Azure Active Directory の既定のユーザー アクセス許可とは

  • [アーティクル]

Azure Active Directory (Azure AD) では、すべてのユーザーに既定のアクセス許可のセットが付与されます。 ユーザーのアクセスは、ユーザーの種類、ユーザーのロールの割り当て、および個々のオブジェクトの所有権で構成されます。

この記事では、これらの既定のアクセス許可について説明し、メンバーとゲスト ユーザーの既定値を比較します。 既定のユーザー アクセス許可は、Azure AD のユーザー設定のみで変更できます。

メンバーとゲスト ユーザー

既定のアクセス許可のセットは、ユーザーがテナントのネイティブ メンバー (メンバー ユーザー) かどうか、またはユーザーが企業間 (B2B) コラボレーション ゲスト (ゲスト ユーザー) としての別のディレクトリからのユーザーかどうかによって異なります。 ゲスト ユーザーの追加の詳細については、「Azure AD B2B コラボレーションとは」を参照してください。 既定のアクセス許可の権限を次に示します。

  • メンバー ユーザーは、アプリケーションの登録、自分のプロファイル写真と携帯電話番号の管理、自分のパスワードの変更、B2B ゲストの招待を行うことができます。 また、すべてのディレクトリ情報を読むこともできます (いくつか例外があります)。

  • ゲスト ユーザーは、ディレクトリ アクセス許可を制限されています。 自分のプロファイルの管理や自分のパスワードの変更、他のユーザー、グループ、アプリに関する情報の取得を行うことができる。 ただし、すべてのディレクトリ情報は読み取れません。

    たとえば、ゲスト ユーザーは、ユーザー、グループ、およびその他のディレクトリ オブジェクトすべてが含まれる一覧を列挙できません。 ゲストを管理者ロールに追加することができ、追加すると、読み取りと書き込みのすべてのアクセス許可が付与されます。 また、ゲストは他のゲストを招待することもできます。

メンバーとゲストの既定のアクセス許可を比較する

領域 メンバー ユーザーのアクセス許可 既定のゲスト ユーザーのアクセス許可 制限されたゲスト ユーザーのアクセス許可
ユーザーと連絡先
  • すべてのユーザーと連絡先の一覧を列挙する
  • ユーザーと連絡先のすべてのパブリック プロパティを読み取る
  • ゲストを招待する
  • 自分のパスワードを変更する
  • 自分の携帯電話番号を管理する
  • 独自の写真を管理する
  • 自分の更新トークンを無効にする
  • 独自のプロパティを読み取る
  • 他のユーザーと連絡先の表示名、メール アドレス、サインイン名、写真、ユーザー プリンシパル名、ユーザーの種類の各プロパティを読み取る
  • 自分のパスワードを変更する
  • 別のユーザーをオブジェクト ID で検索する (許可されている場合)
  • 他のユーザーの上司と直属の部下の情報を読み取る
  • 独自のプロパティを読み取る
  • 自分のパスワードを変更する
  • 自分の携帯電話番号を管理する
グループ
  • セキュリティ グループを作成する
  • Microsoft 365 グループを作成する
  • すべてのグループの一覧を列挙する
  • グループのすべてのプロパティを読み取る
  • 非表示でないグループのメンバーシップを読み取る
  • 参加しているグループで非表示にされている Microsoft 365 グループのメンバーシップを読み取る
  • ユーザーが所有するグループのプロパティ、所有権、メンバーシップを管理する
  • 所有するグループにゲストを追加する
  • 動的メンバーシップの設定を管理する
  • 所有するグループを削除する
  • 所有する Microsoft 365 グループを復元する
  • 非表示でないグループ (不参加のグループも含む) のプロパティ (メンバーシップや所有権など) を読み取る
  • 参加しているグループで非表示にされている Microsoft 365 グループのメンバーシップを読み取る
  • 表示名またはオブジェクト ID でグループを検索する (許可されている場合)
  • 参加しているグループのオブジェクト ID を読み取る
  • 一部の Microsoft 365 アプリで参加しているグループのメンバーシップと所有権を読み取る (許可されている場合)
アプリケーション
  • 新しいアプリケーションを登録 (作成) する
  • すべてのアプリケーションの一覧を列挙する
  • 登録済みアプリケーションとエンタープライズ アプリケーションのプロパティを読み取る
  • アプリケーションに付与されるアクセス許可を一覧表示する
  • 所有するアプリケーションのプロパティ、割り当て、資格情報を管理する
  • ユーザーのアプリケーション パスワードを作成または削除する
  • 所有するアプリケーションを削除する
  • 所有するアプリケーションを復元する
  • アプリケーションに付与されるアクセス許可を一覧表示する
  • 登録済みアプリケーションとエンタープライズ アプリケーションのプロパティを読み取る
  • アプリケーションに付与されるアクセス許可を一覧表示する
  • 登録済みアプリケーションとエンタープライズ アプリケーションのプロパティを読み取る
  • アプリケーションに付与されるアクセス許可を一覧表示する
デバイス
  • すべてのデバイスの一覧を列挙する
  • デバイスのすべてのプロパティを読み取る
  • 所有するデバイスのすべてのプロパティを管理する
 アクセス許可なし アクセス許可なし
Organization
  • 会社のすべての情報を読み取る
  • すべてのドメインを読み取る
  • 証明書ベースの認証の構成を読み取る
  • すべてのパートナー契約を読み取る
  • 会社の表示名を読み取る
  • すべてのドメインを読み取る
  • 証明書ベースの認証の構成を読み取る
  • 会社の表示名を読み取る
  • すべてのドメインを読み取る
ロールとスコープ
  • すべての管理者ロールとメンバーシップを読み取る
  • 管理単位のすべてのプロパティとメンバーシップを読み取る
 アクセス許可なし アクセス許可なし
サブスクリプション
  • すべてのライセンス サブスクリプションを読み取る
  • サービス プランのメンバーシップを有効にする
 アクセス許可なし アクセス許可なし
ポリシー
  • ポリシーのすべてのプロパティを読み取る
  • 所有するポリシーのすべてのプロパティを管理する
 アクセス許可なし アクセス許可なし

