Microsoft Entra External ID: 外部ID の管理とテナント

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Microsoft Entra で外部 ID を管理する: パートナーとゲストのオンボーディング、B2B コラボレーション、クロステナント アクセス、条件付きアクセス、アクセス レビュー。

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID は、従業員用のワークフォース テナントの外にある顧客、パートナー、ゲストの ID を管理するのに役立ちます。まずビジネス上のシナリオを切り分け、ID のライフサイクルとサインイン方法を定義し、責任を持つオーナーを割り当て、代表的なユーザーでアクセス ポリシーをテストしてください。外部 ID の設計では、ユーザー エクスペリエンス、セキュリティ、ガバナンス、運用コストを最初から組み合わせて検討する必要があります。

Microsoft Entra External Identities を使うと、社外の人を Microsoft 365 のエコシステムに安全に迎え入れられます。パートナー、ベンダー、契約社員、あるいは Teams や SharePoint へのアクセスが必要な数人のゲストがいる場合に、円滑かつ安全な協業を支える仕組みです。外部ユーザーにチームの一員のように共同作業してもらえますが、狐を鶏小屋に野放しにすることはありません。

IT プロフェッショナルにとっては、「誰がテナントに出入りしているのか」「どのデータに触れているのか」を夜遅くまで心配する必要が減ります。Microsoft Teams、SharePoint、そして Microsoft 365 のその他のサービスは、全員が安心して共同作業できる場所になります。このガイドでは、セキュリティとコンプライアンス要件に目を配りながら、外部 ID を実装、管理、拡張する方法を具体的に解説します。明日のニュースに情報漏えいの見出しとして自社名が載るのは誰も望みませんから。協業のための強固なガードレールの価値について詳しくは、Teams のガバナンスが混乱を自信のある協業に変える方法をご覧ください。

Microsoft Entra External Identities に関する 7 つの意外な事実

1. 大規模な顧客・パートナー向けサインイン: Entra ID External Identities は数百万人規模の外部ユーザーをサポートし、組み込みのスマート スロットリングとグローバル インフラストラクチャを使って大量の一般消費者のサインインにも対応できます。そのため、アクセスが集中する顧客向けアプリに適しています。
2. アクティブ ユーザー単位の従量課金: アカウントごとの従来型ライセンスではなく、Entra ID External Identities は月間アクティブ外部ユーザー数に基づく従量課金を提供します。散発的に利用するユーザーが多いアプリでは、コストを大幅に抑えられる場合があります。
3. ソーシャル ID プロバイダーとエンタープライズ ID プロバイダーに対応: 外部ユーザーは、ソーシャル アカウント (Google、Facebook、Apple) でサインインすることも、エンタープライズ フェデレーション (SAML、OpenID Connect、Azure AD) を利用することもできます。独自の認証コードを書かずに、柔軟な ID エクスペリエンスを提供できます。
4. 招待と直接フェデレーションによるクロステナント コラボレーション: Entra ID External Identities は、招待、直接フェデレーション、またはエンタイトルメント管理による B2B コラボレーションを可能にします。セキュリティとガバナンスを維持しつつ、パートナーのアクセスを簡素化します。
5. 組み込みの条件付きアクセスと ID 保護: 外部ユーザーにも、社内ユーザーと同じ条件付きアクセス ポリシー、MFA、リスクベースの保護を適用できます。顧客とパートナーの ID に関する攻撃対象領域を減らせます。
6. カスタム ブランディングとカスタマイズ可能なユーザー ジャーニー: Entra ID External Identities 内の Azure AD B2C の機能を使うと、ブランドに合わせたサインアップとサインインの体験を完全に構築し、本人確認、ソーシャル アカウントのリンク、プロファイル収集のためのユーザー ジャーニーを調整できます。
7. Microsoft のエコシステムと API とのシームレスな統合: Entra ID External Identities は、Microsoft Graph、Azure AD アプリ、ロールベースのアクセス制御、後続のサービスと統合されます。Microsoft のアプリやカスタム アプリケーション全体で、外部 ID を一元管理できます。

Microsoft Entra の外部 ID とは

Microsoft Entra の世界で外部 ID とは、その名のとおり、組織の外部の人が所有するアカウントのことです。外部の人に社内ユーザーと同等のアクセス権を与えるのではなく (誰も望まないことです)、Entra では管理された条件のもとで外部ユーザーを受け入れられます。たとえば、共同プロジェクトに取り組むパートナー、IT システムを支援するベンダー、デザインを手伝うフリーランス、共有ポータルにアクセスする顧客などが該当します。

では、そもそも何をもって ID を「外部」と見なすのでしょうか。要するに、会社のログイン、Microsoft アカウント、さらには Google アカウントなど、自身の資格情報を使ってアプリ、Teams のスペース、共有ドキュメントにアクセスするユーザーすべてが外部 ID です。内部ユーザーの ID は自社のディレクトリで発行されます。一方、外部のコラボレーターは他者が発行した資格情報を持って入ってきますが、そのアクセスは自社のセキュリティ ポリシーによって管理されます。

典型的なユースケースとしては、建設パートナーに Teams でプロジェクトの共同作業をしてもらう場合や、政府機関と SharePoint で機密文書を共有する場合などが挙げられます。社外の人ごとに新しいユーザー名とパスワードを作成するのではなく、ゲストとして招待し、アクセス許可を厳密に管理して、社内と社外の区別を明確に保ちます。このアプローチにより、組織は大規模なコラボレーションを実現し、管理の手間を減らし、誰が、いつ、なぜ、何を閲覧できるのかを把握しやすくなります。また、外部からのアクセスを追跡し、最初からセキュリティ管理を適用することで、コンプライアンスの取り組みも支えられます。

社外にまでチームワークが広がる現代の働き方では、Microsoft Entra で堅牢な外部 ID の仕組みを整えることは、もはや選択肢ではなく必須です。

Microsoft Entra External ID の概要と主な機能

Microsoft Entra External ID は、中核となる組織の外にいるユーザーとの安全で拡張性のあるコラボレーションに応えるプラットフォームです。いわば入口の用心棒のようなもので、適切なゲストを迎え入れ、利用環境を整然と保ち、制限エリアへの侵入を防ぎます。Microsoft Teams や SharePoint でパートナー、ベンダー、顧客をお迎えする場合も、Entra External ID を使えば、適切な管理を伴って安心して受け入れられます。

