マルチテナントユーザー管理に関する一般的な考慮事項

[アーティクル]
03/11/2024

この記事は、Microsoft Entra マルチテナント環境でユーザーライフサイクル管理を構成、提供するためのガイダンスを提供するシリーズ記事の第 3 回目です。シリーズ記事の次回以降は、下記のとおり、さらに詳しい情報について説明します。

このシリーズ記事の第 1 回目の「マルチテナントユーザー管理の概要」では、Microsoft Entra マルチテナント環境でユーザーライフサイクル管理を構成、提供するためのガイダンスを提供しています。
「マルチテナントユーザー管理のシナリオ」では、マルチテナントユーザー管理機能を使用できる 3 つのシナリオ (エンドユーザーによる実施、スクリプト化、自動化) について説明します。
マルチテナントユーザー管理の一般的なソリューション (シングルテナントでは要件を満たせない場合): テナント間での自動ユーザーライフサイクル管理とリソース割り当て、テナント間でのオンプレミスアプリ共有、といった課題のガイダンスを説明します。

このガイダンスは、ユーザーライフサイクル管理で整合性のとれた状態を実現するのに役立ちます。ライフサイクル管理には、Microsoft Entra B2B コラボレーション (B2B) やテナント間同期を含む使用可能な Azure ツールを用いた、テナント間のユーザープロビジョニング、ユーザー管理、ユーザープロビジョニング解除が含まれます。

同期要件は、組織固有のニーズに応じて異なります。組織の要件を満たすソリューションを設計する際には、この記事の次の考慮事項を検討すると、最適なオプションの特定に役立ちます。

テナント間同期
ディレクトリオブジェクト
Microsoft Entra 条件付きアクセス
追加のアクセス制御
Office 365

テナント間同期

テナント間同期を使用すると、マルチテナント組織が直面するコラボレーションとアクセスの課題に対処できます。次の表は、一般的な同期のユースケースを示しています。考慮事項が複数のコラボレーションパターンに関連する場合は、テナント間同期とカスタム開発の両方を使用してユースケースを満たすことができます。

使用事例	テナント間同期	カスタム開発
ユーザーライフサイクル管理
ファイル共有とアプリアクセス
ソブリンクラウドとの間の同期のサポート
リソーステナントからの同期の制御
グループオブジェクトの同期
同期マネージャーのリンク
属性レベルの権限ソース
Microsoft Entra による Microsoft Windows Server Active Directory への書き戻し

ディレクトリオブジェクトに関する考慮事項

外部ユーザーの招待に使用する UPN と SMTP アドレス

Microsoft Entra B2B では、ユーザーの UserPrincipalName (UPN) と、招待を送信するためのプライマリ簡易メール転送プロトコル SMTP (メール) アドレスが一致することを想定しています。ユーザーの UPN がプライマリ SMTP アドレスと同じ場合、B2B は想定どおりに動作します。ただし、UPN が外部ユーザーのプライマリ SMTP アドレスと異なる場合、ユーザーが招待を受け取ったときに UPN を解決できない可能性があり、ユーザーの実際の UPN がわからないと対処するのが難しくなります。 B2B の招待を送信するときには、UPN を確認して使用する必要があります。

この記事の「Microsoft Exchange Online」セクションで、外部ユーザーの既定のプライマリ SMTP を変更する方法について説明します。この手法は、外部向けのすべてのメールと通知を、UPN ではなく実際のプライマリ SMTP アドレスに送信する場合に便利です。メールフローで UPN がルーティング不可の場合は、この手法が必要になることがあります。

外部ユーザーの UserType の変換

コンソールを使用して外部ユーザーアカウントの招待を手動で作成する場合、ユーザーの種類がゲストに設定されたユーザーオブジェクトが作成されます。他の手法で招待を作成すると、ユーザーの種類を外部ゲストアカウント以外に設定できます。たとえば、API を使用すると、アカウントを外部メンバーアカウントまたは外部ゲストアカウントのどちらにするかを構成できます。

ゲスト機能の制限の一部をなくすことができます。
ゲストアカウントを変換してユーザーの種類をメンバーにすることができます。

外部ゲストユーザーから外部メンバーユーザーアカウントに変換する場合、Exchange Online による B2B アカウントの処理に問題が発生する可能性があります。外部メンバーユーザーとして招待したアカウントのメールを有効にすることはできません。外部メンバーアカウントのメールを有効にするには、次の最適な方法を使用します。

