Microsoft 365テナントを解説：アーキテクチャ、ID、境界の仕組み

By Mirko Peters · 2026-08-27

ポッドキャストへようこそ！クラウドアーキテクチャ、セキュリティ、エンタープライズ管理に関するエピソードをお聴きいただいている方なら、私たちが日々使っているテクノロジーの基盤を深く掘り下げるのが好きだとご存じでしょう…

Automatically translated with AI from the original post. Read the English original

ポッドキャストへようこそ！クラウドアーキテクチャ、セキュリティ、エンタープライズ管理に関するエピソードをお聴きいただいている方なら、私たちが日々使っているテクノロジーの基盤を深く掘り下げるのが好きだとご存じでしょう。今回は、エンタープライズクラウドのエコシステムにおいて最も基本的でありながら誤解されやすい概念の一つ、Microsoft 365テナントを詳しく見ていきます。管理センターで一日を過ごすIT管理者の方も、アクセスポリシーを設計するセキュリティ担当者の方も、自社のデータがクラウド上でどのように分離されているのか気になる経営者の方も、テナントを理解することは欠かせません。最新のポッドキャストエピソードの補足記事として、Microsoftクラウドの中核となる柱を掘り下げます。M365テナントの実体、その中でIDがどのように機能するか、サブスクリプションがライセンスをどう動かすか、そして管理上の境界がデータ漏えいやセキュリティ侵害に対する最善の防御策となる理由を解説します。

Microsoft 365テナントの概要

Microsoftクラウドを本当に理解するには、まず基本となるテナントから始める必要があります。では、Microsoft 365テナントとは実際には何なのでしょうか。本質的には、テナントは組織専用のMicrosoftクラウドサービスのインスタンスです。Microsoftの巨大なグローバルデータセンター基盤の中にある、安全で隔離されたスライスのようなものと考えるとよいでしょう。Microsoft 365、Azure、Dynamics 365のいずれかに契約すると、Microsoftはお客様専用のコンテナーをプロビジョニングします。このコンテナーには、データ、ユーザーID、サービス構成、セキュリティポリシーが格納されます。Microsoftクラウド上で稼働する他のすべてのお客様とは完全に分離されており、厳格なコンプライアンス基準を満たすマルチテナント分離を実現しています。

ただし、「テナント」「ドメイン」「サブスクリプション」を同じ意味で混同している方が多く見受けられます。まずはここを明確にしましょう。テナントは全体を包む上位のコンテナーです。ドメインは、メールアドレスやユーザーサインインに使う名前空間（例：contoso.com）にすぎません。サブスクリプションは、ライセンスやサービスの支払いに用いる商用契約です。1つのテナントに複数のドメインと複数のサブスクリプションを関連付けることはできますが、すべてをまとめる基盤の境界はテナントそのものです。テナントを家に例えるとわかりやすいでしょう。テナントは建物とその土地、ドメインは郵便受けに書かれた住所、サブスクリプションは電気と水道を維持するために支払う公共料金にあたります。

Microsoft Entra IDの役割とID管理

Microsoft 365テナントを語るとき、IDの話を避けることはできません。特にMicrosoft Entra ID（旧Azure Active Directory）です。テナントが家だとすれば、Microsoft Entra IDはセキュリティシステムであり、玄関の鍵であり、中に入ることを許可された全員の名簿です。すべてのMicrosoft 365テナントには、既定のMicrosoft Entra IDディレクトリが付属しています。このディレクトリは、すべてのユーザーアカウント、グループ、サービスプリンシパル、アプリケーション登録の正規の情報源です。

現代のクラウドアーキテクチャにおいて、IDは新たなセキュリティの境界線です。オンプレミスIT時代には、ファイアウォールで社内ネットワークを守り、その内側のすべてを信頼していました。しかしクラウドではネットワークの境界は消えています。ユーザーはカフェ、自宅、そして世界中のモバイル端末から働いています。そのためIDがファイアウォールの役割を担うようになりました。ユーザーがExchange Online、SharePoint、Microsoft Teamsにアクセスしようとすると、Microsoft Entra IDが本人であることを確認し、使用しているデバイスをチェックし、条件付きアクセスポリシーに基づいてアクセスを許可すべきかどうかを判断します。

