Microsoft Entra B2B ガイド

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Microsoft Entra B2B の設定、アーキテクチャ、セキュリティ、ガバナンス、実際の利用シナリオを、実践的なガイドとともに解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft Entra B2B(Business-to-Business)は、組織が自社の外部にいるパートナー、請負業者、ベンダーと安全にコラボレーションできるよう、Microsoft が設計したセキュリティ プラットフォームです。新しいアカウントを作成したり、追加の管理作業を行ったりすることなく、リソースやアプリへの安全なアクセスを提供し、企業間の共同作業における負担を軽減します。

Entra B2B を使えば、どの組織のユーザーでも内部チームと一緒に作業するよう招待できます。その際、誰が参加でき、どの情報を閲覧できるかを厳密に管理できます。安全で円滑な外部コラボレーションは、今日のデジタルビジネスにおいて「あれば望ましい」ものではなく、業務を進めるための前提条件です。このツールは、その実現に欠かせない役割を果たします。

Entra B2B の本質は、人々を簡単かつ安全に結びつけ、「われわれ対彼ら」という従来の壁を取り払うことにあります。これにより、企業の枠を超えても一つのチームとして働くことができます。外部から参加する人々に対してエンタープライズ級のセキュリティを適用する必要があるなら、Entra B2B がその正しい方法です。

Microsoft Entra B2B コラボレーションの概要

Microsoft Entra B2B コラボレーションは、企業がデジタル上の入口を安全に開くことを支援するものです。Entra B2B は、以前は Azure AD B2B と呼ばれていました。このサービスを使うと、ほぼあらゆる外部組織のユーザーを招待し、既存の資格情報を使って自社のリソースに安全にアクセスさせることができます。本社の四方の壁の中だけでビジネスが完結しない現代の複雑な環境に対する、Microsoft の答えです。

外部パートナーごとに新しいユーザー アカウントを作成する従来の煩雑な方法ではなく、Entra B2B では相手の既存の ID を「借りる」ことができます。ユーザーは所属組織(職場、学校、またはサードパーティの ID など)のログイン情報をそのまま使い、自社環境で何にアクセスできるかは自社側で管理します。

この方式により管理作業が大幅に減り、パートナーのオンボーディングも非常に簡単になります。また、双方がセキュリティの境界を明確に把握できます。Microsoft Entra B2B は、旧来のモデルと比べて、ポリシーに基づいた信頼関係を即座に確立できる点で優れています。多要素認証、ゲスト アクセスのレビュー、カスタマイズ可能なオンボーディング フローまで幅広くサポートします。

今日では、外部とのコラボレーションを前提とすることが、多くの組織にとって生き残りの条件になっています。Teams でドキュメントを共有する場合も、SharePoint で共同開発する場合も、グローバルなサプライチェーンを運営する場合も、Entra B2B は利便性とセキュリティの適切なバランスを提供します。これにより、信頼を基盤として、ビジネスを迅速に進めることができます。

組織をまたいで外部 ID とコラボレーションする

Entra B2B を使えば、パートナー、ベンダー、コンサルタントを、管理の主導権を手放すことなく、またユーザー アカウントの管理に週末を費やすことなく、デジタル ワークスペースに参加させることができます。組織は外部ユーザーを招待するだけでよく、そのユーザーが他社の所属であっても、まったく別の IT システムを利用していても構いません。招待されたユーザーは、自身のアカウントを使って共有リソースにアクセスします。

この仕組みを支えているのが「ゲスト ユーザー」のサポートです。新しいユーザー名やパスワードを発行する必要はなく、プロジェクト終了後に放置されたアカウントによるリスクを心配する必要もありません。ID とパスワードはゲストの所属システム上に残り、アクセスの境界は自社側で設定します。

Entra B2B は、Microsoft Entra ID(以前の Azure AD)だけでなく、さまざまな ID に対応しています。パートナーが Google の ID、SAML プロバイダー、さらにはオンプレミスの従来の Active Directory アカウントを使う場合でも、互換性が確保されます。この柔軟性は、複数テナントを運用する組織や、クラウドとオンプレミスのインフラストラクチャを併用する組織にとって重要です。

手作業を減らし、コンプライアンスを効率化することで、Entra B2B は組織をまたぐコラボレーションを安全かつ実用的なものにします。アクセス許可を管理し、期限付きのアクセスを自動化し、「船頭多くして船山に登る」状態を防げます。ビジネス ネットワークがどれほど大規模で複雑になっても、この点は変わりません。

