Azure ADを活用する

Azure Active Directory（Azure AD）は、Microsoft が提供しているクラウドサービスのための認証基盤です。オンプレミスの企業内ネットワークで Active Directory Domain Service（AD DS）が認証基盤として利用されているように、Azure AD は Microsoft のクラウドサービス（Microsoft 365 や Dynamics 365、Power Platform、Microsoft Azure など）の認証基盤として利用されています。
オンプレミスの AD DS と Azure AD の比較については、以下の韋駄天担当者コラムの記事を参照してください。

Microsoft 365 も認証基盤として Azure AD を使用していますので、Microsoft 365 を利用するユーザーは Azure AD で管理されているユーザーです。日常的な Microsoft 365 の利用では Azure AD の動作や機能を意識することは少ないですが、その動作と機能を理解することで Microsoft 365 をより安全で便利に活用することができます。

Azure AD の基本的な利用は無償です。ただし Azure AD の高度な機能の利用には Azure AD Premium ライセンス（P1 または P2）が必要です。

Azure AD Premium を含むライセンスの購入・アップグレードについては当社担当営業までご相談ください。

オンプレミスの Active Directory でもグループを作成してユーザーをグループに振り分け、管理を行うことができますが、Azure AD でも同様にグループを作成してユーザーを管理できます。
Azure AD で利用できるグループには以下のような種類があります。

Teams で新しいチームを作成したり、SharePoint Online で新しいチームサイトを作成したりすると、自動的に新しい Microsoft 365 グループが作成されます。また Outlook で新しいグループを作成する場合もMicrosoft 365 グループが作成されます。
Microsoft 365 グループはアクセス権の設定にも利用できます。
なお、Microsoft 365 グループはどのサービスで作成したかによって、他のサービスからの見え方・扱い方が異なります。

※1 グループ作成時にTeamsのチームを作成するかどうか選択できます。

さらに Microsoft 365 グループには、組織のメンバーであれば自由に参加できる「パブリック」と、グループの管理者の承認が無ければ参加できない「プライベート」があります。これは SharePoint Online の「パブリックサイト」「プライベートサイト」、Teams の「パブリックチーム」「プライベートチーム」に対応しています。

Microsoft 365 のセキュリティグループはオンプレミスのセキュリティグループと同等の機能を持っています。Exchange Online が利用できるテナントでは、メールが有効なセキュリティグループを作成して、セキュリティグループと配布グループの機能を兼ねたグループにできます。

Exchange Online が利用できるテナントでは配布グループを作成できます。
配布グループはアクセス権の設定を割り当てる際のグループとしては利用できません。アクセス権の割り当てを兼ねる場合は「メールが有効なセキュリティグループ」を利用します。

Azure AD でもオンプレミス AD DS と同様に、ユーザーはさまざまなディレクトリ属性を持っています。例えば役職や勤務場所、電話番号などの属性を持つことができます。
動的グループはこのユーザー属性（プロパティ）を元にグループメンバーシップを決定する仕組みです。例えば『役職属性が「課長」または「部長」』という条件を満たすユーザーを「管理職」というグループ（Microsoft 365 グループまたはセキュリティグループ）に自動的に所属させることができます。
動的グループの利用により、情報をディレクトリ属性に反映させると自動的に Azure AD の所属グループも変更されるので、Microsoft 365 でのグループ管理の運用負荷を軽減することができます。
動的グループの利用は、Azure AD Premium ライセンスが必要です。

Microsoft 365 のさまざまな管理権限はロール（役割）としてユーザーに割り当てます。グループをあらかじめ「ロール割り当て可能なグループ」として作成しておくと、この割り当て先にグループを利用することが可能です。管理権限をグループ単位で管理できるようになり、運用負荷が軽減できます。
ロール割り当て可能なグループの利用は、Azure AD Premium ライセンスが必要です。

セキュリティグループは、別のセキュリティグループをメンバーとして追加できます。これは「入れ子のグループ」と呼ばれます。追加されたグループ（子グループ）は、親（追加先）グループのアクセス権設定が適用されます。
Microsoft 365 グループでは入れ子のグループは親としても子としてもサポートされていません。

Azure AD はサードパーティのクラウドサービスの認証方法としても利用できます。また自社開発の Web アプリケーションや Web サービスの認証方法としても利用可能です。Azure AD（Microsoft 365）のユーザー認証だけでサードパーティのクラウドサービスや自社の Web アプリにサインインできる、シングルサインオンが実現できます。
また Azure AD に登録されているユーザーを連携したサードパーティのサービスへ自動的に登録すること（自動ユーザープロビジョニング）も可能です。

サードパーティのクラウドサービスや自社の Web アプリを Azure AD と連携させると、以下のようなメリットがあります。

Azure AD と連携可能なサードパーティ製品の一覧は、以下の Azure Marketplace で確認できます。

また製品ごとの連携方法のチュートリアルは以下から参照できます。

オンプレミスの AD DS でコンピューターをドメイン参加させるのと同じように、オンプレミスのコンピューターを Azure AD に連携させることで、そのコンピューターから Azure AD で管理されているクラウド上のサービスやリソースへスムーズにアクセスできるようになります。オンプレミスのコンピューターを Azure AD に連携させる方法としては、以下の２つがあります。

