
4. 異常の監視: Microsoft Entra IDのログとレポートを使い、インバウンドのセッションとデバイスの状態を定期的に監査し、外部のコンプライアンスのクレームが回避されたり、偽装されたりしていないことを確認します。

この信頼を実装すると、正当なコラボレーターの作業は簡単になりますが、ドリフトや悪用がないか監査ログに常に目を光らせる必要があります。

IDプロバイダー（Entra）とフォールバック認証の管理

• IDプロバイダーの構成: テナント内でゲストユーザーが認証に使用できるIDプロバイダーを設定し、管理します。Microsoft Entra、Google、SAMLベースのプロバイダーなどが対象です。
• フォールバック認証を有効にする: ユーザーのホームのIDプロバイダーがサポートされていない、または利用できない場合に備えて、ワンタイムパスコードなどのフォールバックオプションを有効にします。セキュリティを緩めることなく、業務の継続性を確保できます。
• 信頼されていないプロバイダーの拒否または制限: 組織のセキュリティ基準やコンプライアンス基準を満たさないIDプロバイダーからの認証を制限またはブロックし、審査済みの信頼できるIDソースのみを受け入れるようにします。

これらの設定はセーフティネットとして機能し、ゲストや外部パートナーで問題が発生した場合でも、管理者が制御を維持できるようにします。

高度なコラボレーション: B2B Directと外部連携の構成

ドキュメント共有だけでコラボレーションが終わる時代は過ぎました。Microsoft Entraでは、B2B Direct Connectなどの高度なオプションにより、外部パートナーとリアルタイムで共同作業できます。たとえば、ユーザーを従来のゲストとして招待することなく、Teamsのチャネルを共有できます。自動引き換えによってオンボーディングが迅速化され、外部とのコラボレーションが社内と同じように感じられることもあります。

ただし、話はTeamsだけにとどまりません。現代の組織では、特にファイル共有やイントラネットの基盤となるSharePointを中心に、プラットフォームをまたいだ厳密かつ統制された連携が必要になることが多くあります。Microsoft Entraには、クロステナントポリシーをSharePoint Onlineにまで拡張する制御機能があり、Microsoft Graphなどの APIを通じてアクセス権の自動化と管理も可能です。

これらの機能により、ガバナンスとセキュリティを損なうことなく、生産性を最大化できます。複数のテナントやPower Platformアプリが集まり、背後にシャドーITのリスクが潜む大規模環境では、特に重要です（実態の把握にはこちらのガイドをご覧ください）。以降のセクションでは、直接的でシームレスなコラボレーションを有効にする方法と、データがどこにあってもしっかり管理する方法を解説します。

B2B Directの構成と自動引き換えの有効化

• B2B Direct Connectを有効にする: Entra IDでB2B Direct Connectを有効にすると、信頼できる組織のユーザーは従来の招待を経由せずに、共有のTeamsチャネルへすぐに参加できるようになります。
• 自動引き換えを設定する: B2Bユーザーがリソースにアクセスする際に招待を自動的に引き換えられるようポリシーを構成します。これにより、オンボーディングの流れがスムーズで使いやすくなります。
• この機能のメリット: ユーザーが手動での承諾に時間を取られず、IT管理者の手間も減るため、これらの機能はコラボレーションを加速し、生産性を高めます。

高度な設定では摩擦が最小限に抑えられ、リアルタイムかつ安全な接続を必要とする、プロジェクト単位または定期的なコラボレーションに最適です。

SharePointの共有ポリシーとEntraの外部コラボレーションを構成する

• SharePointとのクロステナントアクセスの統合: SharePoint Onlineの共有ポリシーをEntraのクロステナント設定に合わせることで、外部ユーザーとのドキュメントコラボレーションの範囲を広げたり、制限したりできます。
• Microsoft Graph APIによる管理: 自動化、スクリプト、REST コマンドを活用して、アクセス許可と共有ポリシーを大規模に管理します。規制の厳しい業界や、無秩序な拡散が起きやすい大規模環境では必須です。詳しくはこちらのSharePointのAIガバナンスに関するポッドキャストで取り上げています。
• Power Platformソリューションのサポート: カスタムアプリでSharePoint リストを使用する場合のガバナンス上の落とし穴を認識し、クロステナント制御を徹底するとともに、Dataverse と SharePoint のガバナンスにおける失敗例でも触れているMicrosoft Dataverseなど、より堅牢なバックエンドの採用を検討してください。
• ドキュメントコラボレーションのユースケース: M&Aのデューデリジェンス、合弁事業、顧客向けプロジェクトなど、効率的でありながら厳格に管理されたドキュメント交換が求められるシナリオに、用途に応じた共有ポリシーを適用して安全に対応します。

