entra-id-governance

Microsoft Entra ID Governance

Entra ID Governance により、適切な ID が、適切なタイミングで、適切なリソースに適切なアクセス権を持つことが保証されます。従業員、パートナー、ゲストの ID ライフサイクル（JML）とアクセスガバナンスを自動化します。Entra ID Governance SKU（P2 + Governance アドオン、または M365 E5 + Governance）が必要です。

使用する場面

アクセス要求／承認、定期的なアクセス認定、入社・異動・退職時のプロビジョニングを自動化する場合に使用します。アクセスパッケージとグループへの直接割り当てのどちらを選ぶか、安全にアクセスレビューを構成する方法、ライフサイクルワークフローの実行方法を判断するには、このスキルを使用してください。

このスキルは、リスク検出（entra-id-protection）、条件付きアクセス（conditional-access-mfa）、PIM のアクティブ化（azure-pim）には使用しないでください。

適切なガバナンスの仕組みを選ぶ

目的が…	使用するもの	備考
承認付きのセルフサービスアクセス要求	エンタイトルメント管理 - アクセスパッケージ	ゲストを含む。スポンサーまたはマネージャーによる承認
プロジェクト向けの期間限定アクセス	有効期限付きアクセスパッケージ	自動的に取り消される。グループより安全
既存の特権グループを管理する	グループ向け PIM（別のスキル）	Just-in-time。ライフサイクル管理ではない
機密性の高いグループのメンバーシップを再認定する	グループに対するアクセスレビュー	マネージャーまたは本人による申告
アプリへのアクセスを再認定する	アプリの割り当てに対するアクセスレビュー	古い SaaS アクセスを検出
新入社員を自動的にプロビジョニングする	ライフサイクルワークフロー - 入社	入社前の準備、歓迎メール
退職者のアクセスを自動的に取り消す	ライフサイクルワークフロー - 退職	無効化、グループからの削除、ライセンスの解除
新しい部署への異動に合わせてアクセスを自動調整する	ライフサイクルワークフロー - 異動 + 動的グループ	属性に基づく
問題のあるロールの組み合わせ（例：AP + AR）を検出する	アクセスパッケージの職務分掌	互換性のないパッケージを確実にブロック

**経験則：**アクセスを人が要求する場合は、アクセスパッケージを使用します。HR 属性に基づいてシステムがアクセスを付与する場合は、ライフサイクルワークフロー + 動的グループを使用します。グループへの直接割り当ては従来の既定の方法であり、2026 年にはほとんどの場合、適切ではありません。

進め方

1. カタログを定義する — アクセスパッケージはカタログに属します。カタログは業務オーナー（HR、Finance、Engineering プラットフォームチーム）に対応付けられます。カタログオーナーが責任を負い、IT は支援します。 確認：各カタログに、IT 部門以外のオーナーが明記されています。

2. ポリシーを使ってアクセスパッケージを構築する — 各パッケージには、リソース（グループ、アプリ、SharePoint サイト）、要求可能なユーザー（内部ユーザー、特定の接続済み組織、すべての外部ユーザー）、および割り当てポリシー（承認、有効期限、属性要件）が含まれます。 確認：すべてのパッケージに有効期限が設定されており、無期限のアクセスはありません。

3. アクセスレビューを安全に構成する — レビュー担当者（マネージャー > 本人 > 特定のユーザー）、繰り返しの頻度（Tier 0 は四半期ごと、Tier 1 は半年ごと、Tier 2 は年ごと）を設定します。重要：「応答なし」の場合のアクションは慎重に選択してください。応答がない場合に自動削除する設定は、低リスクのリソースではより安全ですが、レビュー担当者が休暇中の場合は危険です。 確認：レビュー担当者へのエスカレーションが有効になっており、各レビューでの「応答なし」の既定の動作が文書化されています。

4. JML 用のライフサイクルワークフロー — 3 つの基本フローを構築します：入社前（T-7 日）、入社（開始日）、退職（最終日）。HR 属性（employeeType、employeeHireDate、accountEnabled）をトリガーとして使用します。 確認：退職フローは、HR 属性の変更から 1 時間以内にアカウントを無効化し、すべてのグループから削除し、セッションを取り消します。