ゲスト ユーザーと認証における Microsoft Entra B2B の仕組み

Microsoft Entra B2B は、外部ユーザーが組織のデジタル エコシステムに安全かつ容易に参加できるように設計されています。その流れは、ゲストが招待された瞬間に始まります。ゲストは参加の招待を受け取り、それを引き換えて、共有リソースにアクセスします。多くの場合、勤務先や信頼できる別のプロバイダーで既に持っている資格情報を使用します。

Microsoft Entra B2Bは、あらゆる段階でセキュリティを非常に重視しています。ゲストユーザーは無条件で環境に入れられるわけではなく、認証と、必要に応じて設定した多要素認証のチェックを経て案内されます。ただし、門を固く閉じることだけが目的ではありません。このプラットフォームは手続きも合理化されており、初めて利用するゲストや継続的に協業しているユーザーが、分かりにくいオンボーディングの手順で足止めされることはありません。

裏側では、認証モデル、サインイン体験、セキュリティポリシー(MFAなど)を、リスク許容度とコンプライアンス要件の両方に合わせて調整できます。その結果、堅牢な保護と、社外の組織をまたぐ作業がストレスなくスムーズに進むユーザー体験の両立が実現します。

以降のセクションでは、ゲストユーザーの利用の流れ、認証のライセンス、そしてEntra B2Bが Microsoft 365 アプリとどのように連携し、利用しやすさと強固な保護を両立させているかを、技術的な観点から詳しく解説します。

ゲストユーザーの多要素認証とリデンプション体験

Entra B2Bにおけるゲストユーザーの利用は、通常、メールでの招待から始まります。ゲストは、安全なサインアップまたはリデンプションのページへのリンクを受け取り、そこで多くの場合は自社の資格情報またはID プロバイダーを使って本人確認を行います。この仕組みにより、招待先の環境で新たなパスワードを作成する必要がなくなり、関係者全員にとってシンプルな体験になります。

招待のリデンプションが完了したら、セキュリティを強化します。多くの組織では、多要素認証(MFA)を必須としています。パスワードという基本的な認証に加えて、SMSコードやアプリでの承認といった第2の保護層を追加します。ここで便利なのは、ゲストのホーム組織がすでにMFAを適用している場合、Entra B2Bがその既存のプロセスを「信頼」できる点です。MFAを二重に求められることはなく、パートナー企業の負担を軽減できます。

初めてアクセスするユーザーにとって、サインインとリデンプションの体験は明快で分かりやすく、かつ堅牢です。ゲストが、MFAに対応した互換性のあるIDプロバイダーを持っていない場合、Microsoft Entraはワンタイムパスコードその他の安全な代替手段を求めます。これにより、認証をすり抜けるユーザーが出ないようにします。

継続して利用するゲストユーザーは、さらにスムーズに利用できます。資格情報が認識され、ポリシーの要件を満たしていれば、MFAの手順は素早く、おなじみのものになります。目指すところは常に、社外のパートナーに不要な手間をかけさせることなく、重要な資産を守ることです。アイデンティティのライフサイクルを厳密に管理することがなぜ重要なのかについては、Identity as a Control Planeの解説や、ゲストアカウントの乱立に伴うリスクと、セキュリティにおけるライフサイクル管理の重要性をご覧ください。

ゲストユーザーの多要素認証のライセンス

管理者からよく寄せられる疑問の一つは、MFAを有効にするために、ゲストごとに追加のライセンスを購入する必要があるかどうかです。Entra B2Bでは、答えはシンプルです。多くの場合、外部ゲストユーザー向けに別途MFAライセンスを購入する必要はありません。

信頼モデルの仕組みは次のとおりです。ゲストのホーム組織がすでにMFAを必須としている場合、そのユーザーが自社のリソースにアクセスする際、その適用を信頼できます。適用されていない場合は、Entra B2Bにより自社側で追加のMFAを必須にするオプションが提供されます。いずれもお使いのライセンスの範囲内で対応できます。これにより、ライセンスコストを余分に増やすことも、IDの管理が煩雑になることもなく、強固なセキュリティを維持できます。ポリシーの明確な適用についてさらに詳しく知りたい場合は、Conditional Access and Identity Debtをご覧ください。

Microsoft 365 アプリへのシームレスかつ安全なアクセス

Entra B2Bを使えば、ゲストユーザーは入口を通過するだけでなく、SharePoint Online、OneDrive、Teamsといった Microsoft 365 アプリで、社内のチームと並んで共同作業できます。アクセスはシームレスです。招待のリデンプションが完了し、ポリシーの要件を満たせば、ゲストは共有ライブラリのファイルを閲覧、アップロード、編集でき、Teamsのチャネルや会議に参加し、ドキュメントをリアルタイムで共同編集することもできます。

