(1) Entra IDはMicrosoft 365の全プランに標準で含まれるID基盤で、追加購入するものではない。 (2) 中小企業に必要な機能はほぼEntra ID P1に揃っており、これはBusiness Premiumに含まれるため追加コストは不要。 (3) 最初にやるべきはMFAの全ユーザー適用とレガシー認証のブロックの2つ。ここまでで不正アクセスリスクの大半は潰せる。
Entra IDとは
Microsoft Entra ID（旧Azure Active Directory）は、Microsoftが提供するクラウドベースのID管理・認証基盤です。Microsoft 365のすべてのプランに含まれており、ユーザーの認証（ログイン）、アクセス制御、SaaSアプリへのシングルサインオン（SSO）を一元管理できます。
オンプレミスのActive Directory（AD）が社内ネットワーク内のリソースを管理するのに対し、Entra IDはクラウド上のアプリケーションやサービスへのアクセスを管理します。テレワークやクラウド活用が当たり前になった現在、Entra IDは中小企業の認証基盤の中核です。
Azure ADからの名称変更について
2023年7月、MicrosoftはAzure Active Directory（Azure AD）をMicrosoft Entra IDへ名称変更しました。機能そのものに変更はなく、ブランド名の変更です。管理画面のURLやPowerShellコマンドも段階的に移行が進んでいます。
「Entra」はMicrosoftのID・アクセス管理製品ファミリー全体の総称で、Entra ID以外にも Entra Private Access、Entra ID Governance、Entra Agent ID などが含まれます。社内文書やベンダー提案書に「Azure AD」と書かれていても、現在のEntra IDと同じものを指していると考えて差し支えありません。
オンプレミスActive Directoryとの違い
「すでに社内にADがあるのに、なぜEntra IDが必要なのか」というご質問をよくいただきます。両者は競合するものではなく、管理する対象がそもそも異なります。
| 項目 | Active Directory（オンプレ） | Entra ID（クラウド） |
|---|---|---|
| 配置場所 | 社内サーバー | Microsoftクラウド |
| プロトコル | Kerberos、LDAP、NTLM | OAuth 2.0、OpenID Connect、SAML |
| 管理対象 | 社内PC、ファイルサーバー、プリンタ | SaaSアプリ、クラウドサービス、デバイス |
| ポリシー適用 | グループポリシー（GPO）で詳細制御 | Intune＋条件付きアクセスで制御 |
| ネットワーク | 社内ネットワーク前提 | インターネット経由（場所を問わない） |
| テレワーク対応 | VPNが必要 | VPN不要で社外からアクセス可能 |
ADからEntra IDへ段階的に移していく進め方は Active Directory → Entra ID移行ガイド と 移行ロードマップ で詳しく解説しています。既存のADを残したままEntra IDと同期するハイブリッド構成も一般的な選択肢です。
なぜ今Entra IDが重要なのか
パスワードだけでは守れない
パスワードの漏洩・窃取はサイバー攻撃の主要な手口です。Entra IDの多要素認証（MFA）と条件付きアクセスを組み合わせれば、「パスワードが漏れてもアカウントは守れる」状態を実現できます。
SaaS乱立時代の認証管理
中小企業でも10〜30種類のSaaSを利用するのが一般的です。各サービスに別々のID・パスワードを管理するのは限界であり、SSOで「1回のログインですべてのSaaSにアクセス」する仕組みが必要です。
ゼロトラストの出発点
ゼロトラストセキュリティの第一歩は「すべてのアクセスを検証する」ことです。Entra IDは誰が・どのデバイスで・どこから・何にアクセスしようとしているかを検証し、リスクに応じてアクセスを制御します。考え方の全体像は ゼロトラスト解説 をご覧ください。
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Entra ID コンサルティング を見る →主要機能の解説
① シングルサインオン（SSO）
Entra IDに一度ログインすれば、連携済みのSaaS（Salesforce、Box、Slack、Zoom等）に追加のログインなしでアクセスできます。Entra IDは数千のSaaSアプリとのSSO連携に対応しています。退職者のアカウントをEntra IDで無効化すれば、連携済みの全SaaSへのアクセスが一括で遮断されます。
② 多要素認証（MFA）
パスワードに加えて、Microsoft Authenticatorアプリ、パスキー（FIDO2）、SMS、電話などの第2要素を要求します。Entra IDのセキュリティ既定値群を有効にすれば、追加コストなしで全ユーザーにMFAを強制できます。パスキーへの移行は パスキー導入ガイド を参照してください。
③ 条件付きアクセス
条件付きアクセスはEntra IDの最も強力な機能です。「誰が」「どのデバイスで」「どこから」「何にアクセスするか」の条件に基づいて、アクセスの許可／拒否／追加認証要求を自動制御します。