組織間ユーザーを外部ゲストユーザーアカウントとして招待します。
GAL でアカウントを示します。
UserType を Member に設定します。

この方法を使用すると、アカウントは Exchange Online および Office 365 全体で MailUser オブジェクトとして表示されます。また、タイミングの問題もあることに注意してください。 Microsoft Entra ユーザーの ShowInAddressList プロパティが Exchange Online PowerShell の HiddenFromAddressListsEnabled プロパティと整合している (互いに逆の値が設定されている) ことをチェックして、ユーザーが GAL に表示されることを確認します。この記事の「Microsoft Exchange Online」セクションで、表示設定の変更について詳しく説明します。

メンバーユーザーをゲストユーザーに変換できます。これは、内部ユーザーのアクセス許可をゲストレベルのアクセス許可に制限する場合に役立ちます。内部ゲストユーザーとは、組織の従業員ではないものの、そのユーザーと資格情報を管理するユーザーです。この方法により、内部ゲストユーザーへのライセンス付与を回避できる場合があります。

外部ユーザーまたは外部メンバーの代わりにメール連絡先オブジェクトを使用する場合の問題

従来の GAL 同期を使用して、別のテナントのユーザーを表すことができます。 Microsoft Entra B2B コラボレーションを使用するのではなく GAL 同期を行った場合、メール連絡先オブジェクトが作成されます。

メール連絡先オブジェクトと、メールが有効な外部メンバーまたは外部ゲストのユーザーは、同じメールアドレスで同じテナントに同時に存在することはできません。
招待された外部ユーザーと同じメールアドレスを持つメール連絡先オブジェクトが存在する場合、外部ユーザーは作成されますが、メールは有効になりません。
同じメールアドレスを持つ、メールが有効な外部ユーザーが存在する場合、メール連絡先オブジェクトを作成しようとすると、作成時に例外がスローされます。

Note

メール連絡先を使用するには、Active Directory Services (AD DS) または Exchange Online PowerShell が必要です。 Microsoft Graph では、連絡先を管理するための API 呼び出しは提供されません。

次の表に、メール連絡先オブジェクトと外部ユーザーの状態の結果を示します。

既存の状態	プロビジョニングシナリオ	有効な結果
None	B2B メンバーを招待する	メールが有効でないメンバーユーザー。上記の重要な注意事項を参照。
None	B2B ゲストを招待する	メールが有効な外部ユーザー。
メール連絡先オブジェクトが存在する	B2B メンバーを招待する	エラー。プロキシアドレスの競合。
メール連絡先オブジェクトが存在する	B2B ゲストを招待する	メール連絡先とメールが有効でない外部ユーザー。上記の重要な注意事項を参照。
メールが有効な外部ゲストユーザー	メール連絡先オブジェクトを作成する	エラー
メールが有効な外部メンバーユーザーが存在する	メール連絡先を作成する	Error

Microsoft では、(従来の GAL 同期ではなく) Microsoft Entra B2B コラボレーションを使用して、以下を作成することを推奨しています。

GAL に表示できる外部ユーザー。
既定で GAL に表示されるが、メールは有効になっていない外部メンバーユーザー。

メール連絡先オブジェクトを使用して GAL にユーザーを表示することもできます。この方法では、メール連絡先はセキュリティプリンシパルではないため、他のアクセス許可を付与せずに GAL を統合します。

この推奨アプローチに従って、次を行います。

ゲストユーザーを招待する。
GAL でゲストユーザーを再表示する。
サインインからブロックしてゲストユーザーを無効にする。

メール連絡先オブジェクトをユーザーオブジェクトに変換することはできません。そのため、メール連絡先オブジェクトに関連付けられているプロパティ (グループメンバーシップやその他のリソースアクセスなど) は転送できません。メール連絡先オブジェクトを使用したユーザーの表示には、次の問題があります。