Azure AD 登録・Azure AD 参加について詳しくは、以下の記事を参照してください。

オンプレミスのコンピューターで、サインインしているユーザーのアカウントに対して Azure AD の情報を構成し、Azure AD にデバイス（コンピューター）を登録する方法です。

コンピューターへのサインインは登録前と同じアカウント（ローカルアカウント、Microsoft アカウント、ドメインアカウント）を利用します。
Azure AD 登録を行ったアカウントには Azure AD ユーザーの資格情報となるクライアント証明書が発行・登録され、その証明書を利用して Azure AD へのサインインが行えます。
※多要素認証が構成されている場合は、追加の要素による認証（認証アプリでの認証やコードの入力）を求められる場合があります。

Azure AD 登録は Windows デバイスの他、Android、iOS、macOS のデバイスでも行うことができます。これは Azure AD 登録が組織で管理していないデバイス（BYOD）での利用も想定しているためです。組織の管理者が Intune などの MDM と連携させると、Azure AD 登録されたユーザーのデバイスに対して組織の要求するセキュリティ要件に満たすような構成を強制できます。さらに Microsoft Intune などの MDM 側の機能により、条件付きアクセスでのアクセス制御も可能になります。

コンピューターを Azure AD に参加させる「Azure AD 参加」も行えます。Azure AD 参加したコンピューターは Azure AD ドメインのユーザーアカウント（＝Microsoft 365 のアカウント）でサインインして利用します。
※コンピューターごとのローカルアカウントでのサインインも可能です
Azure AD に参加したコンピューターに Azure AD アカウントでサインインすることで、サインインしたユーザーはクラウド上の Azure AD にサインインした状態になります。そのため Azure AD での認証が必要なサービス（Microsoft 365 など）へのサインイン時に、資格情報の提示（ユーザ名・パスワードの入力）が求められなくなります。
※多要素認証が構成されている場合は、追加の要素による認証（認証アプリでの認証やコードの入力）を求められる場合があります。

Azure AD に参加したコンピューターは Azure AD 登録の場合と同様に、組織の管理者が Azure AD を MDM と連携させると、組織の要求するセキュリティ要件に満たすような構成をユーザーのデバイスに強制させることができます。さらに Microsoft Intune などの MDM 側の機能により、条件付きアクセスでのアクセス制御も可能になります。

Azure AD 参加が行えるのは、オンプレミスのドメインに参加していない Windows 10 または Windows 11 を実行しているコンピューターのみです。
オンプレミスの Windows Server ライセンスを用意しなくてもデバイス管理・ユーザー管理が一元的に行え、Intune と連携させればオンプレミスのドメイン環境と同様のグループポリシー適用も可能なため、オンプレミスの AD DS を利用していない組織、これからクラウド指向でデバイス管理・ユーザー管理を行いたい新しい組織には Azure AD 参加の利用がお勧めです。

個々のコンピューターでは [設定] - [アカウント] - [職場または学校にアクセスする] に Azure AD 登録・Azure AD 参加の状態が表示されます。

● Azure AD 登録の場合

● Azure AD 参加の場合

また管理者は Microsoft Entra 管理センターの [Azure Active Directory] - [デバイス] - [すべてのデバイス] で組織の Azure AD に登録・参加しているデバイスを確認できます。

※下のスクリーンショットでは Android デバイスも Azure AD 登録されていることに注目してください

既にオンプレミスで Active Directory ドメインが展開済みの組織を Azure AD と連携させることもできます。

Azure AD Connect はオンプレミスの AD DS とクラウドの Azure AD を連携させるための機能です。Azure AD Connect は以下の機能を持っています。

またパススルー認証やフェデレーション統合を構成することで、オンプレミスのサービスやアプリケーションと Microsoft 365 などのクラウドのアプリケーションへのシングルサインオンを行うことも可能です。

Azure AD Connect を構成してオンプレミスの AD DS と Azure AD を同期させると、両方のユーザーやグループの管理を AD DS 側で一元的に行えます。またパスワードハッシュ同期を構成している場合、ユーザーのセルフサービスでドメインパスワードのリセットができます。

Azure AD Connect を構成した場合、オンプレミスの AD DS の ID インフラストラクチャの信頼性がクラウド（Azure AD）にも影響を与えます。そのためオンプレミスの信頼性を監視し、問題に素早く対処することが必要となります。そのような監視を行い、オンプレミス環境の信頼性向上に役立つのが Azure AD Connect Health です。
Azure AD Connect Health の利用には Azure AD Premium ライセンスが必要です。

Azure AD Connect と Azure AD Connect Health について詳しくは、以下を参照してください。

Azure AD Connect でオンプレミスの AD DS と Azure AD を同期させると、コンピューターを AD DS（オンプレミスのドメイン）と Azure AD の両方へ同時に参加させる Hybrid Azure AD Join が利用できます。