高等教育機関が直面する ID とアクセスの課題は、他の業界とは異なります。 大規模な研究大学は、学生、教職員、研究者、スタッフ、卒業生、外部のコラボレーターなど、多様な集団を管理しています。 各母集団には、異なるアクセス ニーズとライフサイクル パターンがあります。 IT 管理者は、学用語ごとに何万もの ID を作成およびプロビジョニング解除できます。 研究パートナーに対して、組織の境界を越えて安全なコラボレーションと多国間フェデレーションを提供できます。
このような課題に対処するために、Microsoft Entra IDは統合 ID とアクセス管理 (IAM) プラットフォームを提供します。 organization全体の各ユーザーとリソースに対するセキュリティで保護されたアクセスの利点は、次のとおりです。
- 簡素化されたスケールと複雑さ — Microsoft Entra IDは、学術、医療、研究ユニットにまたがる単一の ID プラットフォームです。 これにより、教育機関が数十万人のアクティブ ユーザーをサポートしている場合でも、個別の ID システムの必要性が軽減されます。
- アダプティブ アクセス: アクセス ポリシーは、デバイスの種類、場所、リスク レベルを考慮できます。 同じフレームワーク内で、学内の教員、個人のデバイス上の学生、海外の研究者を管理できます。
- ライフサイクルの自動化 - 入学、入学、卒業のリズムに合わせてプロビジョニングとプロビジョニング解除を自動化できます。 自動化を使用すると、手動による作業と古いアカウント のリスクを軽減できます。
- 機関間コラボレーション - 外部の研究者やパートナー機関にスコープを設定した共有リソース へのアクセスを許可できます。 教育機関のセキュリティ境界を弱める個別の資格情報は必要ありません。
- セキュリティ制御 - フィッシングに強い認証方法、リスクベースのアクセス制御、ガバナンス機能は、機関がコンプライアンス義務を果たし、機密データを保護するのに役立ちます。
- 広範な統合 — Microsoft Entra IDはスタンドアロン ツールではありません。 これは、Microsoft 365、Azure、何千もの EdTech プラットフォームとアプリケーション (Learning Management Systems や Student Information Systems など) の ID レイヤーです。
教育機関は、Microsoft 365 Educationの無料試用版にサインアップできます。 資格確認ウィザードを完了して、学術価格でサブスクリプションを購入できます。
Microsoft Entra テナントとは
Microsoft Entra テナントは、organizationが使用するアプリケーションとリソースに IAM 機能を提供します。 ID は、リソース アクセスの認証と承認を行うディレクトリ オブジェクトです。 ID オブジェクトは、学生、教職員、研究者などの人間の ID に対して存在します。 クラスルーム デバイス、ラボ ワークステーション、アプリケーション、サービス プリンシパル、AI エージェントなどの非人間 ID の ID オブジェクトを構成できます。
Microsoft Entra テナントは、organizationの IT 部門が制御する ID セキュリティ境界です。 このセキュリティ境界内で、IT 管理者はオブジェクト管理 (ユーザー オブジェクトなど) を管理し、テナント全体の設定を構成します。
Microsoft Entra テナントを作成する
有料または試用版の Microsoft 365 for Education サブスクリプションにサインアップする場合は、基になる Microsoft 365 サービスの一部としてMicrosoft Entra テナントを作成します。 同様に、Azureにサインアップすると、Entra テナントが作成されます。
追加のMicrosoft Entra テナントを作成するには、有料の Microsoft ライセンス プランが必要です。
重要
Microsoft Entra テナントを作成するときは、データ センターの場所を決定する論理リージョンを指定します。 リージョンは作成後に変更できないため、慎重に選択してください。
Microsoft 365 Educationデプロイ ガイドでは、Microsoft Entra テナントを作成する方法の詳細について説明します。
テナント リソース
Microsoft Entra IDを使用して、ID を表すオブジェクトへのリソース アクセスを許可します。 リソースには、データベースや Learning Management Systems (LMS) などのアプリケーションとその基になるAzure リソースを含めることができます。
Microsoft Entra IDを使用するアプリへのアクセス