| ポリシー例 | 条件 | 制御 |
|---|---|---|
| 社外アクセス制限 | 信頼済みIPアドレス以外から | MFAを要求 |
| 非管理端末の制限 | Intuneコンプライアンス非準拠デバイス | Webアクセスのみ許可（ダウンロード禁止） |
| 管理者の保護 | グローバル管理者ロール | 常にMFA＋準拠デバイス必須 |
| リスクベース認証 | サインインリスク「高」検出時 | パスワード変更を強制（P2） |
実際に設定する際のパターンは 条件付きアクセスの設定パターン5選 にまとめています。ポリシーを誤って自分自身を締め出した場合の復旧手順は Break Glassアカウント運用ガイド を必ず先に読んでおいてください。
④ デバイス管理連携（Intune）
Entra IDとIntuneを連携させることで、条件付きアクセスの条件に「デバイスのコンプライアンス状態」を含められます。暗号化されていないPC、ウイルス対策が無効なPCからのアクセスを自動的にブロックできます。デバイスの登録方式には Entra Join（会社支給PC向け）と Entra Register（BYOD向け）があり、用途に応じて使い分けます。
⑤ セルフサービスパスワードリセット（SSPR）
ユーザーが自分でパスワードを再設定できる仕組みです。「パスワードを忘れた」という問い合わせがヘルプデスクから消えます。P1以上で利用できます。
⑥ Entra ID Protection（P2）
サインインの挙動からリスクを判定し、不審なアクセスを自動で検知・ブロックします。「通常と異なる場所からのサインイン」「漏洩済み認証情報の使用」などを検出します。P2ライセンスが必要です。
導入で得られる5つの効果
① SSOでパスワード管理を一元化
1つのIDとパスワードで、M365、Salesforce、Box、Slack等の業務SaaSすべてにログインできます。ユーザーは複数のパスワードを覚える必要がなくなり、使い回しによるセキュリティリスクも低減します。
② MFAで不正アクセスを大幅に抑止
パスワードが漏洩しても、MFAがあれば不正アクセスの大半を防げます。Entra IDなら全ユーザーへの一括適用が管理画面から数クリックで完了します。
③ 条件付きアクセスで場所・デバイスに応じた制御
「会社の管理PCからのみアクセス許可」「海外からのアクセスはブロック」「非準拠デバイスはMFAを要求」といったきめ細かい制御が、VPNなしで実現できます。
④ SSPRでヘルプデスクの負荷を削減
パスワードリセットの問い合わせは、IT担当者への問い合わせの中でも件数が多い部類です。SSPRを有効にすればこの対応工数がほぼゼロになります。
⑤ 退職者アカウントの即時無効化
Entra IDでアカウントを無効化すれば、SSO連携しているすべてのSaaSへのアクセスが即座に遮断されます。SaaSごとに個別削除する必要がなく、削除漏れによるリスクを構造的に排除できます。入退社処理の設計は オンボーディング・オフボーディングのIT手順 を参照してください。
| 効果 | 定量的な目安 |
|---|---|
| パスワードリセット対応の削減 | 月10〜20時間の工数削減 |
| 入退社処理の効率化 | 1件あたり30分 → 5分程度に短縮 |
| 不正アクセス防止（MFA） | 侵害1件あたりの想定被害額を回避 |
| 追加コスト | Business Premium契約なら0円（P1が含まれるため） |
※ 工数の目安は当社のご支援実績に基づく概算です。組織規模やSaaSの利用本数によって変動します。
ライセンス体系とプランの選び方
Entra IDにはFree・P1・P2の3ティアがあります。単体で購入することもできますが、実際にはMicrosoft 365のプランに含まれる形で使うのが一般的です。
判断の分岐点は条件付きアクセスが使えるかどうかで、これはP1からです。ざっくり次のように分かれます。
- Free：SSOとMFA（セキュリティ既定値群）まで。条件付きアクセスは使えない
- P1：条件付きアクセス、SSPR、動的グループ、オンプレAD連携の高度機能が使える。中小企業はここで十分
- P2：Identity Protection（リスクベース認証）、PIM（特権ID管理）、アクセスレビューが加わる
機能ごとの詳細な対応表と選定チェックリストは Entra ID ライセンス比較｜Free・P1・P2の違いと中小企業の選び方 にまとめています。
Microsoft 365プランに含まれるティア
| Microsoft 365プラン | 含まれるEntra IDティア |
|---|---|
| Business Basic / Business Standard | Free |
| Business Premium | P1 |
| E3 | P1 |
| E5 | P2 |
条件付きアクセスが使えるかどうかが、Entra IDを「ただのログイン基盤」で終わらせるか「セキュリティ基盤」にできるかの分岐点です。条件付きアクセスはP1から。Business PremiumにはP1に加えてDefender for BusinessとIntuneも含まれるため、中小企業のセキュリティ基盤としては最もコスト効率が高い選択肢です。