Office 365 グループ。 Office 365 グループでは、グループのメンバーになり、グループに関連付けられているコンテンツを操作することが許可されるユーザーの種類を管理するポリシーがサポートされています。たとえば、グループでゲストユーザーの参加が許可されない場合があります。これらのポリシーでメール連絡先オブジェクトを管理することはできません。
Microsoft Entra セルフサービスグループ管理 (SSGM)。 メール連絡先オブジェクトには、SSGM 機能を使用するグループのメンバーになる資格はありません。ユーザーオブジェクトではなく連絡先として表される受信者を含むグループを管理するには、追加のツールが必要になる場合があります。
Microsoft Entra ID ガバナンス、アクセスレビュー。 アクセスレビュー機能を使用して、Office 365 グループのメンバーシップを確認し、証明できます。アクセスレビューは、ユーザーオブジェクトに基づいています。メール連絡先オブジェクトで表されるメンバーは、アクセスレビューの対象外です。
Microsoft Entra ID ガバナンス、エンタイトルメント管理 (EM)。 EM を使用して、会社の EM ポータルで外部ユーザーに対してセルフサービスアクセス要求を有効にすると、要求時にユーザーオブジェクトが作成されます。メール連絡先オブジェクトはサポートされていません。

Microsoft Entra 条件付きアクセスの考慮事項

ユーザーのホームテナントでのユーザー、デバイス、またはネットワークの状態は、リソーステナントに伝達されません。そのため、外部ユーザーは、次の制御を使用する条件付きアクセスポリシーを満たさない可能性があります。

許可されている場合は、テナント間アクセス設定 (CTAS) を使用してこの動作をオーバーライドできます。この設定では、ホームテナントからの多要素認証とデバイスのコンプライアンスが適用されます。

多要素認証が必要。 CTAS が構成されていない場合、外部ユーザーは (ホームテナントで多要素認証が満たされた場合でも) リソーステナントの多要素認証を登録するか、これに応答する必要があります。これにより、複数の多要素認証チャレンジが発生します。多要素認証証明をリセットする必要がある場合、テナント間の複数の多要素認証証明登録を認識していない可能性があります。認識がないと、ユーザーはホームテナントとリソーステナントの一方または両方の管理者に連絡することが必要な場合があります。
準拠としてマーク済みであるデバイスが必要。 CTAS が構成されていない場合、デバイス ID はリソーステナントに登録されていないため、外部ユーザーはこの制御を必要とするリソースにアクセスできません。
Microsoft Entra ハイブリッド参加済みデバイスが必要です。 CTAS が構成されていない場合、デバイス ID はリソーステナント (またはリソーステナントに接続されているオンプレミスの Active Directory) に登録されていないため、外部ユーザーはこの制御を必要とするリソースにアクセスできません。
承認済みのクライアントアプリまたはアプリ保護ポリシーが必要。 CTAS が構成されていない場合、デバイスの登録も必要であるため、外部ユーザーはリソーステナントの Intune モバイルアプリケーション管理 (MAM) ポリシーを適用できません。この制御を使用するリソーステナントの条件付きアクセスポリシーでは、ホームテナントの MAM 保護でポリシーを満たすことができません。すべての MAM ベースの条件付きアクセスポリシーから外部ユーザーを除外してください。

さらに、次の条件付きアクセスの条件も使用できますが、予期しない結果が生じる可能性があるので注意してください。

サインインリスクとユーザーリスク。 ホームテナントでのユーザーの動作によって、サインインリスクとユーザーリスクの一部が決まります。ホームテナントには、データとリスクスコアが格納されます。リソーステナントポリシーによって外部ユーザーがブロックされている場合、リソーステナント管理者はアクセスを有効にできない可能性があります。「Identity Protection と B2B ユーザー」では、Identity Protection が Microsoft Entra ユーザーの資格情報の侵害を検出する仕組みについて説明しています。
場所。 リソーステナントのネームドロケーションの定義によって、ポリシーのスコープが決まります。ホームテナントで管理されている信頼できる場所は、ポリシーのスコープで評価されません。組織がテナント間で信頼できる場所を共有する場合は、リソースと条件付きアクセスポリシーを定義する各テナントで場所を定義します。

マルチテナント環境のセキュリティ保護

テナントのセキュリティ保護に関するガイダンスについては、セキュリティチェックリストとベストプラクティスを確認してください。これらのベストプラクティスに従っていることを確認し、密接に連携しているテナントと共にそれを確認します。

