Entra IDそのものの機能や導入手順は Entra IDとは｜機能・ライセンス・導入手順の完全ガイド で解説しています。本記事はライセンス選定に絞って比較します。
(1) 判断の分岐点は条件付きアクセスを使うかどうか。使うならP1が必須で、Freeでは不可。 (2) P1はMicrosoft 365 Business Premium・E3・EMS E3 に含まれるため、単体購入が必要になるケースは多くない。 (3) P2（Identity Protection・PIM・アクセスレビュー）は管理者が多い組織や監査要件がある組織向け。必要になってから追加できる。
Entra IDの3つのティア
Entra IDにはFree・P1・P2の3ティアがあります。上位ティアは下位の機能をすべて含みます。
| 機能 | Free | P1 | P2 |
|---|---|---|---|
| ユーザー・グループ管理 | ○ | ○ | ○ |
| SSO（SaaSアプリ連携） | △（連携数に上限あり） | ○（無制限） | ○ |
| MFA | △（セキュリティ既定値群のみ） | ○（条件付きアクセスで詳細制御） | ○ |
| 条件付きアクセス | × | ○ | ○ |
| SSPR（セルフサービス パスワードリセット） | △（クラウドのみのパスワード変更） | ○（オンプレADへの書き戻し含む） | ○ |
| 動的グループ | × | ○ | ○ |
| グループベースのライセンス割り当て | × | ○ | ○ |
| アプリケーションプロキシ | × | ○ | ○ |
| カスタム禁止パスワード（オンプレ適用） | × | ○ | ○ |
| Identity Protection（リスクベース認証） | × | × | ○ |
| PIM（特権ID管理） | × | × | ○ |
| アクセスレビュー | × | × | ○ |
表のとおり、Freeと P1 の間にある壁が「条件付きアクセス」、P1 と P2 の間にある壁が「リスクベース認証と特権管理」です。この2つの壁のどちらを越える必要があるかで選定が決まります。
Microsoft 365プランに含まれるティア
Entra IDは単体でも購入できますが、実務ではMicrosoft 365やEMSのプランに含まれる形で使うのが一般的です。まず現在のご契約プランを確認してください。追加購入せずにP1が使える状態になっているケースが多くあります。
| 契約プラン | 含まれるEntra IDティア |
|---|---|
| Microsoft 365 Business Basic | Free |
| Microsoft 365 Business Standard | Free |
| Microsoft 365 Business Premium | P1 |
| Microsoft 365 E3 / Office 365 E3＋EMS E3 | P1 |
| Microsoft 365 E5 | P2 |
| Enterprise Mobility + Security (EMS) E3 | P1 |
| Enterprise Mobility + Security (EMS) E5 | P2 |
上記以外のプラン（Fシリーズ、教育機関向け、非営利向けなど）については構成が異なる場合があるため、管理センターのライセンス画面で実際の付与状況をご確認ください。
Entra IDのライセンスはユーザー単位で割り当てます。テナント全体で1つ買えば全員が使える、という仕組みではありません。
実務上とくに重要なのが条件付きアクセスで、ポリシーの対象となるユーザー全員にP1が必要です。管理者だけP1を買って全社にポリシーを適用する、という運用はライセンス条件を満たしません。
ライセンスを決めたあとの設計と実装でつまずくケースが多くあります。条件付きアクセスポリシーの設計、MFA展開、SaaS連携（SSO）、Intune連携まで一括でご支援しています。
Entra ID コンサルティング を見る →Entra IDとは（完全ガイド）Freeで足りるケースと、P1が必要になる境目
最も多い判断がここです。「MFAはFreeでも使えるのに、なぜP1が必要なのか」という質問をよくいただきます。
Freeで足りるケース
- 全ユーザーに一律でMFAをかければ十分で、条件による出し分けが不要
- 社外アクセスや私物端末からの利用を想定していない
- 連携するSaaSが少数で、SSOの上限に達しない
Freeの「セキュリティ既定値群」を有効にすれば、全ユーザーへのMFA強制とレガシー認証のブロックまでは追加費用なしで実現できます。ここまでで不正アクセスリスクの相当部分は下がります。
P1が必要になる境目
次のいずれかに該当したらP1が必要です。
- 条件によってMFAを出し分けたい（社内からは省略、社外からは要求、など）
- 管理されていない端末からのアクセスを制限したい（Intuneコンプライアンス準拠デバイスのみ許可）
- 特定のロールだけ強い認証を求めたい（グローバル管理者は常にMFA＋準拠デバイス必須）
- ヘルプデスクのパスワードリセット対応をなくしたい（SSPR。オンプレADへの書き戻しもP1から）
- 部署や属性に応じてグループを自動更新したい（動的グループ）