主な機能には、簡単に利用できる B2B（企業間）ゲスト ユーザー管理、幅広い ID プロバイダーとの統合、柔軟な認証オプションがあります。職場、学校、またはソーシャル アカウントを使ってユーザーを招待でき、リソースへのアクセス方法も細かくカスタマイズできます。外部ユーザーが新たにアカウントを作成する必要はなく、信頼しているアカウントをそのまま使えます。一方で、管理者は強力なアクセス制御とポリシーで境界を設定できます。

Entra External ID は、単に扉を開くだけでなく、お客様の仕様どおりに施錠を維持するためのものです。Microsoft Entra 管理センターから一元的にユーザーを管理でき、外部からのアクセスをすべて監視、監査、統制する高度な機能も備えています。ゲストごとに異なるポリシーを設定したり、どの Teams や SharePoint のスペースにアクセスできるかを制御したり、広範なログとレポートによってコンプライアンスを確保したりできます。

IT 担当者にとっての大きなメリットは、Entra External ID が、単純なゲストアクセスから、テナント間コラボレーション、ブランド化されたユーザー エクスペリエンス、カスタム ポリシー、自動化されたワークフローといった高度なシナリオまで対応している点です。その結果、手作業によるユーザー管理が減り、共有がより安全になり、プロジェクトやパートナーシップの規模が拡大しても統制を効率的に維持できます。

Microsoft Entra External Identities 実装ガイド

Microsoft Entra External Identities の実装は、コラボレーションと統制の適切なバランスを取ることが目的です。このセクションでは、社外のコラボレーターを迎え入れる際に、外部アクセスを慎重に展開する準備を行います。組織の生産性とセキュリティを保ったまま、ゲストやパートナーに必要なツールを提供する方法を確認できます。その間も、アクセス、認証、ポリシーの適用はお客様が主導権を持ち続けられます。

実装の流れでは、B2B コラボレーション、テナント間のアクセス構成、さまざまな ID プロバイダーの設定といった概念が登場します。これらはいずれも、外部ユーザーをどのように受け入れ、整理された状態を保つかにおいて重要な役割を果たします。また、なぜ戦略的な計画が欠かせないのかについても解説します。招待、ユーザー フロー、テナント間ルールを事前に構成しておけば、混乱や無秩序な広がりを抑え、セキュリティとガバナンスの結果をより予測しやすくなります。

以降の詳細な手順では、この全体プロセスの主要な各部分を順に取り上げます。外部ユーザーの招待と管理、サポートする ID プロバイダーの細かな調整、パートナー組織との信頼関係の設定などです。常に重視しているのは、ユーザーにとって簡単で、IT 部門とコンプライアンス担当者にとって安全で追跡可能なコラボレーションを実現することです。Entra External Identities を最大限に活用するために、次のセクションで具体的な作業に入る前に、まずは基本的な構成要素を理解しておきましょう。

Microsoft Entra での B2B コラボレーションの設定

1. テナントにゲストユーザーを追加する: まず、Microsoft Entra 管理センターや、統合された Microsoft Teams / SharePoint のワークフローから、外部の共同作業者を直接招待します。招待は、職場、学校、または個人のメールアドレス宛てに送信できます。このオンボーディングにより、各ゲストユーザーが登録され、追跡可能になり、セキュリティポリシーに紐づけられます。
2. 招待設定を構成する: 組織内で誰がゲストを招待できるか、また招待にどの情報が必要かを決めます。招待を特定の部門に限定することも、セルフサービスを有効にしてプロジェクトの共同作業を加速することもできます。誤って過剰に共有してしまうことを防ぐため、明確な招待ルールを定めておく価値があります。
3. ユーザーのアクセスとアクセス許可を設定する: 招待後は、ゲストユーザーを適切なグループ、Teams、または SharePoint サイトに割り当てます。機密性の高いリソースを制限するにはロールベースのアクセス制御 (RBAC) を使用し、会社のポリシーに沿った共有設定を適用します。細かく制御することで、ゲストの無秩序な増加や、意図しない公開を防げます。
4. Teams と SharePoint のガバナンスと統合する: セキュリティとコンプライアンスの目標を強化するコラボレーションポリシーを適用します。Teams ガバナンスに関するこちらのガイドで説明されているとおり、アクセス許可、命名規則、ライフサイクルポリシーを標準化すると、ゲスト管理が効率化され、データ漏えいや混乱のリスクを最小限に抑えられます。
5. 継続的なアクセスを監視・管理する: 誰がアクセスできるかを定期的に確認し、コラボレーション権限が不要になったユーザーの権限を削除または縮小するとともに、長期間のゲストには再承認を求めます。ゲストアクセスを常に把握しておくことで、管理者のいないアカウントを防ぎ、デジタルワークスペースを安全に保てます。これは、Teams ガバナンスに関するガイダンスや、外部コラボレーションを管理するためのベストプラクティスでも強調されているとおりです。

Entra External Identities のクロステナントアクセス設定の構成

1. 信頼関係を定義する: コラボレーションにおいて信頼すべき外部の Microsoft Entra 組織 (テナント) を決定します。ここでは、どのテナントが接続できるか、また内部ユーザー、ゲスト、またはその両方のどの種類のユーザーを許可するかを指定します。適切な関係を早い段階で設定しておくことが、安全で円滑なコラボレーションの土台になります。
2. 受信と送信のアクセスを構成する: 受信アクセスとは、外部テナントのユーザーが自組織の環境に入ることを許可することです。送信の制御では、自組織のどのユーザーが他のテナント内のリソースにアクセスできるかを管理します。これらの設定を調整することで、誰が入り、誰が出られるかを厳しく制限し、リスクへの露出を最小限にできます。
3. 共有リソースを制御する: テナントの境界を越えて共有できるデータやサービスに対するポリシーを割り当てます。機密性の高い Teams スペースや SharePoint ドキュメントなどの重要なリソースへのアクセスを制御し、適切に審査された外部ユーザーだけがアクセできるようにします。大規模なコラボレーションであっても、機密コンテンツが不適切な人の手に渡ることを防げます。
4. テナント間の同期と API を活用する: 継続的な関係がある場合、クロステナント同期と Microsoft Graph API を使うと、ID管理、グループメンバーシップ、ユーザー情報の更新を自動化できます。これらのツールにより、手作業を繰り返すことなく、複数組織にまたがる動的なプロジェクトを支えやすくなります。
5. アクセスを監視し、コンプライアンスを徹底する: Entra のログとレポートを使って、クロステナントアクセスを定期的に監査します。異常や不要な接続を見つけた場合は、すぐにポリシーを強化してください。コンプライアンス監査が一般的になるにつれ、この継続的な確認によって、共同作業の基盤を堅牢で説明可能な状態に保てます。