組織はゲストができることを正確に管理できます。外部ユーザーに見せるTeamsやSharePointのサイトを決め、最小権限の原則を適用し、業務に必要以上のアクセス許可が与えられないよう明確な境界を設定できます。すべてポリシーに基づいて管理され、プロジェクトの進行に合わせて監査・見直しが可能です。

Power PlatformやCopilotと連携している環境では、Entra B2Bによって外部の共同作業者も安全に参加でき、データガバナンスを損なうことはありません。外部共有の監視や情報漏えいの防止については、高度な監査と自動化を検討する価値があります。実践的なセキュリティのヒントはStopping Blind External Sharingを、ガバナンスの知見はDataverse vs SharePoint for App Developmentをご覧ください。

要点は次のとおりです。ゲストは実際の共同作業者としてチームに参加できる一方で、すべてのガードレールは管理者の管理下に置かれます。外部ユーザーが検出されずに動き回ったり、テナント内で好き勝手に振る舞ったりする心配はありません。

Microsoft Entra 管理センターでのセットアップ構成

Entra B2Bの設定は、Microsoft Entra 管理センターで簡単に始められます。まず管理者は「外部 Identities」セクションに移動し、外部コラボレーションの設定を行います。招待できるドメインや組織を決めたうえで、組織全体のポリシーを構成します。たとえば、ゲストに多要素認証を求めるかどうか、自動承認を許可するかどうかを設定します。

ディレクトリ全体の設定では、コラボレーションの制限、招待の管理、ゲストユーザーの権限を定義します。組織のリスクとコンプライアンスの状況に合わせて、グローバル管理者の制御項目を見直して調整してください。これらのオプションを適切に調整することで、業務目標に合った柔軟性と監督のバランスが取れた、安全なB2B環境を実現できます。

アプリに関するポリシーとゲスト制限付き管理者アクセスの管理

ゲストが共同作業を求めてくる場面では、アプリを安全に保つことが大切です。チームワークをスムーズにするために十分開放的でありつつ、トラブルは確実に遮断できるように締めることが求められます。Entra B2Bはそのための強力なツールを備えており、きめ細かなアクセス許可を割り当てたり、Microsoft 365やその他の連携アプリ全体で、誰が何を閲覧・変更できるかを定義したりできます。

重要な概念の一つが「ゲスト制限付き管理者」です。外部ユーザーに対して、機密性の高いリソースや管理権限の全体を危険にさらすことなく、定義されたタスクを実行するための特定かつ制御された権限を付与します。こうしたロール設定と堅牢なポリシーを組み合わせることで、意図しない過剰な権限付与を避けやすくなります。

この取り組みの中心となるのが条件付きアクセスです。適切なポリシーを設定することで、ゲストがいつ、どのように、どこからリソースにアクセスできるかを決められます。特定のネットワークからのサインインを制限する、MFAを必須にする、一定期間後にアクセスレビューを強制する、といった方法があります。これらの制御を単なる煩わしい制約ではなく戦略的な防御策として位置づければ、悪意のある攻撃者を防ぐだけでなく、正当な共同作業者が安全に業務を進められるようになります。

条件付きアクセスとポリシー設計のベストプラクティスは次のセクションで詳しく扱いますが、一貫性があり包括的なポリシーの基準がなぜ重要なのかを知りたい場合は、Conditional Access Policy Trust Issuesをご覧ください。また、管理されていないゲストアカウントの長期的なリスクについては、The Hidden Danger of M365 Guest Accountsを参照してください。

安全なゲスト管理のための条件付きアクセス

• 多要素認証（MFA）の必須化: すべてのゲストユーザーにMFAを適用し、ゲスト所属組織でMFAが求められていない場合でも、すべてのアクセスを確実に保護します。
• ネットワークの場所によるアクセス制限: 承認された場所（特定の国やIPアドレス範囲など）からのみゲストのサインインを許可し、リスクを大幅に減らします。
• アクセス期間の制限: 時間を区切ったアクセスを実装し、プロジェクトや業務の終了後にゲストの権限が自動的に失効するようにします。
• 権限の定期的な見直し: 特に特権の高いロールについてアクセスレビューをスケジュールし、不要な権限を速やかに削除して攻撃対象領域を縮小します。
• ゲストのアクティビティの監視と監査: コンプライアンスと早期の脅威検出のため、ゲストのサインインや操作を継続的に確認します。詳細な戦略はIdentity Lifecycle Managementをご覧ください。