メンバー ユーザーの既定のアクセス許可を制限する

ユーザーの既定のアクセス許可に制限を追加できます。

メンバー ユーザーの既定のアクセス許可は、次の方法で制限できます。

注意事項

[Azure AD 管理ポータルへのアクセスを制限する] スイッチを使用することは、セキュリティ対策ではありません。 機能の詳細については、下記の表を参照してください。

権限 設定の説明
アプリケーションの登録 このオプションを [いいえ] に設定すると、ユーザーはアプリケーション登録を作成できません。 その場合、特定のユーザーをアプリケーション開発者ロールに追加することで、そのユーザーにこの権限を付与できます。
ユーザーが LinkedIn で職場または学校アカウントに接続できるようにする このオプションを [いいえ] に設定すると、ユーザーは、自身の LinkedIn アカウントで職場または学校のアカウントに接続できなくなります。 詳細については、「LinkedIn アカウント接続のデータ共有と同意」を参照してください。
セキュリティ グループを作成する このオプションを [いいえ] に設定すると、ユーザーはセキュリティ グループを作成できません。 その場合でも、全体管理者とユーザー管理者はセキュリティ グループを作成できます。 方法については、「グループの設定を構成するための Azure Active Directory コマンドレット」をご覧ください。
Microsoft 365 グループを作成する このオプションを [いいえ] に設定すると、ユーザーは Microsoft 365 グループを作成できません。 このオプションを [一部] に設定すると、ユーザーのセットは Microsoft 365 グループを作成できます。 その場合でも、全体管理者とユーザー管理者は Microsoft 365 グループを作成できます。 方法については、「グループの設定を構成するための Azure Active Directory コマンドレット」をご覧ください。
Azure AD 管理ポータルへのアクセスを制限する このスイッチでは何が行われますか?
[いいえ] に設定すると、管理者でないユーザーが Azure AD 管理ポータルを参照できます。
[はい] に設定すると、管理者でないユーザーは Azure AD 管理ポータルを参照できないように制限します。 グループまたはアプリケーションの所有者であるが管理者ではないユーザーは、Azure portal を使用して所有しているリソースを管理することができません。

行われないことは何ですか?
PowerShell、Microsoft GraphAPI または他のクライアント (Visual Studio など) を使用した Azure AD データへのアクセスは制限されません。
ユーザーにカスタム ロール (またはいずれかのロール) が割り当てられていない限り、アクセスは制限されません。

このスイッチはいつ使用する必要がありますか?
このオプションは、ユーザーが自分の所有するリソースを誤って構成するのを防ぐために使用します。

このスイッチを使用するべきでないのはどのような場合ですか?
このスイッチをセキュリティ対策として使用することは避けてください。 代わりに、Microsoft Azure Management を対象とする条件付きアクセス ポリシーを作成して、管理者でないユーザーが Microsoft Azure Management にアクセスできないようにします。

管理者でない特定のユーザーにのみ Azure AD 管理ポータルを使用する権限を付与するには、どのようにしますか?
このオプションを [はい] に設定し、グローバル リーダーなどのロールを割り当てます。

Entra 管理ポータルへのアクセスを制限する
Microsoft Azure Management を対象とする条件付きアクセス ポリシーでは、すべての Azure 管理へのアクセスが対象となります。
管理者以外のユーザーによるテナントの作成を制限する ユーザーは、Azure AD および Entra 管理ポータルの [テナントの管理] でテナントを作成できます。 テナントの作成は、監査ログに DirectoryManagement カテゴリおよび Create Company アクティビティとして記録されます。 テナントを作成するすべてのユーザーは、そのテナントのグローバル管理者になります。 新しく作成されたテナントは設定や構成を継承しません。