テナント内でアイデンティティを効果的に管理するには、明確な戦略が必要です。多くの組織では、ハイブリッドID モデルを採用しています。これは、Microsoft Entra Connect または Microsoft Entra Cloud Sync と呼ばれるツールを使い、オンプレミスの Active Directory Domain Services を Microsoft Entra ID と同期する方式です。これにより、ユーザーはローカルネットワークのリソースと、クラウドベースの Microsoft 365 サービスの両方に、単一の資格情報セットでアクセスできます。ただし、アイデンティティがクラウドのみで管理されている場合でも、オンプレミス環境から同期されている場合でも、プロビジョニング、ロールの割り当て、資格情報の管理、デプロビジョニングといったアイデンティティのライフサイクル管理は、Microsoft 365 管理者にとって最も重要な役割の一つです。

サブスクリプション、ライセンス、請求の管理

テナントとアイデンティティの設定が済んだら、利用するサービスの支払い方法について考える必要があります。ここで登場するのが、サブスクリプションとライセンスの仕組みです。Microsoft 365 のエコシステムにおけるサブスクリプションとは、特定のクラウドサービス一式へのアクセスを、一定期間にわたって組織に提供する商業契約のことです。通常は、ユーザーごと・月ごとの料金体系に基づいています。

サブスクリプションはテナントに紐づくという点を理解しておくことが重要です。Microsoft 365 Business Premium や Enterprise E5 のサブスクリプションを購入して、まったく別のテナントのユーザーに割り当てることはできません。すべてのライセンスは、該当するテナントの管理範囲内で購入し、割り当てる必要があります。さらに、組織は1つのテナント内で複数のサブスクリプションを管理することがよくあります。たとえば、Microsoft 365 E5 ライセンス用のサブスクリプション、Azure の従量課金型サービス用のサブスクリプション、そして Power BI Premium や Microsoft Copilot などの特殊なアドオン製品用のサブスクリプションを、それぞれ別に持つケースがあります。

ライセンス管理は、事前に対応しなければ、すぐに管理上の大きな負担になりかねません。管理者は、ユーザーまたはグループにライセンスを割り当て、ユーザーが必要なツールに確実にアクセスできるようにする必要があります。メールの Exchange、ドキュメント共同作業の SharePoint、デスクトップアプリケーション一式など、必要なものはさまざまです。Microsoft Entra ID のグループベースのライセンス付与を使った自動ライセンス管理は、成長中の組織にとってベストプラクティスです。新しいユーザーが「Sales」グループに追加されると、システムが適切なライセンスを自動的に割り当てます。組織を離れてグループから削除されると、そのライセンスは回収され、ほかのユーザーが利用できるようになります。

カスタムドメインと DNS の構成

Microsoft 365 テナントを初めて作成すると、Microsoft から onmicrosoft.com で終わる既定のドメイン名が提供されます。たとえば contoso.onmicrosoft.com のような形式です。このドメインは問題なく機能しますが、企業のメールが user@contoso.onmicrosoft.com から送信されるのは避けたいところでしょう。プロフェッショナルなブランドイメージを確立し、メールフローやサービス連携をスムーズにするためには、テナントにカスタムドメインを構成する必要があります。

カスタムドメインの構成では、使用したいドメイン名を実際に所有していることを Microsoft に証明する必要があります。そのためには、GoDaddy、Cloudflare、Route 53 などの DNS ホスティングプロバイダーで、特定の TXT レコードや MX レコードを追加します。contoso.com のようなドメインの所有が Microsoft によって確認されたら、そのドメインを基本ドメインに設定できます。さらに、ユーザープリンシパル名 (UPN) を更新して、ユーザーが業務用のメールアドレスでサインインできるようにします。また、メール配信用の MX レコード、自動検出用の CNAME レコード、SPF、DKIM、DMARC といったセキュリティプロトコル用に、必要な DNS レコードを構成します。

適切な DNS 構成は、見栄えのためだけのものではなく、重要なセキュリティ要件です。M365 テナントのカスタムドメインに対して SPF、DKIM、DMARC のレコードが正しく設定されていないと、悪意のある攻撃者が簡単にメールドメインをなりすましでき、顧客やパートナーを狙ったフィッシング攻撃につながるおそれがあります。DNS 設定を正しく構成し、検証する作業は、あらゆる Microsoft 365 導入プロジェクトにおいて欠かせないマイルストーンです。

コアクラウドサービスとリソースのプロビジョニング

テナント、ID システム、サブスクリプション、カスタム ドメインの準備が整い、Microsoft 365 環境でようやくワークロードを稼働させられる状態になりました。Microsoft 365 テナントは一枚岩ではなく、生産性、コラボレーション、コミュニケーションを支えるよう設計された、SaaS（Software-as-a-Service）アプリケーションの充実したエコシステムです。管理者にとって、これらのコア クラウド サービスがテナントの境界内でどのようにプロビジョニングされ、相互に連携するかを理解することは不可欠です。