次のアプリケーションの種類へのアクセス権を ID に付与できます。
- Exchange Online、Microsoft Teams、SharePoint Online などの Microsoft 生産性サービス
- Microsoft Sentinel、Microsoft Intune、Microsoft Defender for Endpointなどの Microsoft セキュリティ サービス
- Azure DevOps などの Microsoft 開発者ツール
- Learning Management Systems (LMS) や Student Information Systems (SIS) などの Microsoft 以外のアプリケーション
- Microsoft Entra アプリケーション プロキシなどのハイブリッド アクセス機能と統合されるオンプレミス アプリケーション
- カスタムの自社開発アプリケーション
Microsoft Entra IDを使用するアプリケーションでは、信頼されたMicrosoft Entra テナント内のディレクトリ オブジェクトを構成および管理する必要があります。 ディレクトリ オブジェクトの例としては、アプリケーションの登録、サービス プリンシパル、グループ、 スキーマ属性拡張機能などがあります。
一部のアプリケーションでは、テスト インスタンスや運用インスタンスなど、テナントごとに複数のインスタンスを使用できます。 Exchange Onlineなどの一部の Microsoft サービスでは、テナントごとに 1 つのインスタンスのみを使用できます。
ディレクトリ オブジェクトへのアクセス
Microsoft Entra テナントは、ID、リソース、およびそのリレーションシップをディレクトリ オブジェクトとして表します。 ディレクトリ オブジェクトの例としては、ユーザー、グループ、サービス プリンシパル、アプリの登録などがあります。
Entra テナントにオブジェクトを追加すると、次の利点が得られます。
可視性 - 適切なアクセス許可を持っている場合、ID はリソース、ユーザー、グループ、およびアクセスの使用状況に関するレポート ログと監査ログを検出または列挙できます。 たとえば、ディレクトリ メンバーは、既定のユーザー アクセス許可を持つディレクトリ内のユーザーを検出できます。
アプリケーションはオブジェクトに影響を与える可能性があります。アプリケーションは、ビジネス ロジックの一部として Microsoft Graph を介してディレクトリ オブジェクトを操作できます。 一般的な例としては、ユーザー属性の読み取りまたは設定、ユーザーの予定表の更新、ユーザーの代わりに電子メールを送信するなどがあります。 アプリケーションがテナントに影響を与えるようにするには、同意が必要です。 管理者はすべてのユーザーに同意できます。 Microsoft ID プラットフォームのアクセス許可と同意により、アプリケーションの同意に関する詳細情報が提供されます。
注:
アプリケーションのアクセス許可には注意が必要です。 たとえば、Exchange Onlineは、特定のメールボックスにアプリケーションのアクセス許可をスコープできます。
調整とサービスの制限 - リソース ランタイムの動作によって 調整が トリガーされ、過剰使用やサービスの低下を防ぐことができます。 調整は、アプリケーション、テナント、またはサービス レベル全体で発生する可能性があります。 最も一般的に、調整は、アプリケーションがテナント内またはテナント間で多数の要求を持っている場合に発生します。
各テナントには、合計オブジェクト制限があります (既定では 50,000 個の合計オブジェクト)。 カスタム ドメインを追加すると、制限は 300,000 に増加します。 このオブジェクトの上限を引き上げるには、 EDU カスタマー サクセス チームにお問い合わせください。 1 つのMicrosoft Entra テナントに 100 万人以上のユーザーが存在しないことをお勧めします。これは通常、合計約 300 万のオブジェクトに相当します。 Microsoft Entraサービスの制限と制限により、Microsoft Entra IDのサービス制限に関する詳細情報が提供されます。
テナント構成
Microsoft Entra IDのポリシーと設定は、ターゲットまたはテナント全体の構成を通じて、Microsoft Entra テナント内のリソースに影響します。
テナント全体のポリシーと設定の例には、次のオプションがあります。
外部 ID - テナントのグローバル管理者は、テナントでプロビジョニングする 外部 ID を 識別し、制御します。これには、次のものが含まれます。
- テナントで外部 ID を許可するかどうか
- 外部 ID を追加できるドメイン