このスイッチでは何が行われますか?
このオプションを [はい] に設定すると、Azure AD テナントの作成がグローバル管理者ロールまたはテナント作成者ロールに制限されます。 このオプションを [いいえ] に設定すると、管理者以外のユーザーが Azure AD テナントを作成できます。 テナントの作成は引き続き監査ログに記録されます。

管理者でない特定のユーザーにのみ新しいテナントを作成する権限を付与するにはどうすればいいですか?
このオプションを [はい] に設定し、ユーザーにテナント作成者ロールを割り当てます。
管理者以外のユーザーによる所有デバイスの BitLocker キーの読み取りを制限する このオプションを [はい] に設定すると、ユーザーは所有デバイスの BitLocker キーをセルフサービスで回復できなくなります。 このオプションを [いいえ] に設定すると、ユーザーは BitLocker キーを回復できます。
他のユーザーの読み取り この設定は Microsoft Graph と PowerShell でのみ使用できます。 このフラグを $false に設定すると、管理者以外のすべてのユーザーはディレクトリからユーザー情報を読み取ることができなくなります。 Exchange Online などの他の Microsoft サービスのユーザー情報の読み取りは妨げられません。

この設定は特殊な状況を想定しているため、フラグを $false に設定しないことをお勧めします。

[管理者以外のユーザーによるテナントの作成を制限する] オプションが以下で示されています

**[管理者以外のユーザーによるテナントの作成を制限する]** オプションを示すスクリーンショット

ゲスト ユーザーの既定のアクセス許可を制限する

ゲスト ユーザーの既定のアクセス許可は、次の方法で制限できます。

注意

[ゲスト ユーザーのアクセス制限] 設定によって、[ゲストのアクセス許可を制限する] 設定が置き換えられました。 この機能の使用に関するガイダンスについては、「Azure Active Directory でゲストのアクセス許可を制限する」を参照してください。

権限 設定の説明
ゲスト ユーザーのアクセス制限 このオプションを [Guest users have the same access as members](ゲスト ユーザーにメンバーと同じアクセス権を付与する) に設定すると、メンバー ユーザーのアクセス許可すべてがゲスト ユーザーに既定で付与されます。

このオプションを [Guest user access is restricted to properties and memberships of their own directory objects](ゲスト ユーザーのアクセスを、自分のディレクトリ オブジェクトのプロパティとメンバーシップに制限する) に設定すると、ゲスト アクセスは既定で自分のユーザー プロファイルのみに制限されます。 ユーザー プリンシパル名、オブジェクト ID、または表示名で検索する場合でも、他のユーザーへのアクセスは許可されなくなりました。 グループ メンバーシップを含むグループ情報へのアクセスも許可されなくなりました。

この設定では、Microsoft Teams など、一部の Microsoft 365 サービスの参加しているグループへのアクセスは禁止されません。 詳細については、Microsoft Teams のゲストのアクセスに関する記事を参照してください。

このアクセス許可の設定に関係なく、ゲスト ユーザーを管理者の役割に追加できます。
ゲストは招待ができる このオプションを [はい] に設定すると、ゲストは他のゲストを招待できます。 詳細については、外部コラボレーション設定の構成に関するページを参照してください。

オブジェクトの所有権

アプリケーション登録所有者のアクセス許可

ユーザーがアプリケーションを登録すると、そのユーザーはアプリケーションの所有者として自動的に追加されます。 所有者は、名前やアプリが要求するアクセス許可など、アプリケーションのメタデータを管理できます。 また、シングル サインオン (SSO) の構成やユーザーの割り当てなど、アプリケーションのテナント固有の構成も管理できます。

所有者は、他の所有者を追加または削除することもできます。 全体管理者とは異なり、所有者は、自分が所有するアプリケーションのみを管理できます。

エンタープライズ アプリケーション所有者のアクセス許可

ユーザーがエンタープライズ アプリケーションを追加すると、そのユーザーは自動的に所有者として追加されます。 所有者は、SSO の構成、プロビジョニング、ユーザーの割り当てなど、アプリケーションのテナント固有の構成を管理できます。

所有者は、他の所有者を追加または削除することもできます。 全体管理者とは異なり、所有者は、自分が所有するアプリケーションのみを管理できます。

グループ所有者のアクセス許可

グループを作成したユーザーは、そのグループの所有者として自動的に追加されます。 所有者は、名前などのグループのプロパティおよびグループ メンバーシップを管理できます。