ID プロバイダーと認証オプションの選択

1. Azure AD テナントを接続する: 外部の B2B ユーザーの多くは、他組織の Azure AD から来ることになります。そのユーザーのホームテナントをリンクすることで、ユーザーは職場の資格情報でサインインでき、アクセス許可とアクセス制御はこちら側で設定できます。これによりパスワードを使い分ける手間がなくなり、双方のセキュリティ態勢の維持にも役立ちます。
2. Microsoft アカウント（MSA）を有効にする: 一般向けの Microsoft アカウント（Outlook.com など）を使うユーザーを含めたい場合は、Entra のMSA サポートにより、企業のディレクトリに含まれないさまざまなコラボレーターと連携できます。これは顧客や市民向けのシナリオに最適です。
3. ソーシャルおよびサードパーティの IDP を追加する: できるだけ幅広いユーザーにリーチするには、Entra External ID を Google、Facebook、LinkedIn などの一般的なソーシャル ID プロバイダーと接続します。SAML や OpenID Connect に対応しているため、カスタムまたはレガシーの ID プロバイダーとも統合できます。Microsoft 以外のインフラを使用する外部パートナーにとっては、この点が重要です。
4. 認証要件を選択する: 各 IDP に対して、多要素認証（MFA）、デバイスのコンプライアンス ポリシー、ワンタイム パスコードを重ねて適用できます。強力な認証は信頼性を高め、外部ユーザーのパスワードが漏えいした場合でも、扉をしっかり閉ざしておけます。
5. ユーザー エクスペリエンスをカスタマイズする: サインアップとサインインのフロー、ブランディング、同意のプロンプトを調整して、外部ユーザーが最初のクリックの時点で貴社のスタイルを確認し、セキュリティ上の期待事項を理解できるようにします。シームレスな認証エクスペリエンスは摩擦を減らし、ヘルプデスクへの問い合わせを減らします。同時に、厳格な制御によって境界の防御を引き締めた状態を保てます。

Entra External Identities の高度な構成とカスタマイズ

基本を習得したら、次は創造性を発揮する段階です。Microsoft Entra External Identities の高度な構成オプションを使うと、組織は単純なゲスト オンボーディングの枠を超えて、ブランド化され、安全で自動化された外部ユーザー エクスペリエンスを構築できます。制御を犠牲にすることなく、外部コラボレーションを自社のビジネスに自然に溶け込ませるための仕上げを施す段階です。

ブランド化されたサインイン ページ、リスクや地理的条件に基づくカスタム ポリシー、特定の種類のパートナー向けの独自のオンボーディングの質問などが必要なシナリオを考えてみてください。コンプライアンス担当者がゲストにアクセスできるファイルをより厳密に管理したいと考えるかもしれませんし、顧客とサプライヤーで異なるユーザー フローが必要になることもあるでしょう。カスタム ポリシーとユーザー フロー管理を深く掘り下げると、可能性は大きく広がります。

さらに効率化と拡張性を追求するなら、Microsoft Graph API によって自動化の世界が広がります。一括招待、動的グループへの割り当て、さらには社内のチケット管理システムとアクセス要求を連携させることも、高度なカスタマイズによって実現可能です。

これから、IT チームが外部 ID のエクスペリエンスをどのように形作り、ビジネス要件が進化して複雑さを増す中でもガバナンスを最高水準に保てるかについて、ステップバイステップで解説していきます。

外部ユーザー向けのカスタム ポリシーとユーザー フローの管理

1. カスタムのサインアップとサインインのエクスペリエンスを設計する: ユーザー フローを使うと、外部ユーザーの登録時に特定の情報を収集し、組織のブランディングを追加し、利用規約への明示的な同意を求めることができます。このカスタマイズにより、ゲスト、パートナー、顧客のいずれであっても、すべてのユーザーが最初に受ける印象が、貴社のブランドとコンプライアンス要件に合致します。
2. ポリシーベースのアクセス制御を実装する: 外部ユーザーがリソースとどのように対話するかを制御するポリシーを作成して割り当てます。たとえば、リスクの高い操作には MFA を必須にする、ユーザーの種類やプロジェクトに基づいて機密ファイルへのアクセスを制限する、コラボレーションを許可するドメインをホワイトリストに登録する、といった設定が考えられます。
3. 属性とクレームを定義する: オンボーディング時に外部ユーザーから必要な情報（会社名、部署、プロジェクト コードなど）を収集し、その情報に基づいてポリシーとアクセス ルールを構築します。これにより、アクセス許可とレポートを細かく調整でき、条件付きのプライバシーやコンプライアンス要件にも対応できます。
4. ポリシーの公開をテストして反復する: サンドボックス環境でユーザー フローをプレビューしてから、本番環境に更新を展開します。外部コラボレーションの進化に合わせて、ポリシー構成を定期的に見直し、セキュリティ上の隙間を塞いだり、複雑なプロセスを簡素化したり、変化する規制要件に合わせたりしましょう。
5. ライフサイクルとオフボーディングを管理する: ゲスト アクセスの有効期限を自動的に設定し、ユーザーの状態に基づいてリソースの表示範囲を制限し、プロジェクトが完了したときにポリシーのトリガーを使ってレビューや削除を開始します。このような能動的な管理はリスクを減らし、コンプライアンスとガバナンス全体にわたるベスト プラクティスに沿ったゲスト管理を実現します。