5. アクセスパッケージの職務分掌 — 互換性のないパッケージ（例：「Accounts Payable」+「Vendor Master Data Editor」）を指定します。システムは 2 つ目の要求を監査ログに記録してブロックします。

6. ゲストのガバナンス — すべての B2B ゲストを、有効期限付きのアクセスパッケージ経由にします。最近のアクティビティがないゲストを四半期ごとにレビューします（signInActivity フィルターを使用）。非アクティブなゲストを自動的に削除します。 確認：月次レポートで、アクセスパッケージ外で作成されたゲストの数が 0 です。

ガードレール

• 退職者のアクセス削除／プロビジョニング解除の自動化を優先してください。孤立したアクセスは、侵害のよくある根本原因です。 人事情報の変更から1時間以内に退職者ワークフローを実行してください。これは必須であり、交渉の余地はありません。
• レビュー担当者とフォールバックアクションは慎重に設定し、「応答なし」で自動承認されないようにしてください。 デフォルトは「応答なし＝削除」とし、レビュー担当者へのエスカレーションを設定してください。
• ゲストには必ずアクセスパッケージを使用してください。 パッケージを介さない B2B 招待は、有効期限とレビューを回避します。
• 職務分掌が機能するのは、両方のパッケージがガバナンスの対象になっている場合だけです。 一方のロール割り当てがパッケージ経由ではなく直接行われていると、職務分掌では検出されません。
• ライフサイクルワークフローは属性によってトリガーされます。 人事システムから信頼できる属性データが送られないと、ワークフローは実行されません。自動化に依存する前に、人事システムとの同期を検証してください。
• PIM の対象となるロールをアクセスパッケージに含めないでください。 PIM for Groups を使用すると、アクティブ化を割り当てとは別にできます。

よくあるアンチパターン

• 「Active Directory グループ経由でプロビジョニングし、チケット経由でプロビジョニングを解除する」 - 非対称な運用となり、アクセスが残ります。両方を自動化する必要があります。
• 「アクセスレビューは年に1回」 - 12か月間、実態とのずれが蓄積します。機密性の高いリソースは四半期ごとに実施してください。
• 「レビュー担当者＝リソース所有者」 - 所有者は承認に偏りがちです。ユーザーのマネージャーのほうが適しています。自己レビューはリスクの低い場合に限ってください。
• 「すべてのユーザーからゲストを招待できる」 - 未追跡のゲストが増え続けます。招待をアクセスパッケージのリクエストと少数の招待担当チームに限定してください。
• 「ライフサイクルワークフローを入社初日に実行する」 - 入社者が初日を迎える前にアクセスを準備しておく必要があります。入社7日前（T-7日）に事前採用フローを実行してください。
• 「直接グループ割り当てのほうが、パッケージを作るより速い」 - 最初の一度は速くても、その後はずっと遅くなります（レビューなし、有効期限なし、監査なし）。

プロンプトの例

• スポンサーの承認と90日間の有効期限を設定した、ゲスト契約社員向けのアクセスパッケージを作成してください。
• 人事属性を使って、事前採用、入社、退職のライフサイクルワークフローを設定してください。
• 特権グループに対する四半期ごとのアクセスレビューを、マネージャーによるレビュー付きで設定してください。
• "Accounts Payable" と "Vendor Master" のアクセスパッケージ間で、職務分掌を徹底してください。
• 90日間サインインしていない非アクティブなゲストを監査し、削除してください。
• セルフサービス用の直接グループ割り当てを、アクセスパッケージに移行してください。

Microsoft Learn

• ID ガバナンスの概要：https://learn.microsoft.com/entra/id-governance/identity-governance-overview
• エンタイトルメント管理：https://learn.microsoft.com/entra/id-governance/entitlement-management-overview
• アクセスレビュー：https://learn.microsoft.com/entra/id-governance/access-reviews-overview
• ライフサイクルワークフロー：https://learn.microsoft.com/entra/id-governance/what-are-lifecycle-workflows
• 職務分掌：https://learn.microsoft.com/entra/id-governance/entitlement-management-access-package-incompatible
• ゲストアクセスのガバナンス：https://learn.microsoft.com/entra/id-governance/entitlement-management-external-users
• PIM を使用したアクセスレビュー：https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-create-roles-and-resource-roles-review