条件付きアクセス

アクセス制御の構成に関する考慮事項を次に示します。

アクセス制御ポリシーを定義して、リソースへのアクセスを制御します。
外部ユーザーに留意して、条件付きアクセスポリシーを設計します。
外部ユーザー専用のポリシーを作成します。
外部アカウント用に専用の条件付きアクセスポリシーを作成します。

マルチテナント環境の監視

監査ログ UI、API、または Azure Monitor 統合 (プロアクティブアラートの場合) を使用して、テナント間アクセスポリシーの変更を監視します。監査イベントでは、カテゴリ "CrossTenantAccessSettings" と "CrossTenantIdentitySyncSettings" が使用されます。これらのカテゴリの監査イベントを監視することで、テナント内のテナント間アクセスポリシーの変更を特定し、アクションを実行できます。 Azure Monitor でアラートを作成するときに、次のようなクエリを作成して、テナント間アクセスポリシーの変更を特定できます。

AuditLogs
| where Category contains "CrossTenant"

テナント間アクセスアクティビティダッシュボードを使用して、テナント内のアプリケーションアクセスを監視します。これにより、テナント内のリソースにアクセスしているユーザーと、それらのユーザーのアクセス元を確認できます。

動的グループ

組織の既存の条件付きアクセスポリシーですべてのユーザーの動的グループ条件が使用されている場合、外部ユーザーはすべてのユーザーのスコープ内にあるため、このポリシーは外部ユーザーに影響します。

アプリケーションにユーザーの割り当てを要求する

アプリケーションで [ユーザーの割り当てが必要ですか] プロパティが [いいえ] に設定されている場合、外部ユーザーはアプリケーションにアクセスできます。アプリケーション管理者は、アクセス制御の影響を理解する必要があります (特に、アプリケーションに機密情報が含まれている場合)。「Microsoft Entra アプリを Microsoft Entra テナントの一連のユーザーに制限する」では、Microsoft Entra テナントの正常に認証されたすべてのユーザーが、テナントに登録されているアプリケーションを既定で利用できる仕組みについて説明しています。

Privileged Identity Management

Azure Active Directory Privileged Identity Management を有効にして、永続的な管理者アクセスを最小限に抑えます。

制限付き管理単位

セキュリティグループを使用してテナント間同期の対象となるユーザーを制御する場合は、セキュリティグループを変更できるユーザーを制限する必要があります。テナント間同期ジョブに割り当てられているセキュリティグループの所有者の数を最小限に抑え、そのグループを制限付き管理単位に含めます。これにより、テナント間でグループメンバーを追加または削除し、アカウントをプロビジョニングできるユーザーの数が制限されます。

アクセス制御に関するその他の考慮事項

利用条件

Microsoft Entra の使用条件により、組織でエンドユーザーに情報を提示するために使うことができる簡単な方法が提供されます。使用条件を使って、リソースにアクセスする前に使用条件に同意するよう外部ユーザーに要求できます。

Microsoft Entra ID P1 または P2 機能でのゲストユーザーのライセンスに関する考慮事項

Microsoft Entra 外部 ID の価格は、月間アクティブユーザー (MAU) に基づきます。アクティブユーザーの数は、1 か月間に認証アクティビティを使用した一意のユーザーの数です。「Microsoft Entra 外部 ID の課金モデル」では、1 か月間に認証アクティビティを行った一意のユーザーの数である月間アクティブユーザー (MAU) に基づく価格について説明しています。

Office 365 に関する考慮事項

次の情報は、この記事のシナリオのコンテキストで Office 365 に対処する場合の説明です。詳細については、Microsoft 365 のテナント間コラボレーション 365 テナント間コラボレーションに関する記事を参照してください。この記事では、ファイルと会話の一元的な場所の使用、予定表の共有、IM の使用、オーディオ/ビデオ通話によるコミュニケーション、リソースとアプリケーションへのアクセスの保護などのオプションについて説明しています。

Microsoft Exchange Online

Exchange Online により、外部ユーザー向けの特定の機能が制限されます。外部ゲストユーザーではなく外部メンバーユーザーを作成すると、この制限を減らすことができます。外部ユーザーのサポートには、次の制限があります。