Microsoft Graph API を使用した外部 ID の管理

1. ゲストの招待とオンボーディングを自動化する: Microsoft Graph API を使って、外部ユーザーの招待、リソース所有者による承認の取得、適切なグループや Teams へのゲスト追加までの流れをスクリプト化します。手作業を減らし、コラボレーションを素早く開始でき、繰り返し実行できてミスが起きにくいワークフローになります。
2. グループとリソースの割り当てを管理する: Graph API を使うと、外部ユーザーを SharePoint サイト、Teams、その他のアプリケーションに一括で割り当てたり、削除したりできます。プロジェクトの入れ替わりが激しい環境や、さまざまなリソースに一時的かつ迅速にアクセスする必要があるパートナーにとって特に有効です。
3. アクティビティを監視し、ガバナンスを徹底する: サインイン、アクセスイベント、変更などの外部ユーザーのアクティビティを自動的に追跡し、事前に設定したルールに基づいてアラートを送信したり、アクションを実行したりします。Teams の乱立を抑える方法を解説したこちらのガイドで紹介されているように、Power Platform や Power BI と連携すると、ライフサイクルの自動化と監査がこれまで以上に簡単になります。
4. チケット管理およびコンプライアンスツールと連携する: 招待ワークフロー、承認フロー、ライフサイクル管理を、サードパーティの ITSM やコンプライアンスシステムと接続します。Graph API を使えば Microsoft Entra を、より広範な自動化とワークフロー戦略に組み込めます。すべてのツールが足並みをそろえて連携する状態を実現できます。
5. 定期的なレビューを徹底し、オフボーディングを自動化する: スクリプトを設定して、所有者にゲストアクセスの定期的な見直しを促し、非アクティブなアカウントを削除対象としてマークし、安全な削除とデータ保持ポリシーへの対応を処理します。API による自動化を取り入れることで、リスクを抑えつつ、外部 ID が必要以上に長く残ることを防げます。

Microsoft Entra External Identities のセキュリティとアクセス管理

ゲスト、パートナー、ベンダーに対してデジタルの入口を開放することは生産性の向上につながりますが、適切なガードレールを確実に設定してこそ意味があります。Microsoft Entra で外部アクセスを正しく設定するには、複数のセキュリティ制御を重ねて構成することが重要です。Teams で機密性の高い業務情報を共有する場合も、SharePoint でドキュメントを共同編集する場合も、利便性とリスクを引き換えにしないようにしなければなりません。

このパートでは、これらのセキュリティの層について掘り下げます。特に、条件付きアクセスや多要素認証などの戦略的なポリシーによって、外部ユーザーに対する防御の水準を引き上げる方法に焦点を当てます。条件付きアクセスは、「入場は許可するが、当社のルールには従ってもらう」と定めるための仕組みです。デバイスのコンプライアンス基準は、社外ネットワークから接続するユーザーのラップトップであっても、データにアクセスする前に要件を満たしていることを保証します。

パートナーや委託先によるアクセスに起因する侵害は増加傾向にあり、手を抜く余裕はありません。以下のセクションでは、コラボレーションを保護し、意図しないデータ漏えいを防ぎ、コンプライアンス監査に備えるための主要なツールと設定手順を説明します。複数層にわたる Teams のセキュリティについてさらに知りたい場合は、ゲストやパートナーとのコラボレーションを五層の保護戦略で守る方法を扱ったTeams のセキュリティ強化に関するポッドキャストもぜひご覧ください。

外部ユーザーを対象とした条件付きアクセスポリシーの構成

1. 外部コラボレーション向けのポリシーテンプレートから始める: Microsoft Entra には、B2B ユーザーとゲストユーザー向けに設計された組み込みの条件付きアクセステンプレートが用意されています。これらのテンプレートを使えば、多要素認証の適用、サインインリスクの条件、外部ユーザーに対するレガシ認証のブロックなどの要件を素早く設定できます。
2. ポリシーの適用範囲と割り当てを構成する: 条件付きアクセスポリシーを「ゲストと外部ユーザー」などの適切なユーザーグループに適用し、リソースの機密度や業務シナリオに応じて権限を制限します。たとえば、一般的なプロジェクト Teams へのアクセスよりも、委託先による財務データへのアクセスに対して、より厳格な制御を求めるといったことが考えられます。
3. 細かいアクセス条件を定義する: サインインリスクスコア、デバイスのコンプライアンス状態、ネットワークの場所、セッション制御などの要素に基づいてルールを作成します。これにより、リスクの高い状況では締め付けを強化できます（例：管理されていないデバイスからのアクセスをブロックする）。一方で、リスクの低い信頼できるパートナーの利便性は損ないません。
4. ポリシーの影響をテストして監視する: Entra の「what if」ツールとレポート機能を使い、すべてのユーザーに展開する前に影響を確認してください。外部からのアクセス試行を継続的に監視し、実際のアクティビティに基づいてポリシーを調整しましょう。これにより、利便性を損なわずに、新たなリスクへの対応を迅速化できます。さらなるヒントについては、Copilot が最小権限アクセスと継続的な監視をどのように多層的に実現しているかを参照してください。
5. ポリシー違反への迅速な対応: 外部ユーザーがセキュリティ ルールに抵触した場合に備え、自動アラートと是正手順を設定しましょう。たとえば、即時のセッション取り消しや追加の ID 確認などが考えられます。これにより、ポリシーの適用と迅速なインシデント対応が一体となり、環境の整合性が守られます。

外部アクセスのための多要素認証とデバイスのコンプライアンス

多要素認証 (MFA) は、Microsoft 環境にアクセスしようとする外部ユーザーに対して重要な防御壁となります。電話に送信されるコードなど、2 つ目の認証手段を求めることで、盗まれた資格情報が悪用されるリスクを大幅に下げられます。デバイスのコンプライアンス チェックは、信頼でき、ポリシーに準拠したデバイスのみが機密データに接続できるようにする、もう 1 つの防御層です。最も効果的な防御のためには、すべての外部 ID で MFA をデフォルトで有効にし、リスクの高いアクセスシナリオでは Entra でデバイスの正常性チェックを必須にしてください。これらの対策を組み合わせることで、資格情報の窃取とマルウェアに対する露出を大きく減らせます。

