概要
Microsoft Entra ID では、Privileged Identity Management (PIM) を使って、グループ内の Just-In-Time メンバーシップまたはグループの Just-In-Time 所有権を管理できます。
メンバーシップまたは所有権を割り当てると、割り当ては次のようになります。
- 5 分未満の期間は割り当てることができません。
- 割り当てられてから 5 分以内に削除することはできません。
注
グループの PIM のメンバーシップまたは所有権の対象となるすべてのユーザーは、Microsoft Entra ID P2 または Microsoft Entra ID ガバナンス ライセンスを持っている必要があります。 詳細については、「 Privileged Identity Management を使用するためのライセンス要件」を参照してください。
Permissions
MICROSOFT ENTRA PIM でグループ メンバーシップまたは所有権を管理するには、適切なアクセス許可が必要です。
- ロール割り当て可能なグループの所有権を管理するには、特権ロール管理者やグローバル管理者などの
microsoft.directory/groupsAssignableToRoles/owners/updateアクセス許可を持つMicrosoft Entra ロールが必要です。または、グループのアクティブな所有者である必要があります。 - ロール割り当て可能なグループのメンバーシップを管理するには、特権ロール管理者やグローバル管理者などの
microsoft.directory/groupsAssignableToRoles/members/updateアクセス許可を持つMicrosoft Entra ロールが必要です。または、グループのアクティブな所有者である必要があります。 - ロールが割り当てできないグループの所有権を管理するには、グループ管理者や ID ガバナンス管理者などの
microsoft.directory/groups/owners/updateアクセス許可を持つMicrosoft Entra ロールが必要です。または、グループのアクティブな所有者である必要があります。 - ロールが割り当てできないグループのメンバーシップを管理するには、グループ管理者や ID ガバナンス管理者などの
microsoft.directory/groups/members/updateアクセス許可を持つMicrosoft Entra ロールが必要です。または、グループのアクティブな所有者である必要があります。
管理者のロールの割り当ては、ディレクトリ レベルまたは管理単位レベルでスコープを設定できます。 組み込みロールとカスタム Microsoft Entra ロールがサポートされています。
Privileged Identity Managementでは、microsoft.directory/groups.security/またはmicrosoft.directory/groups.unified/で始まるアクセス許可はサポートされていません。 代わりに、 microsoft.directory/groups/ で始まるアクセス許可を使用してください。
Privileged Identity Managementは、制限付き管理管理単位 (RMAU) のグループをサポートしていません。
グループの所有者またはメンバーを割り当てる
ユーザーをグループの資格のあるメンバーまたは所有者にするには、次の手順に従います。
注
管理者とグループ所有者は、グループ エクスペリエンスやその他のインターフェイスを使用してグループを管理し、MICROSOFT ENTRA PIM で行われた変更をオーバーライドできます。
Microsoft Entra 管理センターにサインインします。
ID ガバナンス>Privileged Identity Management>Groups を参照します。
ここでは、グループの PIM で既に有効になっているグループを表示できます。
管理する必要があるグループを選びます。
割り当てを選択します。
[対象の割り当て] ブレードと [アクティブな割り当て] ブレードを使用して、選択したグループの既存のメンバーシップまたは所有権の割り当てを確認します。
[ 割り当ての追加] を選択します。
[ ロールの選択] で、[ メンバー ] と [所有者 ] を選択してメンバーシップまたは所有権を割り当てます。
グループに対する資格を与えるメンバーまたは所有者を選びます。
[ 次へ] を選択します。
[ 割り当ての種類 ] ボックスの一覧で、[ 対象] または [アクティブ] を選択します。 Privileged Identity Management には、割り当ての種類が 2 つあります。
- 資格のある割り当てでは、メンバーまたは所有者はロールを使用するためにアクティベーションを行う必要があります。 アクティブ化では、多要素認証 (MFA) の提供、業務上の正当な理由の提供、または指定された承認者への承認の要求が必要になる場合もあります。
重要
Microsoft Entra ロールへの昇格に使われるグループの場合、資格のあるメンバーの割り当てに対して承認プロセスを要求することをお勧めします。 承認せずにアクティブ化できる割り当てでは、アクセス許可を持つ別の管理者が対象ユーザーのパスワードをリセットしてしまうというセキュリティリスクに対して脆弱なままである可能性があります。
- アクティブな割り当てでは、メンバーはロールを使うためにアクティブ化を実行する必要はありません。 アクティブとして割り当てられたメンバーや所有者は、常にロールに関連付けられた特権を持ちます。
割り当てが永続的である (永続的に適格または永続的に割り当てられる) 場合は、[ 永続的 ] チェック ボックスをオンにします。 グループの設定によっては、チェック ボックスが表示されない場合や編集できない場合があります。 詳細については、「 Privileged Identity Management」の「グループの PIM 設定の構成」を 参照してください。
割り当てを選択します。
既存のロールの割り当てを更新または削除する
既存のロールの割り当てを更新または削除するには、次の手順を実行します。
注
管理者とグループ所有者は、グループ エクスペリエンスやその他のインターフェイスを使用してグループを管理し、MICROSOFT ENTRA PIM で行われた変更をオーバーライドできます。
必要なアクセス許可を持つロールでMicrosoft Entra 管理センターにサインインします。
ID ガバナンス>Privileged Identity Management>Groups を参照します。
ここでは、グループの PIM で既に有効になっているグループを表示できます。
管理する必要があるグループを選びます。
割り当てを選択します。
[対象の割り当て] ブレードと [アクティブな割り当て] ブレードを使用して、選択したグループの既存のメンバーシップまたは所有権の割り当てを確認します。
[ 更新 ] または [削除] を 選択して、メンバーシップまたは所有権の割り当てを更新または削除します。