SharePointとEntraを連携させることで、無秩序な共有による混乱を避け、コンプライアンスに準拠した監査可能なコラボレーションを例外ではなく標準とできます。

継続的な改善のためのベストプラクティスとフィードバック

クロステナントアクセスの導入は、「設定して終わり」にはなりません。取引先との関係、コンプライアンス要件、技術環境は常に変化するためです。実証されたベストプラクティスを土台にし、継続的に監視を行い、すべてのポリシーをフィードバックと監視によって改善され続けるものとして扱うことが重要です。

セキュリティとコンプライアンスを確保するには、まず適切な前提条件を整え、最大のリスクがどこにあるかを把握する必要があります。自動化、監査ログ、定期的なレビューを活用して防御を強化し、問題が大きな侵害やコンプライアンス上の欠陥に発展する前に検知してください(実際のM365侵害事例の分析と同様です)。

また、単独で運用しないことも大切です。環境はそれぞれ異なるため、組み込みのレポート機能を利用し、関係者と協議し、自社の業務に合わない点があればMicrosoftにフィードバックしてください。継続的に成功させるには、PowerShellによる自動化と能動的な監視が欠かせません(外部共有の制御に関するガイドで詳しく解説しています)。以下のセクションでは、クロステナントアクセスを強固かつ使いやすい状態に保つための重要なベストプラクティスと手順を解説します。

セキュアなアクセスのためのベストプラクティスと前提条件

• 扉を開ける前のベースラインセキュリティ: 条件付きアクセス、脅威保護、適切なデータガバナンスといった基本的な統制を確実に整備してください(こちらのセキュリティベストプラクティスのページで戦略を確認できます)。
• データを把握し、所有者を明確にする: データの所有権を整理し、秘密度ラベルを設定して、承認ワークフローを構築してください。これらは、効果的なM365ガバナンスの実践方法で示されているとおりです。
• 広範な外部アクセスを制限する: 判断に迷う場合は既定で拒否するポリシーを使用し、コンプライアンスの審査に合格したパートナーにのみ例外を認めてください。
• コンプライアンス要件との整合性を確保する: 将来の監査で問題が生じないよう、設定やオーバーライドを GDPR、HIPAA、SOC 2 の統制と照らし合わせて確認してください。

これらを事前に整理しておけば、一度のクリックで何年もかけて積み上げたリスク管理を台無しにすることを防げます。

アクセスの監視、フィードバックの収集、まとめ

• 継続的な監視を設定する: Entra のログ、監査証跡、そして Microsoft Defender for Cloud などの外部ツールを活用し(手順はこちら)、不審な、またはコンプライアンスに違反するクロステナントアクセスがないか確認してください。
• 定期的にレビューと監査を行う: Microsoft Purview などのサービスやテナントレベルの PowerShell スクリプトを使い、頻繁にアクセスレビューとコンプライアンス監査をスケジュールしてください。
• フィードバックのループを組み込む: ユーザーと管理者からフィードバックを集め、エラーログを確認し、得られた知見を Microsoft に共有して、今後の Entra の改善に役立ててください。
• 先回りして対応する: ビジネス上の関係やコンプライアンスフレームワークが変わったら、すぐにアクセスとの共有ポリシーを更新してください。四半期ごとのレビューや年次監査まで待つ必要はありません。

要点は次のとおりです。クロステナントアクセスの強度は、監視し、対応し、改善し続ける能力によって決まります。定期的に数分間確認し、そこにフィードバックのループを組み合わせることは、どの単一の構成手順よりもはるかに大きな価値があります。

あわせて聴いていただきたいエピソード

Microsoft Entra のクロステナントアクセスについて調べているなら、以下のエピソードでアイデンティティのセキュリティ、ガバナンス、特権アクセス、実装に関する実践的な背景を補足できます。

• Microsoft Defender XDR – Simply Explained — アイデンティティガバナンスをセキュリティシグナル、調査、対応と結び付けます。
• Conditional Access – Simply Explained — ポリシーベースのアクセス制御によって、アイデンティティに関する判断をどのように適用するかを学びます。
• Privileged Identity Management – Simply Explained — ジャストインタイムの特権、承認、アクセスレビューについて理解を深めます。
• Microsoft Teams Governance – The Illusion of Control — アクセス許可と所有権を、繰り返し実行できる運用へと変えるガバナンスの考え方を紹介します。