Microsoft Entra External Identities の価格と課金の仕組み

コストは軽視できません。Microsoft Entra External Identities を利用する場合、課金モデルを理解しておけば、IT 予算で想定外の事態を避けられます。Entra の価格は、毎月サインインする一意の外部ユーザー数に基づいています。対象となるのは、ゲスト、パートナー、B2B の連絡先です。この指標は Monthly Active Users (MAU) と呼ばれ、コラボレーションの規模に合わせて拡張できるように設計されています。

この課金モデルを理解することは、IT リーダーや財務計画の担当者にとって重要です。予算の立て方だけでなく、オンボーディング、オフボーディング、定期的なアクセス レビューの設計にも影響します。外部アクセスを効率的に管理するほど、月々のコストは予測しやすくなり、場合によっては下がります。利用量の急増、季節的なプロジェクト、休眠アカウントを把握することは、今や収益に直結する課題です。

組織が Microsoft Teams、SharePoint などの 365 リソースを社外の関係者に開放するにつれ、ライセンスとユーザー数を把握しておくことが賢明です。以下の詳細な解説では、ユーザー階層のしきい値、無料と有料のアクセスの違い、予算を圧迫せずにコラボレーションを最適化するためのヒントを取り上げます。ライセンス価値を最大化するための詳しい情報は、Microsoft Copilot のライセンスに関するガイダンスが参考になるでしょう。同じ考え方は、Entra の ID に対する予算計画にも当てはまります。

外部 ID の価格モデルと Monthly Active Users

1. Monthly Active User (MAU) モデルを理解する: Microsoft Entra External Identities は、暦月中にテナントにサインインした外部ユーザーの一意の数を追跡します。各ゲストは、リソースにアクセスする回数に関係なく、月に 1 回だけカウントされます。
2. 無料の利用枠を活用する: Microsoft では、一定数の MAU を無料で提供しています(通常は 50,000 ですが、サブスクリプションの詳細を確認してください)。これは、中小規模の組織や、外部との共同作業が限定的なパイロット プロジェクトには、多くの場合十分な数です。
3. 有料ユーザーをしきい値に照らして確認する: ゲストの数が無料の MAU 枠を超えると、アクティブなユーザーが増えるごとにユーザー単位の料金が発生します。ライセンスのしきい値と価格は変更される可能性があるため、予算上の想定外の事態を避けるには、最新の Microsoft ドキュメントを定期的に確認してください。
4. 費用を見積もり、最適化する: Entra のレポート機能を使って外部ユーザーのアクティビティを監視し、休眠アカウントを特定して、無料枠内に収まるよう、または課金対象ユーザーを最小限に抑えるようアクセスを整理してください。ここでは、自動オフボーディングと定期的なアクセス レビューが強力な味方になります。
5. 特殊なシナリオも考慮します: プレミアム機能や高度なセキュリティ制御(条件付きアクセスや ID 保護など)を使用する外部 B2B ゲストには、追加のライセンスが必要になる場合があります。Copilot のライセンス ガバナンスと同様に、コラボレーション プロジェクトも計画的に割り当てましょう。適切な割り当てにより、不要なコストを抑えつつコンプライアンスを維持できます。

外部ユーザー ガバナンスのためのアクセス レビューの自動化

社外の人にデジタルの扉を開いておきたいけれど、永遠に開けっぱなしにはしたくない。そんなときに頼りになるのが、自動化されたアクセス レビューです。B2B やゲスト コラボレーションが広がるにつれ、誰がまだアクセスを必要としているのか、誰が非アクティブになったのか、誰が見落とされているのかを、毎月の Excel チェックリストで把握するのは限界があります。自動化によってこの混乱が整理され、時間と手間の両方を節約できます。

Microsoft Entra External ID のアクセス レビューでは、外部アカウントに対する定期的なポリシーベースのチェックをスケジュールできます。レビューの担当者(プロジェクト オーナー、IT 管理者、業務部門のリーダーなど)を割り当て、ゲストごとに必要性を確認するよう求めることができます。目的は、放置された孤立アカウントがセキュリティ リスクやコンプライアンス上の問題になる前に発見することです。

以降では、ライフサイクル管理、オフボーディング プロセス、そして自動化されたレビューを全体のガバナンス戦略にどう組み込むかを取り上げます。強力なガバナンスが混乱を確かな協働へと変える方法については、Teams のガバナンスとコラボレーションの フレームワークに関する記事を参照してください。外部 ID にも、同じ原則の多くが当てはまります。

外部 ID のオフボーディングのためのライフサイクル管理

1. 非アクティブまたは孤立したアカウントを特定します: 一定期間リソースにアクセスしていない外部ユーザーを見つけるために、定期的な監査や自動スキャンをスケジュールします。休眠アカウントは、すぐに整理しないとセキュリティ上の問題につながる侵入口になりかねません。
2. 削除手順を自動化します: Entra でポリシーを構成し、設定した期間(例: 60 日間の非アクティブ状態)が経過したとき、またはプロジェクトの完了時にゲスト アクセスが自動的に期限切れになるようにします。スクリプトや Graph API を使用して、継続的なアクセスの条件を満たさなくなったユーザーを一括で削除します。
3. リソース オーナーに通知して確認します: アクセス権を削除する際は、プロジェクト オーナーやチーム リーダーに通知し、正当なコラボレーションを妨げる可能性のある削除を確認・異議申し立てする機会を与えます。二重チェックを行うことで、セキュリティと生産性のバランスを適切に保てます。
4. データの保持とコンプライアンス ポリシーを定義します: オフボーディング後に、外部ユーザーが所有する共有コンテンツ、チャット ログ、ファイルをどう扱うかを決めます。規制要件とガバナンスのニーズに応じて、所有権の移譲、アーカイブ、削除の手順を整備します。
5. 監査に備えてオフボーディング プロセスを文書化します: オフボーディングしたすべてのアカウント、削除操作、そしてそれらの操作の根拠となったポリシー構成の記録を保管します。この文書は、コンプライアンス レビューや規制当局からの要請への対応において、非常に重要な役割を果たします。

