Microsoft 365・Azureの特権ID管理｜PIMで管理者権限を必要なときだけ有効にする
全体管理者などの管理者権限を、常に付けたままにしておくのは危険です。
Microsoft Entra Privileged Identity Management（PIM）は、管理者の権限を常に持たせず、必要なときだけ時間を区切って有効にする仕組みです。ただし、全員を一律に切り替えたり、有効化の条件を多要素認証だけにしたりすると、テナントを管理できなくなる恐れや、管理者権限の入口が一般の利用者と同じ強さに留まる状態が残ります。
全体管理者を減らす、管理者に多要素認証を求める、といった基本は押さえている組織が多いと思います。それでも PIM を入れるときには、Microsoft の公開情報を読まないと気づきにくい点が残ります。
- 有効化時の多要素認証は、同じセッションで先に済ませていれば、もう一度は求められない
- 有効化の条件が効くのは有効化するその時だけで、有効化した後は、条件を満たさない別の端末からでもロールを使える
- 全体管理者を全員「資格のある割り当て」にして承認を必須にすると、条件しだいでテナントを管理できなくなる
この記事では、PIM で変わること、緊急用アカウントの持ち方、有効化の条件の設計、管理できる範囲、運用で見張るものを、Microsoft Learn の公開情報をもとに解説します。
株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。
PIMで変わること｜管理者権限を常に持たせない
PIM を使うと、管理者のロールの割り当てを2種類に分けられます。持っている権限そのものは同じで、違うのは「使う前に手続きが要るかどうか」です。
| 割り当ての種類 | 使い方 | 向いている相手 |
|---|---|---|
| 資格のある割り当て（Eligible） | 使う前に本人が有効化する。有効にできるのは決められた時間だけで、時間が来ると自動で外れる | ふだんは管理作業をしない管理者 |
| アクティブな割り当て（Active） | 手続きなしで、いつでもロールを使える | 緊急用アカウントなど、限られた相手だけ |
どちらの割り当ても、期限を付けるか、永続にするかを選べます。たとえば外部の委託先には、資格のある割り当てに契約期間の終了日を付けておくと、期限が来れば有効化そのものができなくなります。
有効化のときに求められること
資格のある割り当てを持つ人は、使う前に PIM で有効化を申請します。ロールごとの設定で、申請のときに次のことを求められます。
- 有効にする時間：管理者が1〜24時間の範囲で上限を決め、本人はその中で選ぶ
- 理由とチケット番号：何のために有効にするかを記録に残す（チケット番号は入力欄のみで、外部のシステムとは照合しない）
- 承認：指定した承認者が許可するまで使えない。承認者は2人以上を指定するよう推奨されている
- 本人確認：多要素認証、または条件付きアクセスの認証コンテキスト（後の章で説明）
必要なライセンスと数え方
PIM には、Microsoft Entra ID P2 か Microsoft Entra ID Governance が必要です。P2 は Microsoft 365 E5 に含まれますが、Microsoft 365 E3 と Business Premium に含まれるのは P1 までなので、PIM を使うには追加の契約が要ります。
ライセンスは全社員の分ではなく、PIM に関わる人の分を用意します。Microsoft Learn が挙げている対象は次のとおりです。
- Entra ロール・Azure のロールに、資格のある割り当てか期限付きの割り当てを持つ人
- PIM for Groups で、グループのメンバー・所有者として資格のある割り当てか期限付きの割り当てを持つ人
- 有効化の申請を承認・却下できる人
- アクセスレビューの対象になる人と、レビューをする人
ライセンスが切れると、資格のある割り当ては削除され、期限付きのアクティブな割り当ては期限のない割り当てに変わります。PIM をやめたつもりがなくても常時の管理者に戻ってしまうので、更新の管理にも注意が要ります。
全員を「資格のある割り当て」にしてよいのか
PIM を入れると、全体管理者も含めて全員を資格のある割り当てにしたくなります。Microsoft も、全体管理者は5人未満に抑え、管理者には PIM で必要なときだけ権限を渡すよう勧めています。ただし、例外として残すべきアカウントがあります。
Microsoft Learn は、次の3つが重なるとテナントを管理できなくなると警告しています。
- 全体管理者と特権ロール管理者が全員、資格のある割り当てで、アクティブな人がいない
- 有効化に承認が必要になっている
- 承認者を指定していない（または、指定した承認者がいなくなった）
承認者を指定しないと、アクティブな特権ロール管理者と全体管理者が既定の承認者になります。全員が資格のある割り当てだと、承認できる人がいなくなり、誰も有効化できません。
緊急用アカウントの持ち方
このような事態に備えるのが、緊急用アカウント（break glass アカウント）です。Microsoft Learn の推奨は次のとおりです。
- 2つ以上作り、特定の個人に結び付けない
- オンプレミスから同期しない、onmicrosoft.com のクラウド専用アカウントにする
- 認証は FIDO2 のセキュリティキーか証明書ベースの認証にし、ふだんの管理者アカウントとは別の方式にする
- PIM では、全体管理者を資格のある割り当てではなく、永続のアクティブな割り当てにする