セキュリティ既定値群は「全員一律」しか設定できません。例外を1つでも作りたくなった時点でP1の領域だと考えると判断が早くなります。実際の設定パターンは 条件付きアクセスの設定パターン5選 にまとめています。
P2を検討すべきケース
P2で増えるのは主に3機能です。いずれも「管理の質を上げる」ための機能であり、基本的な防御はP1で完結します。
| 機能 | 何ができるか | 検討すべき組織 |
|---|---|---|
| Identity Protection | サインインの挙動からリスクを判定し、漏洩済み認証情報の使用や通常と異なる場所からのアクセスを自動でブロック／追加認証 | アカウント数が多く、手動での監視が現実的でない組織 |
| PIM（特権ID管理） | 管理者権限を常時付与せず、必要なときだけ時間を区切って昇格させる（Just-In-Time）。承認フローと監査ログ付き | 管理者が複数名いる組織、権限の棚卸しを求められる組織 |
| アクセスレビュー | 誰がどの権限を持っているかを定期的に棚卸しし、承認者にレビューを依頼する仕組みを自動化 | 上場準備中・監査対応が必要な組織 |
逆に言えば、管理者が2〜3名で権限の棚卸しを手作業でも回せている段階では、P2の投資対効果は出にくくなります。監査要件が発生した時点で追加するのが現実的です。上場準備での整備順序は IPO準備の特権アクセス管理 で解説しています。
なお、より高度なID統制（エンタイトルメント管理、ライフサイクルワークフローなど）は Microsoft Entra ID Governance という別ラインの製品として提供されています。P2の範囲を超える要件がある場合はそちらの検討対象になります。
選び方の指針
| 状況 | 推奨 |
|---|---|
| Business Basic / Standard を契約中で、条件付きアクセスを使いたい | Business Premium への切り替えを優先検討。P1単体購入よりDefender for BusinessとIntuneが付く分お得になることが多い |
| Business Premium / E3 を契約中 | すでにP1が使える。追加購入は不要。まず条件付きアクセスとSSPRを有効化する |
| E5 を契約中 | すでにP2が使える。Identity ProtectionとPIMが未設定なら有効化を検討 |
| 一部のユーザーだけ高度な保護が必要 | ユーザー単位で上位ティアを追加割り当て可能。ただし条件付きアクセスの対象者は全員P1が必要な点に注意 |
| 管理者権限の棚卸しを監査で求められている | P2（またはE5）。PIMとアクセスレビューが該当機能 |
Microsoft 365のプラン全体の比較は Microsoft 365 ライセンス比較ガイド、ライセンスコストの最適化は M365ライセンス最適化 をご覧ください。
よくある質問
Entra ID P1とP2の一番の違いは何ですか？
P1はルールを決めてアクセスを制御する機能群（条件付きアクセス、SSPR、動的グループなど）、P2はリスクを自動判定して対処し管理者権限そのものを統制する機能群（Identity Protection、PIM、アクセスレビュー）です。P1が防御の実装、P2が防御の運用品質を上げる位置づけになります。
Entra ID Freeのままで条件付きアクセスは使えますか？
使えません。Freeで利用できるのはセキュリティ既定値群という一括設定で、条件による出し分けはできません。両者は排他で、条件付きアクセスを使う場合はセキュリティ既定値群を無効化します。
社内で一部のユーザーだけEntra ID P1にできますか？
ライセンスの割り当て自体はユーザー単位で可能です。ただし条件付きアクセスポリシーの対象になるユーザーには全員P1が必要なため、全社にポリシーを適用しつつ一部だけP1という運用はできません。
Azure AD Premium P1 と Entra ID P1 は違うものですか？
同じものです。2023年7月にAzure Active DirectoryがMicrosoft Entra IDへ名称変更された際、ライセンス名も変わりました。既存契約の内容に変更はありません。
どのMicrosoft 365プランにEntra ID P1が含まれますか？
Microsoft 365 Business Premium、Microsoft 365 E3、Enterprise Mobility + Security E3 にP1が含まれます。Microsoft 365 E5 と EMS E5 にはP2が含まれます。Business Basic と Business Standard はFreeです。
まとめ
Entra IDのライセンス選定は、「条件付きアクセスを使うか」でFreeとP1が分かれ、「リスク自動判定と特権管理が要るか」でP1とP2が分かれます。
まず確認すべきは現在のMicrosoft 365プランです。Business Premium・E3・EMS E3をご契約であれば、追加購入なしにP1が使える状態になっています。使われていないケースが多いため、買う前に「すでに持っているか」を確認するところから始めてください。
P2は必要になってから追加できます。管理者が少数で権限の棚卸しが手作業で回っているうちは、P1で十分です。