Microsoft Entra External ID と Microsoft 以外のアプリケーションの統合

皆さんの技術環境が Microsoft 365 だけではないとしましょう。CRM、古い社内ポータル、いくつかの SaaS プラットフォームが混在しているかもしれません。Microsoft Entra External ID は、自社の Microsoft 製品の範囲に限定される必要はありません。その安全でポリシーベースのアプローチを、ほぼすべての外部システムに拡張でき、全体的な ID 管理をシームレスにできます。

クラウド アプリ、オンプレミス プラットフォーム、ハイブリッド環境のいずれであっても、Entra は安全な ID のブリッジとして機能します。SAML、OAuth、OpenID Connect との統合により、Salesforce、ServiceNow、古い Java アプリケーション、その他標準ベースのログインに対応したほぼすべてのシステムへ ID をフェデレーションできます。

この方法により、パートナー、顧客、ベンダーに対して、すべてのアプリケーションで共通の単一の外部 ID を提供しやすくなります。パスワードの使い回しによる負担や、手作業によるオンボーディングの煩雑さともお別れです。次のセクションでは、外部ユーザーに公開する際の安全なフェデレーション パターンと API の保護方法を確実に押さえる手順を紹介します。

フェデレーション パターンと外部 API のセキュリティ

• レガシーアプリ連携のためのSAML/WS-Federation: SAMLまたはWS-Fedを使い、Entra External IDを古い社内アプリやパートナー向けアプリに接続します。外部ユーザーは、Teams や SharePoint で使っているのと同じ資格情報でサインインできます。外部ユーザーの受け入れが簡素化され、パスワードの乱立も減らせます。
• SaaS やWebアプリ向けのOpenID Connect/OAuth: Entra の認証を、最新のクラウドアプリやカスタムポータルにも拡張します。外部ユーザーはシングルサインオンを利用でき、プラットフォームを問わず、セキュリティポリシーとコンプライアンスポリシーを重ねて適用できます。
• OAuth2 とトークン管理によるAPIセキュリティ: 外部パートナーにAPIを公開する場合は、Entra が発行するアクセス トークンを使った OAuth2 を利用します。スコープ、有効期限、トークンの失効を強制し、パートナー連携を厳格かつ監査可能な状態に保ちます。
• マルチクラウドおよびハイブリッドのフェデレーションパターン: AWS、Google、オンプレミスのディレクトリから来るユーザーの信頼基盤として Entra を活用します。アプリケーションがどこにあっても、フェデレーションによりポリシー、レポート、アクセスレビューを一つの中央ハブで管理できます。
• API利用状況の監視とスロットリング: 外部に公開するAPIには、レート制限とアクセスログの記録を実装します。これにより不正利用を防ぎ、コンプライアンスをサポートするとともに、紛争や調査の際に明確な監査証跡を残せます。

外部ID のコンプライアンスとデータプライバシー

Microsoft 365 環境に外部 ID を取り込むことは、ファイル共有以上の責任を伴います。規制遵守とプライバシーへの対応も求められます。GDPR、CCPA、または業界固有の規則のいずれであっても、Entra External ID は、外部アクセスを責任をもって適切に管理していることを規制当局に示すために必要な統制機能とレポート機能を提供します。

このセクションでは、プライバシー設定、同意管理、そしてすべてのユーザー関係における透明性の確保について解説します。外部ユーザーの同意を収集・管理する方法、プライバシーに関する通知を設定する方法、ユーザーが保有情報の確認や管理を求めた場合にデータ主体の権利に対応する方法を確認します。世界的にコンプライアンス基準が厳しくなる中、こうした機能が標準で備わっていることは、あれば望ましいというものではなく、必須といえます。

コンプライアンスの設定を適切に行えば、新しい法律に不意を突かれたり、データ主体からの要求に慌てたりすることはありません。Microsoft Copilot などの AI ツールを利用する組織では、プライバシー制御と同意の仕組みに共通する部分があります。詳しくは、Copilot のデータプライバシーの枠組みを解説した記事をご覧ください。次は、すべての外部ユーザーアクセスに対する監査証跡と堅牢なレポート作成の設定に焦点を当てます。

外部アクセスの監査証跡とレポート

1. 詳細なアクセスログを有効にする: サインイン、リソースの共有、アクセス許可の変更を含め、すべての外部ユーザーのアクティビティについてログを有効にします。包括的なログがあれば、誰が、いつ、どこで、何をしたかを完全に把握できます。
2. リアルタイムの監視とアラートを構成する: 外部アクセスの異常やリスクのある動作に対してアラートを設定します。失敗したサインイン試行や、不慣れな場所からのアクセスなどの不審な事象に、迅速に対応できるようになります。
3. レポート ダッシュボードを展開する: Entra 管理センター、または Power BI などの統合ツールを使い、外部ユーザーのアクティビティに関するレポートを取得します。監査や経営層への報告に向けて、コンプライアンスの状況を一目で示せます。
4. データエクスポートで規制要件に対応する: GDPR、CCPA、業界の義務に対応できるよう、エクスポート可能なログと定期レポートを保持します。規制当局や取引先から問い合わせがあった際に、セキュリティ上の警戒とオペレーションのガバナンスを実証できます。

Microsoft Entra 外部 ID のチェックリスト

Microsoft Entra External の機能: Microsoft Entra テナントと外部 ID の機能

Entra ID の外部 ID とは何か、また Azure AD の外部 ID とどのような関係があるのか

Entra ID の外部 ID（旧 Azure AD の外部 ID）は、組織が外部のユーザーや組織に対して、リソースへの安全なアクセスを許可できるようにする、Microsoft Entra の一連の機能です。顧客 ID およびアクセス管理、外部 ID の機能、外部 ID テナントのシナリオをサポートしており、外部のビジネスパートナー、サプライヤー、顧客との協業を可能にすると同時に、外部ユーザーの ID とアクセスを適切に管理できます。