所有者は、他の所有者を追加または削除することもできます。 全体管理者およびユーザー管理者とは異なり、所有者が管理できるのは自分が所有するグループだけです。

グループ所有者の割り当てについては、「グループの所有者の管理」をご覧ください。

所有者のアクセス許可

以降の表では、Azure AD メンバー ユーザーの特定のアクセス許可には所有するオブジェクトを超えるオブジェクトが含まれることを説明します。 ユーザーは、自分が所有するオブジェクトに対してのみこれらのアクセス許可を持っています。

所有しているアプリケーションの登録

ユーザーは、所有するアプリケーションの登録で次のアクションを実行できます。

操作 説明
microsoft.directory/applications/audience/update Azure AD で applications.audience プロパティを更新します。
microsoft.directory/applications/authentication/update Azure AD で applications.authentication プロパティを更新します。
microsoft.directory/applications/basic/update Azure AD でアプリケーションの基本プロパティを更新します。
microsoft.directory/applications/credentials/update Azure AD で applications.credentials プロパティを更新します。
microsoft.directory/applications/delete Azure AD でアプリケーションを削除します。
microsoft.directory/applications/owners/update Azure AD で applications.owners プロパティを更新します。
microsoft.directory/applications/permissions/update Azure AD で applications.permissions プロパティを更新します。
microsoft.directory/applications/policies/update Azure AD で applications.policies プロパティを更新します。
microsoft.directory/applications/restore Azure AD でアプリケーションを復元します。

所有するエンタープライズ アプリケーション

ユーザーは、所有するエンタープライズ アプリケーションで次のアクションを実行できます。 エンタープライズ アプリケーションは、サービス プリンシパル、1 つまたは複数のアプリケーション ポリシー、および場合によってはサービス プリンシパルと同じテナント内のアプリケーション オブジェクトで構成されます。

操作 説明
microsoft.directory/auditLogs/allProperties/read Azure AD で監査ログのすべてのプロパティ (特権プロパティを含む) を読み取ります。
microsoft.directory/policies/basic/update Azure AD でポリシーの基本プロパティを更新します。
microsoft.directory/policies/delete Azure AD でポリシーを削除します。
microsoft.directory/policies/owners/update Azure AD で policies.owners プロパティを更新します。
microsoft.directory/servicePrincipals/appRoleAssignedTo/update Azure AD で servicePrincipals.appRoleAssignedTo プロパティを更新します。
microsoft.directory/servicePrincipals/appRoleAssignments/update Azure AD で users.appRoleAssignments プロパティを更新します。
microsoft.directory/servicePrincipals/audience/update Azure AD で servicePrincipals.audience プロパティを更新します。
microsoft.directory/servicePrincipals/authentication/update Azure AD で servicePrincipals.authentication プロパティを更新します。
microsoft.directory/servicePrincipals/basic/update Azure AD でサービス プリンシパルの基本プロパティを更新します。
microsoft.directory/servicePrincipals/credentials/update Azure AD で servicePrincipals.credentials プロパティを更新します。
microsoft.directory/servicePrincipals/delete Azure AD でサービス プリンシパルを削除します。
microsoft.directory/servicePrincipals/owners/update Azure AD で servicePrincipals.owners プロパティを更新します。
microsoft.directory/servicePrincipals/permissions/update Azure AD で servicePrincipals.permissions プロパティを更新します。
microsoft.directory/servicePrincipals/policies/update Azure AD で servicePrincipals.policies プロパティを更新します。
microsoft.directory/signInReports/allProperties/read Azure AD のサインイン情報レポートのすべてのプロパティ (特権プロパティを含む) を読み取ります。

所有するデバイス

ユーザーは、所有するデバイスで次のアクションを実行できます。

操作 説明
microsoft.directory/devices/bitLockerRecoveryKeys/read Azure AD の devices.bitLockerRecoveryKeys プロパティを読み取ります。
microsoft.directory/devices/disable Azure AD でデバイスを無効にします。

所有するグループ

ユーザーは、所有するグループで次のアクションを実行できます。

注意

動的グループの所有者は、グループ メンバーシップ ルールを編集するために、グローバル管理者、グループ管理者、Intune 管理者、またはユーザー管理者ロールを持っている必要があります。 詳細は、「Azure Active Directory で動的グループを作成または更新する」を参照してください。

操作 説明
microsoft.directory/groups/appRoleAssignments/update Azure AD で groups.appRoleAssignments プロパティを更新します。
microsoft.directory/groups/basic/update Azure AD でグループの基本プロパティを更新します。
microsoft.directory/groups/delete Azure AD でグループを削除します。
microsoft.directory/groups/members/update Azure AD で groups.members プロパティを更新します。
microsoft.directory/groups/owners/update Azure AD で groups.owners プロパティを更新します。
microsoft.directory/groups/restore Azure AD でグループを復元します。
microsoft.directory/groups/settings/update Azure AD で groups.settings プロパティを更新します。

次のステップ