IDプロバイダーの統合とAzure B2B フェデレーション

Microsoft Entra B2B は柔軟性を重視して設計されており、Microsoft ID だけでなく、フェデレーションを通じて外部の ID プロバイダーもサポートします。つまり、独自の Entra ID テナントを運用している組織とパートナーシップを結べるうえ、パートナーが Google Workspace、SAML ベースのプロバイダー、あるいはハイブリッド フェデレーション経由のオンプレミス Active Directory を使っていても対応できます。

フェデレーションを使うと、ゲストは自分の所属組織の資格情報で認証できます。自社側で設定したポリシーにより、不要なセキュリティ リスクを負わずに済みます。Azure B2B フェデレーションでは、外部組織が新しい ID を作成・管理する必要はありません。全員が自分自身としてサインインし、コンプライアンスと監査の境界はすべて自社で維持できます。

ハイブリッド環境では、Active Directory フェデレーション サービス (ADFS) と統合することで、Entra B2B がオンプレミスとクラウドの間のギャップを埋められます。これにより、安全なコラボレーションをクラウドからオンプレミスまで広げられます。ID のサイロ化を防ぎ、パートナーがクラウド中心でなくても、共同作業をよりスムーズに進められます。

実務の観点では、外部 ID プロバイダーを統合すると、摩擦が減り、信頼関係を素早く築け、管理作業も効率化されます。事業の土台となるセキュリティやコンプライアンスの体制を損なうことなく、社外のコラボレーターを迎え入れられます。

Microsoft B2B Entra の高度な機能と Direct Connect の比較

社外とのコラボレーション戦略をさらに一段引き上げたい場合、Microsoft Entra B2B は基本機能にとどまりません。B2B Direct Connect などの新しい機能は可能性を広げ、標準的なゲスト アクセス以上のものを必要とするパートナーとの間で、テナントをまたぐ深い接続を設定できるようにします。これらの高度な機能は、複数のテナントや複雑なパートナー エコシステムを管理している組織向けに設計されています。従来の B2B では制御や効率が不十分な場合に役立ちます。

以下のセクションでは、標準的な B2B コラボレーションと Direct Connect の技術的な違いを解説し、実際のシナリオを通じて、これらの機能がどのように境界を厳密に保ちながら、大規模なグローバル組織全体での共同作業を円滑にするかを確認します。

外部テナントに対するクロステナント アクセス

クロステナント アクセスは、Microsoft Entra B2B の次世代の機能であり、合弁事業、合併、グローバルなパートナー ネットワークなど、外部テナントと頻繁にやり取りする企業向けに設計されています。クロステナント ポリシーを使うと、他の Entra テナントのユーザーが自社のリソースにどのようにアクセスできるか、またその逆も含めて明確に定義できます。組織のセキュリティ境界は維持されたままです。

これらのポリシーでは、どのユーザー、グループ、さらにはアプリのワークロードが境界を越えることを許可するかを決定できます。また、外部テナントに与える信頼のレベルも制御できます。たとえば、相手の セキュリティ要求 (MFA の状態など) を尊重するかどうか、あるいは自社側で追加のチェックを行うかどうかを決められます。

この仕組みは組織の境界を尊重します。管理チームが、誰が、何が社内に入る、または社外に出ることを許可するかを管理し、すべての操作を監査してコンプライアンス要件に従えます。クロステナント アクセス ポリシーを使えば、監視を失ったり、機密データが誤った相手に漏えいしたりすることなく、安全な外部コラボレーションを拡張できます。

マルチテナント環境の企業や規制の厳しい業界にとって、これらの制御は適切なバランスを実現します。重要な場面ではコラボレーションを後押しし、本当に守るべきものを保護する必要があるときには、しっかりと扉を閉ざせます。

シナリオ: ワークフォース テナントを利用するグローバル製薬企業

1. パートナーのオンボーディング: このグローバル製薬企業は Entra B2B の招待を使って、パートナーの研究者、製造サプライヤー、契約スタッフを迅速にオンボーディングし、導入の遅れやミスを最小限に抑えています。
2. カスタム ポリシー: パートナー組織ごとにクロステナント アクセス ポリシーを設定し、研究、コンプライアンス、サプライ チェーンでのコラボレーションに応じて異なる制御を適用しています。
3. ライフサイクル管理: プロジェクトが終了するたびに、定期的なアクセス レビューと期間限定のゲスト アカウントを通じて、外部ユーザーを速やかに削除します。これにより、リスクを抑えながらコンプライアンス要件を満たしています。
4. 継続的な監視: 同社はコンプライアンス レポートのために、すべての外部ユーザーのアクセスを監査しています。また、ワークフォース テナント間の境界を厳格に保ち、各外部ユーザーが自分の役割に必要な情報だけを確認できるようにしています。