外部ユーザーや外部テナントのアクセスは、どのように管理すればよいですか？

外部ユーザーのアクセスは、Azure AD B2B コラボレーションで招待し、外部ポリシーでコラボレーションを構成し、Microsoft Entra の機能（外部ユーザー向けの条件付きアクセス、エンタイトルメント管理、アクセス パッケージなど）を活用して管理します。外部組織を追加し、Microsoft Entra テナントで外部コラボレーションの設定を構成し、外部 ID プロバイダーの設定を使用して、ゲスト アカウントのアクセス許可とライフサイクルを制御できます。

外部ユーザーが自分の Microsoft Entra アカウントやその他のソーシャル ID を使用することを許可できますか？

はい。Microsoft Entra external ID は、外部ユーザーが Microsoft Entra アカウント、ソーシャル ID、ローカル アカウントのいずれでもサインインできる、強力なソリューションを組み合わせたものです。Microsoft Entra ID または Azure AD B2C を使用すると、Microsoft Entra アカウントの利用をサポートし、顧客 ID およびアクセス管理を有効にして、外部ユーザーに柔軟な認証オプションを大規模に提供できます。

ゲスト ユーザーの外部アクセスを保護し、MFA を信頼するにはどうすればよいですか？

外部アクセスは、外部 B2B 向けの条件付きアクセス ポリシーを適用し、高リスクの操作に対して MFA の信頼（多要素認証）を有効にし、外部 B2B コラボレーションのポリシーを適用することで保護します。外部ユーザーに MFA を要求したり、パートナー テナントの MFA を信頼したりできます。Microsoft Entra's の条件付きアクセスと ID 保護を使用すれば、外部コラボレーションを許可しながらリスクを低減できます。

ガバナンスとライフサイクル管理に役立つ外部 ID の機能には、どのようなものがありますか？

外部 ID の機能には、エンタイトルメント管理、アクセス パッケージ、ゲスト ユーザーのライフサイクルの自動化、アクセス レビュー、外部 B2B コラボレーションのポリシーなどがあります。Microsoft Entra external ID のこれらの機能により、管理者は誰がアクセスできるかを統制し、アクセスの有効期限を管理し、レビューを自動化できます。これにより、外部ユーザーと外部組織に対する安全なアクセスとコンプライアンスを確保できます。

ワークフォース テナントと外部テナントのシナリオは、Microsoft Entra でどのように違いますか？

ワークフォース テナントは通常、従業員の ID を保持し、社内ポリシーを適用します。一方、外部テナントは外部ユーザー、パートナー、顧客に使用されます。Microsoft Entra external ID は、テナント間のコラボレーションを許可し、外部コラボレーションの設定を構成し、ポリシーを使い分けることで、ワークフォース テナントと外部テナントの両方をサポートします。これにより、社内の従業員のアクセスと、外部パートナーとのコラボレーションを個別に管理できます。

複数の Microsoft Entra 組織をまたいで、外部のビジネス パートナーとコラボレーションできますか？

はい。Microsoft Entra は、外部組織とのコラボレーションや、複数のテナントをまたいだ外部パートナーとの連携をサポートしています。Azure AD 外部 ID、テナント間アクセス設定、外部ユーザー向けの条件付きアクセスなどの機能により、他の Microsoft Entra 組織とのコラボレーションが容易になり、Microsoft 365 やその他のリソースへの安全なアクセスが提供されます。

Microsoft Entra は、外部ユーザーの規模拡大と自動オンボーディングにどのように対応しますか？

Microsoft Entra external ID は、一括招待、セルフサービス サインアップ、顧客 ID およびアクセス管理システムとの統合をサポートすることで、外部ユーザーの拡張性を実現します。external ID テナントの機能を使用すると、オンボーディングを自動化し、アクセス パッケージで一貫したアクセス ポリシーを適用し、監査とレポート機能を活用して外部ユーザーを大規模に管理できます。

外部コラボレーションとアクセス ポリシーを構成するためのベスト プラクティスは何ですか？

ベスト プラクティスには、外部ユーザー向けの条件付きアクセスの利用、MFA の信頼の有効化、ゲストの権限を制限するための外部コラボレーション設定の構成、アクセスのライフサイクルに対する Microsoft Entra エンタイトルメント管理の利用、外部アクティビティの監視が含まれます。外部 ID の機能と厳格なアクセス ポリシーを組み合わせ、外部 B2B コラボレーションの安全性を確保しながら、外部のビジネス パートナーとの連携を可能にしてください。

Entra ID External Identities とは何ですか？また、Azure Active Directory とはどのような関係にありますか？

Entra ID External Identities は、安全なアクセスが必要な外部ユーザーやパートナーを管理するための Microsoft のソリューションです。Microsoft Entra の一部であり、従来の Azure Active Directory モデルを基盤としています。外部 ID による B2B コラボレーション、Google や Facebook などのソーシャル ID、フェデレーションのシナリオを可能にします。また、条件付きアクセスやガバナンスなどの Azure Active Directory の機能と統合され、企業への安全なアクセスを提供します。

外部 ID の B2B コラボレーションと個々の外部コラボレーターは、どこが異なりますか。

外部 ID の B2B コラボレーションとは、一般的に、他の Microsoft Entra 組織やテナントをまたぐユーザーを、自社または管理対象のアカウントを使ってコラボレーションするよう招待することを指します。個々の外部コラボレーターは、Google などのコンシューマー向けまたはソーシャル ID を使ってサインインすることが多くなっています。どちらのモデルも外部ユーザーとのコラボレーションを可能にしますが、B2B では、ゲストは従業員が所属する Microsoft Entra テナントに留まり、他の Microsoft や連携 ID プロバイダーから得た組織の ID とクレームも維持されます。

ゲストアクセスに Google や Facebook などのソーシャル ID を使用できますか。

はい、Entra ID External Identities は Google や Facebook などのソーシャル ID をサポートしており、ユーザーはこれらの ID を使ってサインインできます。これらのソーシャル ID は Microsoft Graph API による自動化にも対応しており、Azure portal の外部コラボレーション設定で構成できます。企業の Azure AD アカウントを持たないパートナーや契約社員にとって、ソーシャルサインインはオンボーディングを簡素化します。