- サインインを止めたり制限したりする条件付きアクセスから除外し、代わりにサインインを監視して通知する
- 少なくとも90日ごとに、実際にサインインして管理作業ができるかを確かめる
つまり、緊急用アカウントは「PIM の外に置く」のが正解です。常時の全体管理者を緊急用の2つだけに絞り、ほかの管理者を資格のある割り当てにすると、全体管理者の人数と締め出しの心配を同時に片づけられます。
有効化の条件を設計する｜多要素認証の要求だけでは足りない
ロールの設定にある「有効化時に多要素認証が必要」は、最初に思い浮かぶ守りです。ところが Microsoft Learn は、強い資格情報で認証済みの場合や、同じセッションで先に多要素認証をした場合には、有効化のときに求められないことがあると書いています。
朝のサインインを SMS の多要素認証で済ませた管理者は、そのまま全体管理者を有効化できます。サインインの強さが、そのまま管理者権限の入口の強さになるということです。
認証コンテキストで、有効化に強い認証を求める
有効化のときに確実に強い認証を求めるには、ロールの設定で「有効化時に Microsoft Entra 条件付きアクセスの認証コンテキストを要求」を使います。認証コンテキストを対象にした条件付きアクセスのポリシーを作り、認証強度で「フィッシング耐性のある MFA」を指定します。
順番にも注意が要ります。ポリシーを作って有効にしてから、PIM の設定に認証コンテキストを指定します。ポリシーがまったく無い場合は多要素認証が代わりに求められますが、ポリシーがオフ、レポート専用、または本人が除外されている場合、この代わりの守りは働きません。
有効化した後の使い方も縛る
認証コンテキストの条件が効くのは、有効化するその時だけです。たとえば準拠した端末で有効化した後、準拠していない別の端末から同じアカウントでサインインしても、有効化済みのロールを使えてしまいます。Microsoft Learn は、これを防ぐために2つのポリシーを作るよう案内しています。
| ポリシー | 対象 | 役割 |
|---|---|---|
| 1本目 | 認証コンテキスト（全員、または資格のある割り当てを持つ人） | 有効化するときの条件を決める。ここでフィッシング耐性のある MFA や準拠した端末を求める |
| 2本目 | ディレクトリ ロール | 有効化した後、そのロールを持った状態でサインインするときの条件を決める |
1本目のポリシーの対象に、ディレクトリ ロールを同時に入れてはいけません。有効化する時点では、本人はまだロールを持っていないため、そのポリシーは当たらなくなります。
なお、条件付きアクセスのポリシーを変更できる人は、有効化の条件を外したり、管理者の有効化を止めたりできます。条件付きアクセス管理者やセキュリティ管理者も、高い権限を持つ役割として PIM の対象にします。
（2026年10月更新）
補足：2026年4月、PIM の有効化のたびに再認証を求める設定が一般提供になりました。認証コンテキストを対象にしたポリシーで、サインイン頻度を「毎回」にします。また、Microsoft が提供する SMS・音声による認証は廃止が決まり、全体管理者は2027年7月1日が期限です。詳しくはMicrosoft 365の多要素認証を見直すで解説しています。
PIMで管理できる範囲
PIM が扱うのは Entra のロールだけではありません。管理の対象は次の3つで、それぞれに同じような有効化の設定ができます。
| 対象 | 例 | 割り当てを管理できる人 |
|---|---|---|
| Microsoft Entra ロール | 全体管理者、Exchange 管理者、SharePoint 管理者、Intune 管理者 | 特権ロール管理者、全体管理者 |
| Azure リソースのロール | サブスクリプションやリソース グループの所有者、共同作成者 | サブスクリプションの管理者、リソースの所有者、ユーザー アクセス管理者 |
| PIM for Groups | グループのメンバー・所有者になる権利 | グループの所有者、特権ロール管理者 など |
Microsoft 365 だけでなく Azure も使っている組織では、サブスクリプションの所有者が常時の割り当てのまま残っていることがよくあります。Entra ロールと同じく、資格のある割り当てへ移す対象に入れます。
PIM for Groups の使いどころ
1人が5つも6つものロールを持っていると、有効化をロールの数だけ繰り返すことになります。PIM for Groups では、複数のロールを割り当てたグループのメンバーになる権利を資格のある割り当てにして、1回の有効化でまとめて使えるようにできます。
ロールを持たせるグループは「ロール割り当て可能」として作り、メンバーの有効化には承認を求めるよう推奨されています。ただし、SharePoint・Exchange・Microsoft Purview ポータルの権限を持つロールは、グループ経由だと有効化後に権限がそろうまで時間がかかることがあるため、ロールに直接割り当てます。
運用で見張るもの
PIM は入れて終わりではありません。PIM の外で権限が増えていないか、使われない権限が残っていないかを見張る仕組みが、あわせて用意されています。
- 通知：特権ロールが有効化されたときや、割り当てが変わったときにメールが届く。宛先はロールごとに変えられる
- アラート：危険な状態を PIM の画面に表示する（主なものは下の表）
- アクセスレビュー：割り当てを持つ人に、まだその権限が必要かを定期的に確かめる