外部ユーザーに Exchange Online ライセンスを割り当てることができます。ただし、Exchange Online のトークンを発行することはできません。したがって、リソースにはアクセスできません。
- 外部ユーザーは、リソーステナント内の共有された、またはデリゲートされた Exchange Online メールボックスを使用できません。
- 共有メールボックスに外部ユーザーを割り当てることはできますが、外部ユーザーは共有メールボックスにアクセスできません。
外部ユーザーを GAL に含めるには、再表示する必要があります。既定では、非表示になっています。
- 非表示の外部ユーザーは、招待時に作成されます。作成は、ユーザーが招待を引き換えたかどうかとは無関係です。そのため、すべての外部ユーザーが再表示された場合、一覧には招待を引き換えていない外部ユーザーのユーザーオブジェクトが含まれます。シナリオによっては、オブジェクトを一覧に含める必要がある場合と、ない場合があります。
- 外部ユーザーは、Exchange Online PowerShell を使って再表示できます。 Set-MailUser PowerShell コマンドレットを実行して、HiddenFromAddressListsEnabled プロパティの値を $false に設定できます。

次に例を示します。

Set-MailUser [ExternalUserUPN] -HiddenFromAddressListsEnabled:\$false\

ここで、ExternalUserUPN は計算された UserPrincipalName です。

次に例を示します。

Set-MailUser externaluser1_contoso.com#EXT#@fabricam.onmicrosoft.com\ -HiddenFromAddressListsEnabled:\$false

外部ユーザーは、Microsoft 365 管理センターで、非表示ではなくなる可能性があります。

Exchange 固有のプロパティ (PrimarySmtpAddress、ExternalEmailAddress、EmailAddresses、MailTip など) の更新は、Exchange Online PowerShell でのみ設定できます。 Exchange Online 管理センターのグラフィカルユーザーインターフェイス (GUI) を使って属性を変更することはできません。

上に示すように、メール固有のプロパティには Set-MailUser PowerShell コマンドレットを使用できます。 Set-User PowerShell コマンドレットで変更できるユーザープロパティもあります。ほとんどのプロパティは、Azure AD Graph API で変更できます。

Set-MailUser の最も便利な機能の 1 つは、EmailAddresses プロパティを操作できることです。この複数値属性には、外部ユーザーの複数のプロキシアドレス (SMTP、X500、セッション開始プロトコル (SIP) など) が含まれる場合があります。外部ユーザーには既定で、UserPrincipalName (UPN) に関連付けられたプライマリ SMTP アドレスがスタンプされます。プライマリ SMTP の変更または SMTP アドレスの追加を行う場合は、このプロパティを設定できます。 Exchange 管理センターは使用できません。Exchange Online PowerShell を使用する必要があります。「Exchange Online 内のメールボックスのメールアドレスを追加または削除する」では、EmailAddresses などの複数値プロパティを変更するさまざまな方法について説明しています。

Microsoft 365 の Microsoft SharePoint

Microsoft 365 の SharePoint Online には、Microsoft Entra テナントでユーザー (内部または外部) の種類がメンバーになっているかゲストになっているかに応じて、独自のサービス固有のアクセス許可があります。 Office 365 の外部共有と Microsoft Entra B2B コラボレーションに関する記事では、認証と管理に Azure B2B を使用しているときに、SharePoint と OneDrive との統合を有効にして組織の外部の人とファイル、フォルダー、リストアイテム、ドキュメントライブラリ、サイトを共有する方法について説明しています。

Microsoft 365 の SharePoint Online で外部共有を有効にすると、Microsoft 365 の SharePoint Online のユーザーピッカーウィンドウでゲストユーザーを検索する機能は既定でオフになります。この設定のため、Exchange Online の GAL から非表示にされているゲストユーザーを検出することはできません。ゲストユーザーを表示するには 2 つの方法があります (相互に排他的ではありません)。

ゲストユーザーを検索する機能を有効にする方法は次のとおりです。
- テナントとサイトコレクションレベルで ShowPeoplePickerSuggestionsForGuestUsers 設定を変更します。
- Set-SPOTenant および Set-SPOSite の Microsoft 365 の SharePoint PowerShell コマンドレットを使用して機能を設定します。
Exchange Online の GAL に表示されるゲストユーザーは、Microsoft 365 の SharePoint のユーザーピッカーにも表示されます。アカウントは、ShowPeoplePickerSuggestionsForGuestUsers の設定に関係なく表示されます。

