Microsoft Entra ID における隠れたシャドーIT テナントの検出と監査の方法

By Mirko Peters · 2026-10-25

Microsoft Entra ID で、自動検出のシグナルとマルチテナント ガバナンスの手法を使い、忘れ去られたシャドーIT テナントを見つけて監査する方法を解説します。

Automatically translated with AI from the original post. Read the English original

組織が意図せず作成した、忘れ去られた Microsoft Entra のシャドーIT テナントを特定、追跡し、保護する方法を解説します。自動検出のシグナル、関連テナントの分析、そして管理されていないクラウド環境を把握し、中央管理下に置くために必要なガバナンスの手順を取り上げます。

重要なポイント

• 組織は、合併、子会社、テスト環境、部門レベルのシャドーIT を通じて、複数の Microsoft Entra テナントを抱えることがよくあります。
• 中央 IT の監視が及ばないところで運用されている管理外のテナントは、重大なセキュリティ上の死角とコンプライアンス上のリスクを生みます。
• Microsoft Entra は、企業間 (B2B) のアクティビティ、マルチテナント アプリ登録、共有の請求アカウントを利用して、関連するテナントを自動的に表示します。
• 正式なガバナンスの関係を結ぶことで、親組織は、すぐに複雑な移行を強いることなく、別々のテナントを保護できます。
• 構成の監視により、マルチテナント環境が 200 を超えるリソースの種類にわたってセキュリティ ベースラインを維持できるようにします。

シャドーIT テナントに潜む危険

大規模な Microsoft 365 環境のほぼすべてには、標準的なセキュリティ レビューでほとんど話題にならないリスクが潜んでいます。多くの企業は、クラウドの利用範囲が 1 つのディレクトリで明確に区切られていると考えがちです。しかし実際には、計画しないまま、いつの間にか複数の Microsoft Entra テナントを保有していることがよくあります。部門、個々の従業員、外部のプロジェクト チームが、会社のクレジット カードを使って簡単なパイロット、製品デモ、テスト環境を立ち上げると、新しいテナントが誕生します。

Microsoft は、中央 IT が管理しておらず、存在すら把握していないことも多いこれらの独立した環境を、シャドーIT テナントに分類しています。セキュリティ チームが外部の攻撃者、盗まれたパスワード、巧妙なフィッシング キャンペーンから正面玄関を守るために多額の費用をかけている一方で、2 年前に作成されて忘れ去られたテスト テナントを通じて、裏口が無防備に開いたままになっているかもしれません。管理者の監視が一切なく、パッチも当てられず、監視もされていないシャドーテナントがバックグラウンドで動いているなら、攻撃者は厳重に監視された防御を突破する必要すらありません。

この危険は理論上のものではありません。誰も管理していないテナントは、簡単に誤った構成になり、機密性の高い会社のデータを許可されていない第三者に公開してしまう可能性があります。こうした環境は標準のプロビジョニングや監査のプロセスの外にあるため、四半期ごとのアクセス レビューに決して表示されません。外部監査人から特定のファイル群に誰がアクセスできるのかと問われたとき、肩をすくめるだけでは規制要件を満たせません。見えているものしか保護できず、そして今、資産の一覧は不完全である可能性が高いのです。

Microsoft Entra が忘れ去られたテナントを表面化する仕組み

幸いなことに、Microsoft には、これまでずっと生成され続けてきた接続シグナルを分析することで、こうした隠れた環境を見つけ出す組み込みの仕組みが用意されています。この機能は、従業員が登録してきたデジタル資産をすべて管理者が手作業で一覧化するのではなく、関連するテナントを検出することに依存しています。

企業間 (B2B) アクティビティのシグナル

Microsoft Entra でテナントを発見するための最初の主要なシグナルは、企業間(B2B)のアクティビティです。Microsoft Entra は、ゲストのサインイン、外部ゲストの登録、そして自社のプライマリ ディレクトリと外部環境の間で行き来する管理者のアクセスフローを継続的にスキャンします。組織のユーザーが未知のテナントと積極的に共同作業をしている場合、そのような相互の結びつきは測定可能な接続として記録されます。

マルチテナント アプリケーションの登録

現代のクラウド アーキテクチャは、組織の境界をまたぐアプリケーションに大きく依存しています。2つ目の発見シグナルは、マルチテナント アプリの登録を追跡します。これには、自社のプライマリ テナントに登録され外部ディレクトリにアクセスするカスタム アプリケーションや商用アプリケーションに加え、外部テナントから提供され自社環境内でアクティブなアクセス許可と API トークンを保持しているサードパーティ製アプリも含まれます。これらのプログラムによる接続は、明確な監査証跡を残します。

