管理単位の作成または削除

重要

制限付き管理管理単位は現在プレビュー段階です。 ベータ版、プレビュー版、またはその他の一般提供にまだリリースされていない Azure 機能に適用される法的条件については、 製品使用条件 を参照してください。

管理単位を使用すると、組織を任意の単位に分割し、そのユニットのメンバーのみを管理できる特定の管理者を割り当てることができます。 たとえば、管理単位を使用して、大規模な大学の各学校の管理者にアクセス許可を委任し、アクセスを制御し、ユーザーを管理し、エンジニアリングの学校でのみポリシーを設定することができます。

この記事では、管理単位を作成または削除して、Microsoft Entra ID のロールアクセス許可のスコープを制限する方法について説明します。

前提 条件

• 各管理単位管理者の Microsoft Entra ID P1 または P2 ライセンス
• 管理単位メンバー向けの Microsoft Entra ID 無料ライセンス
• 特権ロール管理者ロール
• PowerShell を使用する場合の Microsoft Graph PowerShell モジュール
• Microsoft Graph API 用 Graph エクスプローラーを使用する場合の管理者の同意

詳細については、「powerShell または Graph Explorerを使用するための 前提条件」を参照してください。

管理単位を作成する

Microsoft Entra 管理センター、Microsoft Entra PowerShell、または Microsoft Graph を使用して、新しい管理単位を作成できます。

管理センター

1. Microsoft Entra 管理センターに、少なくとも特権ロール管理者としてサインインします。

2. [Entra ID]>[ロールと管理者]>[管理単位] に移動します。

   

3. 追加を選択します。

4. [ 名前 ] ボックスに、管理単位の名前を入力します。 必要に応じて、管理単位の説明を追加します。

5. テナント レベルの管理者がこの管理単位にアクセスできないようにするには、[制限付き管理単位の ] トグルを [はい]に設定します。 詳細については、「制限付き管理単位 」を参照してください。

   

6. 必要に応じて、[ ロールの割り当て ] タブでロールを選択し、この管理単位スコープでロールを割り当てるユーザーを選択します。

   

7. [ 確認と作成 ] タブで、管理単位とロールの割り当てを確認します。

8. [ 作成 ] ボタンを選択します。

PowerShell

Connect-MgGraph コマンドを使用してテナントにサインインし、必要なアクセス許可に同意します。

Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All"

New-MgDirectoryAdministrativeUnit コマンドを使用して、新しい管理単位を作成します。

$params = @{
    DisplayName = "Seattle District Technical Schools"
    Description = "Seattle district technical schools administration"
    Visibility = "HiddenMembership"
}
$adminUnitObj = New-MgDirectoryAdministrativeUnit -BodyParameter $params

New-MgBetaDirectoryAdministrativeUnit コマンドを使用して、新しい制限付き管理管理単位を作成します。 IsMemberManagementRestricted プロパティを $trueに設定します。

$params = @{
    DisplayName = "Contoso Executive Division"
    Description = "Contoso Executive Division administration"
    Visibility = "HiddenMembership"
    IsMemberManagementRestricted = $true
}
$restrictedAU = New-MgBetaDirectoryAdministrativeUnit -BodyParameter $params

Graph API

Create administrativeUnit API を使用して、新しい管理単位を作成します。

依頼

POST https://graph.microsoft.com/v1.0/directory/administrativeUnits

本文

{
  "displayName": "North America Operations",
  "description": "North America Operations administration"
}

Create administrativeUnit (beta) API を使用して、新しい制限付き管理単位を作成します。 isMemberManagementRestricted プロパティを trueに設定します。

依頼

POST https://graph.microsoft.com/beta/administrativeUnits

本文

{ 
  "displayName": "Contoso Executive Division",
  "description": "This administrative unit contains executive accounts of Contoso Corp.", 
  "isMemberManagementRestricted": true
}

管理単位を削除する

Microsoft Entra ID では、管理ロールのスコープの単位として不要になった管理単位を削除できます。 管理単位を削除する前に、その管理単位スコープを持つロールの割り当てを削除する必要があります。

管理センター

1. Microsoft Entra 管理センターに、少なくとも特権ロール管理者としてサインインします。

2. [Entra ID]>[ロールと管理者]>[管理単位] に移動します。

3. 削除する管理単位を選択します。

4. [ ロールと管理者] を選択し、ロールを開いてロールの割り当てを表示します。

5. 管理単位スコープを持つすべてのロールの割り当てを削除します。

6. [Entra ID]>[ロールと管理者]>[管理単位] に移動します。

7. 削除する管理単位の横にチェック マークを追加します。

8. [ 削除] を選択します。

   

9. 管理単位を削除することを確認するには、[はい]選択します。

PowerShell

Remove-MgDirectoryAdministrativeUnit コマンドを使用して、管理単位を削除します。

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Seattle District Technical Schools'"
Remove-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnitObj.Id

Graph API

管理単位を削除するには、 delete administrativeUnit API を使用します。

DELETE https://graph.microsoft.com/v1.0/directory/administrativeUnits/{admin-unit-id}

次の手順

• 管理単位にユーザー、グループ、またはデバイスを追加する
• 管理単位スコープを使用して Microsoft Entra ロールを割り当てる
• Microsoft Entra 管理単位: トラブルシューティングと FAQ