Exchange Online は、エンタープライズ グレードのメール、予定表、連絡先管理を提供します。SharePoint Online は、ドキュメント ストレージ、イントラネット サイト、エンタープライズ コンテンツ管理の基盤となります。Microsoft Teams は、チャット、会議、通話、コラボレーションを 1 か所に集約し、SharePoint、Exchange、さまざまなサードパーティ製アプリと深く統合されています。これらの主力サービスに加え、OneDrive for Business、Planner、Stream、Power Platform（Power Apps、Power Automate、Power BI）などのサービスもあります。

ユーザーが Microsoft Teams でチームを作成すると、テナントは裏側で、相互に連携する複雑なリソース群を自動的にプロビジョニングします。具体的には、ファイル ストレージ用の SharePoint サイト コレクション、メンバーシップ管理用の Microsoft 365 グループ、共有 Exchange メailbox と予定表、OneNote ノートブックです。この自動プロビジョニングの仕組みは、M365 アーキテクチャの強みを示しています。一方で、ガバナンスの重要性も浮き彫りにします。Microsoft 365 グループを作成できるユーザーを制限する、非アクティブなチームに対して自動有効期限ポリシーを設定する、といった先回りしたガバナンス ポリシーがなければ、テナントは使われないリソースと重複したデータが乱立する状態に、すぐに陥りかねません。

管理上の境界とセキュリティのベスト プラクティス

Microsoft 365 テナントを掘り下げてきたこのシリーズの締めくくりとして、最も重要なテーマ、つまり管理上の境界とセキュリティのベスト プラクティスを取り上げます。テナントは、組織の第一のセキュリティ境界です。テナント内のデータは保存時と転送時に暗号化されており、既定では、組織外のだれからもアクセスできません。他の Microsoft のお客様や Microsoft サポート担当者も含まれます（Customer Lockbox で一時的なアクセスを明示的に許可した場合を除きます）。

ただし、セキュリティはテナントの境界で終わるわけではありません。テナントの内側でも *アクセス許可* を管理する必要があります。ここで重要になるのが最小特権の原則です。Microsoft Entra ID には、グローバル管理者、Exchange 管理者、ヘルプデスク管理者、ユーザー管理者など、多くの組み込み管理者ロールが用意されています。組織がよく犯す誤りの一つは、テナント内のすべての設定とデータに対して何でもできる権限を持つグローバル管理者ロールを、必要以上に多くの人に割り当てることです。ベスト プラクティスとしては、グローバル管理者の数を必要最小限に抑え（冗長性を確保するため、通常は 2 ～ 4 人）、日常業務には、より細かく、作業ごとに適したロールを割り当てるべきです。

さらに、管理アカウントを多要素認証（MFA）で保護することは必須です。FIDO2 セキュリティ キーや Microsoft Authenticator の番号一致などのフィッシング耐性のある MFA を導入することは、テナントへの不正アクセスを防ぐうえで最も効果的な対策です。これに加えて、リスク レベル、デバイスのコンプライアンス、場所を評価してからアクセスを許可する堅牢な条件付きアクセス ポリシーを組み合わせれば、強固な多層防御の体制を構築できます。

最後に、ガバナンスと監視を後回しにしてはいけません。Microsoft Purview によるコンプライアンス、データ損失防止（DLP）、情報保護といったツールを活用すると、機密データにラベルを付け、追跡し、ライフサイクル全体にわたって保護できます。管理者ロールの割り当てを定期的に監査し、サインイン ログを確認し、Microsoft Defender ポータルのアラートを監視することで、テナントを安全かつコンプライアンスに適合した状態に保ち、ビジネス ニーズに最適化し続けられます。

ポッドキャストのブログ版をお読みいただき、ありがとうございます。Microsoft 365のテナント アーキテクチャ、ID管理、サブスクリプション、カスタムドメイン、セキュリティ境界について掘り下げた今回の内容が、クラウドの仕組みを理解する一助になれば幸いです。この記事を気に入っていただけたら、ぜひポッドキャストを購読し、この記事をIT チームの皆さんと共有してください。来週は、エンタープライズテクノロジーの世界から別の興味深いテーマを取り上げる予定です。それまでの間、テナントの安全とクラウドアーキテクチャの回復力を保ってください。