ゲスト向けの招待メールとセルフサービス サインアップのカスタマイズ

第一印象は重要です。新しいパートナーやお客様をデジタル環境に招待する場合は、なおさらです。Microsoft Entra B2B を使うと、管理者はゲストへの招待メールをカスタマイズできます。会社のロゴやブランドカラー、目的に合わせたメッセージを追加して、最初からプロフェッショナルなコラボレーションの雰囲気を作れます。

招待メールをカスタマイズすると、ゲストは誰から招待されたのか、何が求められているのか、どうすれば迷わず開始できるのかをすぐに把握できます。これは見た目を整えるだけのものではありません。最初から全員が正しい情報を持っているため、サポートへの問い合わせやオンボーディングの失敗を減らせます。

個別の招待メールに加えて、Entra B2B はセルフサービスのサインアップにも対応しています。見込みのゲストは、ブランド化されたポータルから自分で登録できます。必要な理由の入力やコンプライアンスへの同意を済ませると、自動的にプロビジョニングされます。この自動化によって、オンボーディングにかかる時間を数時間から数日短縮できます。また、要件を満たす相手だけを受け入れていることを確認できます。

メールのカスタマイズとセルフサービスによる効率的なオンボーディングを組み合わせることで、組織はゲストの体験を高め、一貫したブランドを維持し、管理者の負担を減らせます。そのうえで、セキュリティとコンプライアンスを常に最優先にできます。

安全かつ効率的な B2B コラボレーションのためのベストプラクティス

• ゲストアクセスに期限を設定する: プロジェクトが終わった後にアクセスが残らないよう、ゲストアカウントには必ず有効期限を設定してください。ライフサイクル管理のヒントについては、Guest Account Risk Prevention をご覧ください。
• 最小権限の原則を徹底する: ゲストには必要最小限のアクセス許可だけを割り当て、機密情報は厳密に必要な相手だけに限定してください。
• 定期的なアクセスレビューを実施する: 定期的な監査とアクセス権の棚卸しをスケジュールし、リスクのあるアカウントや放置されたアカウントが問題を起こす前に見つけ出してください。
• 外部共有を監視する: 高度な監査とアラートを活用し（Stopping Blind External Sharing で解説しています）、組織からどのデータが外部に出ていくかを追跡して、情報漏えいを早期に発見してください。
• ポリシーを文書化して更新する: B2B コラボレーションのポリシーを最新の状態に保ち、スタッフが確認できるようにしてください。そうすれば、ゲストの招待、管理、退任時の処理に関するルールを全員が把握できます。

招待の管理、遅延招待、CSV アップロードのサポート

• 遅延招待: ゲストへの招待を事前にスケジュールできます。大規模なプロジェクトでも、開始当日に慌てて手作業で対応する必要がなく、新しいユーザーを一括でオンボーディングできます。
• CSV アップロード: 管理センターの CSV インポート機能を使うと、ゲストを迅速かつ正確に一括オンボーディングできます。イベント、パートナーの移行、複数組織にまたがる展開などで特に役立ちます。
• UPN の照合: 招待を既存のユーザープリンシパル名（UPN）と照合すると、再訪するゲストにすばやくアクセスさせることができます。ディレクトリに重複した「余分な」アカウントが残るのを防げます。
• ユーザーのライフサイクル管理: 不要になったゲストを定期的に確認して削除してください。自動化スクリプトや定期的なアクセス認証を活用すると、Entra B2B のユーザーベースを最新かつ安全に保てます。

あわせて聴いていただきたいエピソード

Microsoft Entra B2B について調べている方には、アーキテクチャ、セキュリティ、ガバナンス、導入に関する実践的な背景が得られる以下のエピソードがおすすめです。

• Microsoft AI Agent Harness – Simply Explained — オーケストレーション、ガードレール、評価、信頼性の高い AI ワークフローについて理解できます。
• Microsoft Defender XDR – Simply Explained — ID と AI による判断を、セキュリティ監視および対応と結び付ける方法を学べます。
• Microsoft Teams Governance – The Illusion of Control — ガバナンス、所有権、ポリシーが運用上のリスクをどのように下げるかを学べます。
• Azure Virtual Network – Simply Explained — クラウド接続の背後にあるアーキテクチャの文脈を理解できます。