無駄なコストを止める: PowerShellでMicrosoft 365のライセンス最適化を自動化する方法

By Mirko Peters · 2026-08-11 · Updated 2026-08-28

ブログへようこそ。Microsoft 365テナントを管理している方なら、月末に請求書を開いたときの、あの嫌な予感をご存じのことでしょう。前の会計年度以降サインインしていないユーザーに、数十件、場合によっては数百件のアクティブなライセンスが割り当てられているのを目にすることになります。管理センターを手作業で確認するのは仕事をした気になれますが、古くなったアカウント、危険な共有、大量のライセンスの無駄遣いを見落としがちです。管理センターの抜き取り確認を続けて四半期ごとの監査で嫌な驚きに遭うのにうんざりしたなら、そろそろ自動化をワークフローに取り入れるときです。

Automatically translated with AI from the original post. Read the English original

ブログへようこそ。Microsoft 365テナントを管理している方なら、月末に請求書を開いたときの、あの嫌な予感をご存じのことでしょう。前の会計年度以降サインインしていないユーザーに、数十件、場合によっては数百件のアクティブなライセンスが割り当てられているのを目にすることになります。ポータルでの手作業による確認は仕事をした気になれますが、古くなったアカウント、危険な共有、大量のライセンスの無駄遣いを見落としがちです。管理センターの抜き取り確認を続けて、四半期ごとの監査で嫌な驚きに遭うのにうんざりしたなら、そろそろ自動化をワークフローに取り入れるときです。

本記事では、サインインログとアクティブなライセンスを突き合わせる、スケジュール実行型のPowerShellスクリプトの書き方を詳しく解説します。このガイドを読み終える頃には、未使用のSKUを特定し、毎月の不要なコストを削減し、管理作業の肥大化からテナントを守る方法がわかるようになっています。

Microsoft 365ライセンス最適化の概要

ライセンスの最適化は、年に一度の頭痛の種と見なされがちです。IT管理者は手作業でエクスポートデータをかき集め、部門責任者に問い合わせて契約社員がまだ在籍しているかを確認し、アカウントが本当に使われていないかを推測します。このような事後対応では、予算の無駄遣いが避けられません。退職した契約社員や退社した従業員のアカウントにE5やBusiness Premiumのライセンスが割り当てられたままの日は、組織の資金が流出し続けていることになります。

この問題を解決するには、ライセンスの最適化を継続的な自動化プロセスとして扱う必要があります。PowerShellとMicrosoft Graphの力を活用すれば、大変な作業をスクリプトに任せ、コーヒーを淹れ終える前に実行可能なデータを手に入れられます。

手作業によるポータル確認の限界

ネイティブのMicrosoft 365 管理センターだけに頼ってはいけないのでしょうか。ポータルは利便性を重視して設計されており、深いガバナンスのためのものではありません。Webインターフェイスにログインすると、過去の経緯がわからない時点のスナップショットを見ることになります。ポータルでは、数千人のユーザーについて、最終サインイン日と特定のライセンスSKUを1つの見やすい画面で突き合わせることが簡単にはできません。

さらに、手作業による確認は人の記憶に完全に依存します。サービスアカウントを確認することを覚えていたでしょうか。その共有メールボックスに本当にExchange Online Plan 2のライセンスが必要かを確かめたでしょうか。人為的なミスは死角を生み、その死角はコストを生み、セキュリティリスクをもたらします。

適切なPowerShellモジュールとスコープの選択

スクリプトのロジックを1行書く前に、使用するツールを揃えておく必要があります。Microsoftの PowerShell エコシステムは進化しており、レガシーモジュールに頼り続けると、非推奨の警告やスクリプトの破損を招くだけです。中核となるツールキットには、次のものを含めてください。

• Microsoft Graph PowerShell: ユーザー、グループ、ディレクトリオブジェクトを管理するための最新の標準です。
• ExchangeOnlineManagement: メールボックス、転送ルール、共有メールボックスのライセンスを監査するために不可欠です。
• PnP.PowerShell: SharePointサイト、ゲストリンク、外部共有の広がりを確認するために重要です。

スクリプトに権限を付与する際は、最小権限の原則を必ず適用してください。自動化スクリプトにグローバル管理者の資格情報を決して使用しないでください。

週次の読み取り専用監査レポートの定義

IT自動化の黄金律は単純です。まず読み取り専用から始めることです。ユーザーを自動削除したり、ライセンスを剥がしたりするスクリプトで自動化の旅を始めてはいけません。最初の反復では、データ収集だけに集中してください。

包括的な読み取り専用監査を実行する週次スケジュールを設定してください。この監査では、非アクティブユーザー、ゲストアクセスの一覧、ライセンスの割り当てと実際のサインインアクティビティの比較、メールボックスの構成、孤立したMicrosoft 365グループを評価する必要があります。週次のリズムを確立すれば、混乱した火消し作業は、自動生成された見やすいレポートを10分間確認する作業に置き換わります。