共有の課金アカウント

おそらく最も意外な発見の経路は課金です。Azure の課金アカウントや企業契約の構造を共有しているというだけの理由で、2つの別々の Microsoft Entra テナントが構造的につながっている場合があります。招待を送る必要もなく、ユーザーが境界をまたいで手動でサインインする必要もありません。管理されていないテナントが自社のエンタープライズ課金プロファイルを通じて Azure サービスの料金を支払っている場合、またはその逆の場合、この接続はガバナンスの枠組みから即座に見えるようになります。

管理されていないテナントを中央ガバナンスの下に置く

発見プロセスで関連テナントの一覧が挙がったら、管理者は、どの環境を維持し、どの環境を廃止し、残す環境をどのように統制するかを決める必要があります。数年かかる大規模なテナント移行プロジェクトを行う代わりに、組織は正式なガバナンス関係を確立できます。

ガバナンス関係とは、親テナントが統制し、子テナントが統制される側となる、方向性のあるリンクです。重要な点として、これは完全な技術的統合ではありません。統制される側のテナントは、自身のユーザー、データ、ローカライズされたワークロードを引き続き保持します。この設定には、安全な3ステップのハンドシェイクが含まれます。

• 統制される必要があるテナントが、親テナントに管理者招待を送信します。
• 親テナントは、許可される管理者アクセス許可を定義した特定のポリシー テンプレートを含む要求で応答します。
• 子テナントがポリシー テンプレートを確認して承諾し、安全な管理リンクが有効になります。

この構造により、IT 管理者は統制するテナント内のアカウントを使い、単一の管理センターから複数の環境を管理できます。数十の個別のテナント ポータルにそれぞれ別々の切断された管理者資格情報を維持するという、セキュリティ上の面倒な状況も解消されます。

マルチテナント環境の監視と保護

発見とガバナンスの関係は、ほんの始まりにすぎません。シャドー IT が組織内に再び広がらないようにするには、継続的な構成の監視と、安全な作成の統制を実装する必要があります。

構成の監視では、管理者が想定される設定のベースラインを定義し、実際のクラウド環境の継続的なスナップショットを取得できます。自動監視機能が6時間ごとに両者を比較します。対象は Microsoft Entra、Microsoft Intune、Exchange Online、Microsoft Teams、Microsoft Purview、Microsoft Defender にまたがる200以上のリソースの種類です。ドリフトが発生した場合、セキュリティ チームに直ちにアラートが送信されます。

さらに、安全なテナント作成の統制により、組織は新たな Microsoft Entra テナントを作成できるユーザーを最初から制限できます。承認された新しいテナントは、作成と同時にガバナンス関係へ自動的に紐付けることができ、新しいクラウド環境が管理されない状態でライフサイクルを開始することを防げます。

まとめ

管理されていないシャドー IT テナントは、企業のセキュリティ、データ プライバシー、コンプライアンス体制にとって、静かな脅威です。Microsoft Entra に組み込まれた発見シグナルを活用し、正式なガバナンス関係を確立し、継続的な構成監視を徹底することで、IT リーダーは、広範に広がる組織のクラウド環境全体を、ついに完全に可視化できるようになります。このテーマをさらに掘り下げ、最新のクラウド管理に関する専門家の知見を聞くには、M365 FM Podcast のエピソード全編をお聴きください。

よくある質問

Microsoft Entra におけるシャドー IT テナントとは何ですか?

シャドーITテナントとは、中央のIT部門が把握も監督もしていない状態で、従業員、部門、またはプロジェクトチームが作成した、管理されていないMicrosoft Entraの環境です。こうした環境では、企業のセキュリティベースラインの外で、テスト用のワークロード、パイロット、デモなどが動いていることがよくあります。

Microsoft Entraは、未知のテナントをどのように検出するのでしょうか。

Microsoft Entraは、既存の接続シグナルを分析して関連するテナントを検出します。このシグナルには、ビジネス間(B2B)ゲストのアクティビティ、マルチテナントアプリケーションのアクセス許可、共有の請求アカウントやエンタープライズ契約などが含まれます。

ガバナンスの関係を結ぶには、テナントの完全な移行が必要ですか。

いいえ。ガバナンスの関係は、親テナントと子テナントの間に、安全で方向性のある管理リンクを確立するものです。ユーザー、メールボックス、データを単一のディレクトリに移行する必要はありません。

構成監視はどの程度の頻度でテナントの設定を確認しますか。

構成監視は、数百種類のリソースタイプを対象に、6時間ごとに実際のクラウド環境と定義済みのポリシーベースラインを自動的に比較します。