Microsoft Teams

Microsoft Teams には、ユーザーの種類に基づいてアクセスを制限する機能があります。ユーザーの種類を変更すると、コンテンツへのアクセスと使用できる機能に影響する可能性があります。 Microsoft Teams では、ホームテナントの外部で Teams を使用するときに、ユーザーはテナント切り替えメカニズムを使って Teams クライアントのコンテキストを手動で切り替える必要があります。

Microsoft Teams のテナント切り替えメカニズムでは、ホームテナントの外部で Teams を使用するときに、ユーザーが Teams クライアントのコンテキストを手動で切り替えることが必要になる場合があります。

Teams フェデレーションを使用すると、別のまったく外部のドメインの Teams ユーザーが、内部のユーザーとの検索、通話、チャット、会議の設定をできるようにすることが可能です。「Microsoft ID を使用して外部会議を管理し、人や組織とチャットする」では、組織内のユーザーが、ID プロバイダーとして Microsoft を使用している組織外のユーザーとチャットや会議を行えるようにする方法について説明しています。

Teams でのゲストユーザーのライセンスに関する考慮事項

Office 365 ワークロードで Azure B2B を使用する場合、ゲストユーザー (内部または外部) のエクスペリエンスがメンバーユーザーの場合と異なる例も重要な考慮事項に含まれます。

Microsoft グループ。「Office 365 グループへのゲストの追加」では、Microsoft 365 グループのゲストアクセスを使用して、グループの会話、ファイル、予定表の招待状、グループのノートブックへのアクセス権を組織外の人に付与し、自分やチームが外部の人と共同作業できるようにする方法について説明しています。
Microsoft Teams。「Teams のチーム所有者、メンバー、およびゲスト機能」では、Microsoft Teams でのゲストアカウントのエクスペリエンスについて説明しています。外部メンバーユーザーを使用することで、Teams の完全に忠実なエクスペリエンスを有効にできます。
- 商用クラウド内の複数のテナントの場合、ホームテナントでのライセンスを持つユーザーは、同じ法人内の別のテナントのリソースにアクセスできます。アクセス権は外部メンバーの設定を使用して付与できます。追加のライセンス料金はかかりません。この設定は、SharePoint、OneDrive for Business、Teams、グループに適用されます。
- 他の Microsoft クラウド内の複数のテナントおよび異なるクラウド内の複数のテナントの場合、B2B メンバーライセンスチェックはまだ使用できません。 Teams での B2B メンバーの使用には、B2B メンバーごとに追加のライセンスが必要です。これは、Power BI などの他のワークロードにも影響する可能性があります。
- 同じ法人に属していないテナントに対する B2B メンバーの使用には、追加のライセンス要件が適用されます。
Identity Governance 機能。 エンタイトルメント管理とアクセスレビューでは、外部ユーザーに他のライセンスが必要になる場合があります。
その他の製品。 Dynamics 顧客関係管理 (CRM) などの製品では、ユーザーが存在するテナントごとにライセンスが必要になる場合があります。

次のステップ

「マルチテナントユーザー管理の概要」は、Microsoft Entra マルチテナント環境でユーザーライフサイクル管理の構成と提供を行うためのガイダンスを提供するこのシリーズ記事の第 1 回目です。
「マルチテナントユーザー管理のシナリオ」では、マルチテナントユーザー管理機能を使用できる 3 つのシナリオ (エンドユーザーによる実施、スクリプト化、自動化) について説明します。
マルチテナントユーザー管理の一般的なソリューション (シングルテナントでは要件を満たせない場合): テナント間での自動ユーザーライフサイクル管理とリソース割り当て、テナント間でのオンプレミスアプリ共有、といった課題のガイダンスを説明します。
米国防衛産業基盤向け Microsoft コラボレーションフレームワークでは、マルチテナント組織 (MTO) に対応するための ID の候補参照アーキテクチャ、特に Microsoft 365 US Government (GCC High) と Azure Government を使用して米国ソブリンクラウドにデプロイされている ID の参照アーキテクチャについて説明しています。また、商用クラウドまたは米国ソブリンクラウドに所属する組織を含む、厳しく規制された環境での外部コラボレーションにも対処します。

マルチテナント ユーザー管理に関する一般的な考慮事項