サインインログとアクティブなライセンスの突き合わせ

ライセンス最適化の肝は突き合わせにあります。ユーザーアカウントに割り当てられたライセンスも、そのユーザーが90日間認証していなければ意味がありません。スクリプトでは、Microsoft Entra IDから2つの主要なデータセットを取得する必要があります。

1. ユーザーに割り当てられたライセンスSKU。
2. ユーザーの最終サインイン日（対話型および非対話型）。

PowerShell のオブジェクトを使ってこの 2 つのデータを結合すると、ライセンスの無駄を即座に算出できます。ユーザーの最終サインインが定義したしきい値（60 日や 90 日など）を超えた場合、スクリプトはそのアカウントをライセンス回収の候補としてフラグ付けします。

レポートの自動配信とアーティファクトの保存

ローカルディレクトリに放置されたレポートは役に立ちません。調査結果は、対応できる人に直接届ける必要があります。構造化された CSV ファイルと見やすい HTML サマリーを生成するようにスクリプトを設定しましょう。

その後、スクリプトで IT ガバナンスの配布リストにサマリーをメール送信するか、Webhook を使って専用の Microsoft Teams チャネルに直接投稿します。さらに、未加工の CSV アーティファクトはセキュアなガバナンス用の SharePoint ドキュメント ライブラリに保存し、コンプライアンス目的の履歴記録を残します。

Azure Automation と タスク スケジューラーで安全にスケジュール実行する

これらのスクリプトはどこで実行すべきでしょうか。セキュアな資格情報ストアを使い、タスク スケジューラーでローカルマシンや Windows Server から実行することもできますが、エンタープライズ向けの推奨は Azure Automation です。

スクリプトを Azure Automation のランブックとしてデプロイし、マネージド ID で認証すれば、パスワードのハードコードや期限切れのサービス プリンシパルのシークレットによるリスクを排除できます。Azure Automation が実行環境、ログ記録、エラー処理をクラウド上でシームレスに担当します。

安全性とコンプライアンスのガードレールを実装する

ガードレールのない自動化は、いつ問題が起きてもおかしくない状態です。テナントを保護するために、自動化パイプラインに次の安全対策を組み込んでください。

• 詳細ログ: 相関 ID を付けて、スクリプト実行のすべての手順を記録します。
• Try/Catch ブロック: スロットリング、ネットワーク タイムアウト、アクセス許可エラーを適切に処理し、実行が失敗した場合は共有メールボックスにアラートを送信します。
• 保留アクションのキュー: ライセンスを自動的に削除するのではなく、影響の大きい操作はまず「保留」キューor承認ワークフローを経由させます。

段階的な是正戦略の展開

初日からすべてを自動化しようとしないでください。是正戦略は次のように段階を分けて展開します。

• 1～2 週目: レポートのみ。データを収集し、誤検知を確認して、除外リストを調整します。
• 3～4 週目: 軽度のアクション。古いゲスト リンクの有効期限を設定し、手動承認が必要なライセンス削除の推奨事項を表示し始めます。
• 継続的: 影響の小さい項目は自動化しつつ、破壊的な変更には人による承認ゲートを維持します。

よくある PowerShell 自動化の落とし穴のトラブルシューティング

どれほど優れたスクリプトでも、思わぬ問題に直面することがあります。結果が空になる場合は、Graph のアクセス許可とモジュールのバージョンを再確認し、Graph Explorer でクエリをテストして原因を切り分けてください。ランダムに失敗する場合は、スクリプトがスロットリングの上限に達している可能性が高いです。指数バックオフと再試行ロジックを実装して、実行を安定させましょう。最後に、サービス アカウントと緊急アクセス用アカウントの堅実な許可リストを維持し、誤検知に注意してください。

よくある質問

自動化でテナントが壊れることはありますか。

読み取り専用から始め、承認を追加し、自動化アカウントに付与するアクセス許可を厳密に制限すれば、その心配はありません。

今すぐ Graph PowerShell が必要ですか。

はい、これが今後の主流です。Exchange Online や PnP のモジュールと併用して、すべての管理対象領域をカバーしてください。

ROI はどのくらいの速さで確認できますか。

最初の週次実行で、未使用のライセンスや古いゲスト アカウントが驚くほど見つかることが多く、すぐにコスト削減の機会が得られます。

マルチジオや MSP の場合はどうすればよいですか。

テナント構成をパラメーター化し、ログ基盤を一元化して、出力レポートにテナント ID のタグを付けることで、複数の環境に拡張できます。

まとめ

Microsoft 365 のライセンス最適化を自動化することは、管理者が取り組める中でも特に効果の大きいプロジェクトの一つです。無駄なソフトウェア支出が毎月流出するのを止め、古いアカウントを整理してセキュリティ態勢を強化し、退屈な手作業によるポータル確認からも解放されます。

これらの概念を、ライブのスクリプト解説やより深いアーキテクチャのヒントも含めて通しで聞きたい方は、関連するポッドキャスト エピソード Automate Microsoft 365 Tenant Cleanup with PowerShell をぜひご覧ください。今日から自動化のスキルをさらに高めましょう！