- ユーザーが他のテナントからユーザーを招待できるかどうか
名前付き場所 - グローバル管理者は 名前付き場所を作成できます。 その後、それらを使用して特定の場所からのサインインをブロックし、リソースへのアクセスに特定の認証強度を必要とする条件付きアクセス ポリシーをトリガーできます。
許可される認証方法 - グローバル管理者は、テナント 認証方法 と 認証強度を構成できます。 設定には、パスキーや FIDO2 セキュリティ キーなどのフィッシングに耐性のあるオプションが含まれます。
セルフサービス オプション - グローバル管理者は、 認証方法の登録 や Microsoft 365 グループの作成 などのセルフサービス オプションをテナント レベルで構成できます。
グローバル管理ポリシーがオーバーライドされない場合は、テナント全体の構成実装のスコープを設定できます。 例:
- テナント構成で外部 ID が許可されている場合、リソース管理者はこれらの ID をリソースへのアクセスから除外できます。
- テナント構成で個人用デバイスの登録が許可されている場合、リソース管理者は、これらのデバイスを特定のリソースへのアクセスから除外できます。
- 名前付き場所を構成する場合、リソース管理者は、それらの場所からのアクセスを許可または除外するポリシーを構成できます。
テナント管理
テナント管理には、ID オブジェクト管理とスコープ付きテナント全体の構成実装が含まれます。 オブジェクトには、ユーザー、グループ、デバイス、サービス プリンシパル、エージェント ID が含まれます。 認証、承認、セルフサービス オプションなど、テナント全体の構成の効果をスコープ設定できます。
テナント全体の管理者またはグローバル管理者は、次の機能を実行できます。
- 任意のユーザーに任意のリソースへのアクセスを許可する
- リソース ロールを任意のユーザーに割り当てる
- 下位スコープの管理者ロールを任意のユーザーに割り当てる
ディレクトリ オブジェクトの管理
管理者は、ID オブジェクトがリソースにアクセスする方法と、どのような状況で管理します。 権限に基づいてディレクトリ オブジェクトを無効、削除、または変更できます。
組織 ID ユーザー オブジェクト
- 管理者
- 組織ユーザー
- 組織の開発者
- ユーザーのテスト
外部 ID (organizationの外部からのユーザー)
- organizationの環境にローカルなアカウントを使用してプロビジョニングするパートナーまたは他の教育機関
- B2B コラボレーションを通じてプロビジョニングするパートナーまたはその他の教育機関Microsoft Entra 外部 ID
グループ オブジェクト
- セキュリティ グループ
- Microsoft 365 グループ
デバイス オブジェクト
- Microsoft Entra ハイブリッド参加済みデバイス (オンプレミスの Active Directoryから同期するオンプレミス コンピューター)
- Microsoft Entra 参加済みデバイス
- Microsoft Entra従業員が職場アプリケーションへのアクセスに使用する登録済みモバイル デバイスです。
非人間 ID オブジェクト
- アプリケーションのサービス プリンシパル
- Azure ワークロードのマネージド ID
- AI エージェント ID (エージェント ID 経由)
注:
ハイブリッド環境では、ID は通常、Microsoft Entra Connect または Microsoft Entra Cloud Sync を使用して、オンプレミスの Active Directory環境から同期します。
ID サービスの管理
適切なアクセス許可を持つ管理者は、リソース グループ、セキュリティ グループ、またはアプリケーションのレベルでテナント全体のポリシーの実装を管理できます。 リソース管理の場合は、次の点を考慮して、リソースを一緒に保持するか分離するかを決定します。
- 認証管理者は、非管理者に FIDO2 セキュリティ キーまたはパスキーの再登録を要求できます。
- 条件付きアクセス (CA) 管理者は、準拠しているデバイスからのみ特定のアプリへのサインインをユーザーに要求する CA ポリシーを作成できます。 外部 ID をリソースへのアクセスから除外しながら、テナント内の外部 ID を許可するなど、構成のスコープを設定できます。
- クラウド アプリケーション管理者は、すべてのユーザーに代わってアプリケーションのアクセス許可に同意できます。
- グローバル管理者は、サブスクリプションを制御できます。
ライセンス