P2のIdentity ProtectionやPIMは、管理者が少数の組織には過剰になることが多く、必要になってから追加すれば十分です。
プラン全体の比較は Microsoft 365 ライセンス比較ガイド、コスト最適化の考え方は M365ライセンス最適化 にまとめています。
最初に設定すべき4項目
Entra IDには膨大な設定項目がありますが、投資対効果で見ると最初にやるべきことは次の4つに絞られます。
- MFAの全ユーザー有効化：最優先。セキュリティ既定値群、またはP1があれば条件付きアクセスで適用します
- レガシー認証のブロック：POP3／IMAP／SMTP AUTHなどMFAをバイパスできる古いプロトコルを無効化します。MFAを設定してもここが空いていれば意味がありません
- グローバル管理者の最小化：2〜3名に限定し、日常業務は権限の弱いロールで行います。あわせて緊急アクセス（Break Glass）アカウントを用意します
- SSPRの有効化：ヘルプデスクの問い合わせを減らす即効性のある施策です
この4項目は、いずれもライセンスの追加購入なしで着手できます（SSPRのみP1が必要）。
導入の進め方
Phase 1：MFAの全社展開（1〜2週間）
セキュリティ既定値群の有効化、またはP1ライセンスがあれば条件付きアクセスでMFAポリシーを設定します。全ユーザーにAuthenticatorアプリの登録を案内します。
Phase 2：条件付きアクセスの設計・適用（2〜4週間）
自社のアクセスパターンを分析し、ポリシーを設計します。まずはレポート専用モードで影響範囲を確認してから、段階的に適用します。いきなり全社適用すると業務が止まります。
Phase 3：SaaS連携（SSO設定）（2〜4週間）
利用中のSaaSをEntra IDに連携し、SSOと自動プロビジョニングを設定します。Entra IDのギャラリーに登録済みのアプリであれば、数クリックで連携が完了します。
Phase 4：Intune連携によるデバイス制御（2〜4週間）
条件付きアクセスの条件に「Intuneコンプライアンス準拠」を追加し、管理されていないデバイスからのアクセスを制限します。テナント全体の設計指針は Entra ID設計のポイント をご覧ください。
よくある質問
Azure ADとEntra IDは別物ですか？
同じものです。2023年7月にAzure Active DirectoryからMicrosoft Entra IDへ名称変更されました。機能に変更はなく、既存の設定もそのまま引き継がれています。
オンプレミスのActive Directoryは廃止する必要がありますか？
必要ありません。Entra ConnectでオンプレミスのADとEntra IDを同期するハイブリッド構成が広く使われています。ファイルサーバーや業務システムがADに依存している場合は、ADを残したままEntra IDを追加するところから始めるのが現実的です。
Business Standardのままでは条件付きアクセスは使えませんか？
使えません。条件付きアクセスはEntra ID P1以上の機能で、Business StandardにはFreeティアしか含まれていません。MFAはセキュリティ既定値群で有効化できますが、社外からのみMFAを要求するといった条件指定はできません。
MFAを有効にすると業務が止まりませんか？
共有アカウントや、MFAに対応していない古いアプリが残っていると影響が出ます。事前にサインインログでレガシー認証の利用状況を確認し、対象を洗い出してから適用してください。条件付きアクセスのレポート専用モードを使えば、実際にブロックせずに影響範囲だけを確認できます。
Entra ID P2は必要ですか？
管理者が少数で、権限の棚卸しを手作業でも回せている組織では、多くの場合P1で十分です。P2のIdentity ProtectionやPIMは、管理者が多数いる組織や特権アクセスの監査要件がある組織で価値が出ます。上場準備でアクセスレビューの証跡が必要になった段階での検討をおすすめします。
BTNコンサルティングの支援
Entra ID設計・導入支援
条件付きアクセスポリシーの設計、MFA展開計画の策定、SaaS連携（SSO）の設定、Intune連携まで、Entra IDの導入を一括で支援します。
テナントセキュリティ診断
すでにMicrosoft 365をご利用の企業向けに、Entra IDの設定状況を診断し、セキュリティギャップを報告します。Microsoft Secure Scoreの改善提案も含みます。
「条件付きアクセスの設計がわからない」「SSOで全SaaSを統合管理したい」——M365の認証基盤に関するご相談はお気軽にどうぞ。
→ Entra ID コンサルティングの詳細を見る
まとめ
Entra IDはMicrosoft 365に標準で含まれる認証基盤です。SSO、MFA、条件付きアクセスを組み合わせることで、中小企業でもゼロトラストの第一歩を実現できます。
ライセンスの分岐点は条件付きアクセスが使えるP1かどうか。Business PremiumならP1が含まれるため、追加コストなしで強力な認証制御が可能です。
着手順としては、MFAの全ユーザー適用 → レガシー認証のブロック → 管理者権限の最小化 → SSPR有効化の4つから。ここまでで不正アクセスリスクの大半は潰せます。条件付きアクセスやSaaS連携はその後で構いません。