グループに割り当てられている Microsoft Entra ロールのトラブルシューティングを行う

特権ロール管理者かグローバル管理者のみが、ロールの割り当ての対象となるグループを作成できます。 これらのロールのユーザーにのみ、このコントロールは表示されます。

既定では、ロールを割り当て可能なグループのメンバーシップを管理するのは特権ロール管理者とグローバル管理者のみですが、グループ所有者を追加して、ロールを割り当て可能なグループの管理を委任することができます。

そのユーザーは、ロールを割り当て可能なグループ経由でディレクトリ閲覧者となった可能性があります。 ロールを割り当て可能なグループのすべてのメンバーと所有者は保護されています。 特権認証管理者または全体管理者のロールのユーザーのみが、保護されたユーザーの資格情報をリセットできます。

そのユーザーは、ロールを割り当て可能なグループの所有者である可能性があります。 特権の昇格を避けるため、ロールを割り当て可能なグループの所有者は保護されています。 たとえば、Contoso_Security_Admins というグループがセキュリティ管理者ロールに割り当てられており、Bob がそのグループの所有者で、Alice は組織内のパスワード管理者であるとします。 この保護が存在しないとすれば、Alice が Bob の資格情報をリセットして、Bob の ID を引き継ぐことが可能になります。 そうなると、Alice は自身や他のユーザーを Contoso_Security_Admins グループに追加して、その組織のセキュリティ管理者になることができてしまいます。 あるユーザーがグループの所有者であるかどうかを確認するには、そのユーザーの所有オブジェクトの一覧を取得し、そのグループのいずれかで isAssignableToRole が true に設定されているかどうかを確認します。 設定されている場合、そのユーザーは保護対象であり、この動作は仕様によるものです。 所有オブジェクトの取得については、次のドキュメントを参照してください。

• Get-MgUserOwnedObject
• List ownedObjects

はい、できます。 グローバル管理者と特権ロール管理者は、ロール割り当て可能なグループにアクセス レビューを作成できます。

はい、できます。 グローバル管理者とユーザー管理者には、任意のグループをアクセス パッケージに配置する権限があります。 グローバル管理者には何も変更はありませんが、ユーザー管理者ロールのアクセス許可には若干の変更が加えられています。 ロールを割り当て可能なグループをアクセス パッケージに配置するには、ユーザー管理者であると同時に、ロールを割り当て可能なそのグループの所有者でもある必要があります。 エンタープライズ ライセンス管理でアクセス パッケージを作成できるユーザーの完全な表を次に示します。

*グループはロールを割り当て可能ではありません。つまり、isAssignableToRole = false です。 グループがロールを割り当て可能な場合は、アクセス パッケージを作成するユーザーは、ロールを割り当て可能なそのグループの所有者でもある必要があります。

この回答は、Microsoft Entra ID P1 組織にのみ適用されます。

1. Microsoft Entra 管理センターに特権ロール管理者以上としてサインインします。
2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
3. ユーザーを選択します。
4. [割り当てられたロール] を選択します。
5. 削除するロールの割り当てを選択します。
6. 割り当ての削除 を選択して、直接ロールの割り当てを削除します。

間接的なロールの割り当てを削除するには、そのロールに割り当てられているグループからユーザーを削除します。

次の手順のようにします。

1. Microsoft Entra 管理センターにサインインします。
2. ID>グループ>すべてのグループ を参照します。
3. [フィルターの追加] を選択します。
4. [ロールを割り当て可能] でフィルター処理を実行します。

次の手順のようにします。

1. Microsoft Entra 管理センターにサインインします。
2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
3. ユーザーを選択します。
4. [割り当てられたロール] を選択します。
5. Microsoft Entra ID P1 ライセンスをお持ちの場合は、[割り当てパス] 列を表示してください。
6. Microsoft Entra ID P2 ライセンスをお持ちの場合は、[メンバーシップ] 列を表示してください。

既存のグループをロールに割り当てると、その既存のグループの所有者がこのグループに他のメンバーを追加し、それらの新しいメンバーが自分はロールを持つことになるということを認識しない事態が起こり得ます。 ロールを割り当て可能なグループは強力なので、それを保護するために多くの制限が設けられています。 グループを管理しているユーザーが驚くような変更をグループに加えることは望ましくありません。

次のステップ

• Microsoft Entra グループを使用してロールの割り当てを管理する
• ロールを割り当て可能なグループを作成する