Microsoft 365 などの Microsoft 有料クラウド サービスには、サービス アクセスを必要とする各ユーザーに割り当てられたライセンスが必要です。 Microsoft Entra IDは、すべての Microsoft クラウド サービスの ID 管理をサポートし、ユーザーのライセンス割り当ての状態に関する情報を格納する基になるインフラストラクチャです。 Microsoft Entra IDでは、ユーザーのグループに 1 つ以上の製品ライセンスを割り当てることができるように、グループ ベースのライセンスがサポートされています。
Microsoft 365 Education シナリオでのMicrosoft Entra ID
Microsoft Entra IDは、学生と教職員がサインインし、次のようなリソースやサービスにアクセスするのに役立ちます。
リソースのサインインと承認
Microsoft 365 の機能
- Microsoft Entra ID に対する Microsoft 365 ライセンスの割り当てによってプロビジョニングがトリガーされます。
- Microsoft Entra ディレクトリ オブジェクトは、Microsoft Entra IDで管理する Microsoft 365 オブジェクト (配布リスト、Microsoft 365 グループ、連絡先、Microsoft Teamsなど) を表します。
- 承認を提供するために、Microsoft 365 サービスはMicrosoft Entra グループを使用します。
- Microsoft 365 からMicrosoft Entra IDへのアクセスを制御します。
ガバナンスとセキュリティ
- Intune for Education などの管理機能とセキュリティ機能は、Microsoft Entraユーザー、グループ、デバイス、ポリシーに依存します。
- Privileged Identity Managementでは、Just-In-Time (JIT) と Just Enough Administration (JEA) の特権操作へのアクセスが許可されます。
- エンタイトルメント管理 は、研究リソース、ラボ、機密データへのアクセス パッケージを管理します。
- サインイン ログ と 監査アクティビティ レポート は、コンプライアンスとインシデント調査に役立ちます。
- Verified IDは、セキュリティで保護されたユーザー オンボード、ヘルプ デスク、および卒業生のシナリオを提供します。
- アクセス レビューは、 定期的なアクセス権の認定に役立ちます。
- ライフサイクル ワークフロー は、大規模な管理に役立ちます。 学生アカウントの登録時のプロビジョニング、学部の変更時のアクセス許可の調整、学生の卒業時のアクセス権の取り消しなどのタスクを自動化します。 ライフサイクル ワークフローは、EDU 領域で一般的なデュアル ペルソナとアカウント検出シナリオ (学生ワーカーなど) にも役立ちます。
- SCIM API は 、大学向けの自動化されたユーザーおよびグループ プロビジョニングに業界標準のインターフェイスを提供します。 人事システム、SIS プラットフォーム、研究助成管理システムと統合します。
外部コラボレーション
- Microsoft Entra 外部 ID B2B コラボレーションは、外部コラボレーション機能の管理に役立ちます。
- Microsoft 365 のマルチテナント組織 では、複数のテナントが個別の ID と管理境界を維持しながらシームレスに共同作業できます。
- 多国間フェデレーション ソリューションの概要では、Microsoft Entra IDを使用して多国間フェデレーションに参加する方法に関するガイダンスを提供します。
AI とエージェント のガバナンス — Microsoft Entra エージェント IDにより、AI ワークロードの安全な管理とガバナンスが可能になります。
ネットワーク アクセス: グローバル セキュリティで保護されたアクセス は、ID 対応のネットワーク セキュリティを提供します。 これにより、従来の VPN を必要とせずに、インターネット リソース、SaaS アプリケーション、およびオンプレミスの研究システムへの安全な接続が可能になります。
ハイブリッド環境
- Microsoft Entra IDハイブリッド機能は、オンプレミスの Active Directoryから Microsoft Entra Connect と Microsoft Entra Cloud Sync を介して同期されます。これらのツールを使用すると、organizationに適した認証方法を構成できます。 認証方法には、 パスワード ハッシュ同期、 パススルー認証、AD FS または Microsoft 以外の SAML ID プロバイダーとの フェデレーション統合 が含まれる場合があります。
- API は、 School データ同期 を使用して学生情報システム (SIS) からディレクトリ オブジェクトをプロビジョニングするのに役立ちます。