料金はどのように決まりますか。Microsoft Entra External Identities の課金モデルとは何ですか。

Microsoft Entra 外部 ID の課金モデルは、一般的に外部ユーザーを対象とした従量課金制で、機能や月間アクティブユーザー数に応じて階層が分かれています。Microsoft は Microsoft Entra の外部利用に関する課金モデルの詳細を公開しています。最新の価格は、お使いのサブスクリプションと Azure portal で確認してください。一部のシナリオでは、機能が Azure AD B2C の提供内容と重なる場合があります。顧客向けの ID エクスペリエンスには、Azure AD B2C も独自の価格体系で引き続き利用できます。

Entra ID のガバナンスとコンプライアンスクレームを含め、どのようなガバナンスおよびコンプライアンスの機能が利用できますか。

外部 ID に対する Entra ID のガバナンス機能には、エンタイトルメント管理、アクセスレビュー、ライフサイクルの自動化があります。これらにより、コンプライアンスに準拠したクレームと Microsoft Entra ポリシーが確実に適用されます。他の Microsoft テナントや外部 ID プロバイダーからのクレームは、マッピングと変換を行い、コンプライアンスポリシーに適合させることができます。Entra ID のガバナンスは、誰がアクセス権を持つか、ゲストが Microsoft のリソースにどのようなアクセス権を持つかの管理に役立ちます。また、監査要件や規制要件を満たしながら、企業への安全なアクセスを維持します。

外部コラボレーションの設定を構成し、他の Microsoft テナントとのコラボレーションを管理するにはどうすればよいですか。

外部コラボレーションの設定は Azure portal で構成します。ここで、招待ポリシー、既定のユーザー アクセス許可、外部ユーザーに対する制限を設定できます。他の Microsoft 組織やテナントをまたぐコラボレーションを管理するには、Azure AD B2B コラボレーションの機能を使用します。パートナー企業の従業員を含む Microsoft Entra テナントからのユーザーを受け入れ、条件付きアクセスを設定し、ガバナンスの制御を適用します。Microsoft Graph API による自動化を使うと、招待、プロビジョニング、ライフサイクル管理を効率化できます。

Microsoft Entra ハイブリッド参加デバイスと Microsoft Entra 条件付きアクセスは、外部ユーザーでもサポートされていますか。

Microsoft Entra の条件付きアクセスポリシーは、リスク、デバイスのコンプライアンス状態、ネットワークの場所に基づいてアクセスを制御するために、外部ユーザーにも適用できます。ただし、Microsoft Entra ハイブリッド参加デバイスのシナリオは、主にテナント内の企業所有デバイス向けです。個々の外部コラボレーターは、通常デバイスをハイブリッド参加として登録しません。外部組織のデバイスを含むテナントで管理され、お客様のポリシーを信頼しているパートナー組織のアカウントであれば、準拠済みまたはハイブリッド参加のデバイスを要求できます。

Microsoft Graph API による自動化は、外部 ID の管理にどのように役立ちますか。

Microsoft Graph API を使うと、外部 ID 機能の招待、ゲスト ユーザーのライフサイクル、グループ メンバーシップ、エンタイトルメント管理をプログラムから管理できます。多くの ID 機能は Graph API でもサポートされているため、既存の ID ガバナンスや IAM ツールと連携し、任意の Microsoft Entra テナント内のユーザーについて、プロビジョニング、プロビジョニング解除、アクセス レビュー、レポート作成といったワークフローを自動化できます。

顧客向けのアプリには Azure AD B2C と Entra ID External Identities のどちらを使うべきでしょうか?

Azure AD B2C は、ユーザー フローやソーシャル プロバイダーを幅広くカスタマイズできる、コンシューマー向けアプリケーション向けの製品です。一方、Entra ID External Identities と Azure AD B2B collaboration は、外部ユーザーやワークフォースのパートナーとのコラボレーションに最適化されています。高度なコンシューマー向けフローが必要なシナリオでは、引き続き Azure AD B2C を利用できます。シナリオが外部ユーザーとのコラボレーションなのか、顧客 ID の管理なのかを検討し、Microsoft Entra の外部展開に適したテナントとモデルを選択してください。

複数の Microsoft Entra テクノロジーにまたがって、外部ユーザーとのコラボレーションを保護するためのベスト プラクティスは何でしょうか?

ベスト プラクティスとしては、最小特権のアクセスとエンタイトルメント管理を使用すること、リスクベースのサインイン制御のために Microsoft Entra の条件付きアクセスを適用すること、外部アカウントに多要素認証を有効にすること、他の Microsoft ソースからのクレームを監視すること、ゲスト アクセスを監査することが挙げられます。Microsoft Entra のガバナンス機能を使ってアクセス レビューをスケジュールし、Graph API でライフサイクル タスクを自動化し、Azure portal で設定を一元管理することで、外部テナントや個人の外部コラボレーターと連携する際にも、エンタープライズへのアクセスを安全に保つことができます。

Microsoft Entra External ID: 導入に関する判断

現在のプラットフォームの選択は、Microsoft Learn for External ID で確認してください。Azure AD B2C からの移行には慎重な計画が必要です。テナント識別子、認証機関の URL、アプリケーションの構成、ユーザー フローは、自動的に移行されると想定せず、評価する必要があります。

よくある質問

Microsoft Entra External ID は顧客だけを対象としていますか?

いいえ。顧客向けアプリケーションや、ワークフォース テナント外の人が関わるコラボレーションのパターンなど、外部 ID のシナリオをサポートしています。

外部ユーザーをオンボードする前に、何を文書化すべきですか?

ビジネス オーナー、ユーザー層、アプリケーションの目的、サポートされるサインイン方法、アクセス レビューのプロセス、サポートの窓口を文書化してください。

最終レビュー: 2026年7月

🎧 あわせて聴きたいエピソード

• Microsoft Entra の ID ガバナンス

  Microsoft Entra External ID を持続的に運用するための、ライフサイクル、オーナーシップ、レビューの実践について学べます。

• Microsoft Entra Private Access をわかりやすく解説

  別の Entra のアクセス パターンと、安全な ID サービスの背後にあるアーキテクチャの検討事項を解説します。

• Microsoft Entra ID におけるゲストの条件付きアクセス完全ガイド

  外部 ID の計画と、ゲストやパートナーのアクセスに対する実践的なセキュリティ制御を結びつけます。