- 監査履歴：割り当て、有効化、承認の記録をダウンロードして、社内外の監査に使う
| アラート | 重要度 | 見るべき点 |
|---|---|---|
| PIM の外でロールが割り当てられている | 高 | PIM を通さない割り当ては監視されにくく、攻撃の兆候のことがある。どこから割り当てられたかを調べる |
| 特権ロールに古いアカウントがある | 中 | しばらくサインインしていない特権アカウント。共有アカウントやサービス用アカウントが残っていないかを見る |
| 全体管理者が多すぎる | 低 | 人数と割合の両方で判定する。より狭いロールに置き換える |
| 管理者が特権ロールを使っていない | 低 | 一定の日数、有効化されていない割り当て。不要なら外す |
| 有効化に多要素認証が不要なロールがある | 低 | 有効化の条件が抜けているロールを見つける |
PIM を導入する手順
- 全体管理者を含む特権ロールと、Azure のサブスクリプションの所有者を洗い出し、常時の割り当てを一覧にする
- 緊急用アカウントを2つ用意し、FIDO2 のセキュリティキーを登録して、永続のアクティブな割り当てにする
- 全体管理者に頼っていた作業を、より狭いロールに分け、全体管理者を5人未満にする
- 認証コンテキストとそれを対象にした条件付きアクセスを先に作り、レポート専用で影響を確かめてから有効にする
- ロールごとに、有効化の上限時間・理由・承認者・認証コンテキスト・通知先を設定する
- 常時の割り当てを、資格のある割り当てに切り替える
- アラートの設定を見直し、アクセスレビューを定期的に回す
弊社の支援
弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。PIM で時間がかかるのは、設定の操作よりも、誰がどの作業にどのロールを使っているかを洗い出し、全体管理者に頼っていた作業を細かいロールに分けていく作業です。
特権ロールの棚卸しから、緊急用アカウントの用意、条件付きアクセスと認証コンテキストの設計、ロールの設定、アラートとアクセスレビューの運用までをご一緒に進めます。ID 以外も含めたセキュリティ対策の全体像は、ゼロトラストとはで解説しています。
資料のご案内
Microsoft 365 セキュリティ対策ガイド【ID・アクセス編】
管理者アカウントの持ち方と緊急用アカウント、条件付きアクセスの土台をまとめています。
よくあるご質問
こちらをクリックして「よくある質問」を表示
Microsoft 365 E3 で PIM は使えますか？
Microsoft 365 E3 に含まれるのは Microsoft Entra ID P1 までなので、PIM を使うには Microsoft Entra ID P2 か Microsoft Entra ID Governance を追加します。ライセンスは全社員分ではなく、資格のある割り当てを持つ人、承認者、アクセスレビューに関わる人の分を用意します。
全体管理者は何人にすべきですか？
Microsoft は5人未満を推奨しています。あわせて、特定の個人に結び付けない緊急用アカウントを2つ用意し、この2つだけを永続のアクティブな割り当てにする構成を勧めています。ほかの管理者は、できるだけ狭いロールを資格のある割り当てで持たせます。
有効化の時間はどれくらいにすればよいですか？
上限は1〜24時間の範囲でロールごとに決められます。短すぎると同じロールを何度も有効化することになり、「ロールの有効化が多すぎる」というアラートの原因にもなります。ふだんの作業が1回で終わる長さを目安に決めます。
すべてのロールで承認を必須にすべきですか？
全体管理者や特権ロール管理者など、影響の大きいロールから始めるのが現実的です。承認者は2人以上を指定し、承認者が不在でも止まらないようにします。承認者を指定しないと、アクティブな全体管理者などが既定の承認者になる点にも注意してください。
PIM を使わずに割り当てたロールはどうなりますか？
Entra 管理センターのロールの画面などから直接割り当てたロールは、PIM のアラート「PIM の外でロールが割り当てられている」（重要度：高）で検出されます。攻撃の兆候のこともあるため、誰がどこから割り当てたかを確かめ、必要なら PIM の割り当てに置き換えます。
ライセンスが切れると、割り当てはどうなりますか？
資格のある割り当ては削除され、期限付きのアクティブな割り当ては期限のない割り当てに変わります。永続のアクティブな割り当てはそのまま残り、PIM の設定や進行中のアクセスレビューは消えます。常時の管理者に戻ってしまうため、更新の管理が欠かせません。
PIM は、管理者権限を「持たせるかどうか」から「いつ、どの条件で使わせるか」へ考え方を変える仕組みです。現在の管理者の割り当てと条件付きアクセスの設定をお聞かせいただければ、導入の進め方をご提案します。お問い合わせよりお気軽にご相談ください。
関連サービス・関連コラム
- セキュリティ強化支援（ゼロトラスト）
- クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
- ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ
- Microsoft 365の多要素認証を見直す｜SMS・音声の廃止に備えた、パスキーへの移行手順
- 条件付きアクセスをポリシープランで整理する｜共有条件で除外漏れとポリシーの乱立を防ぐ
- Microsoft 365の端末セキュリティ対策（Windows LAPS・BitLocker編）｜ローカル管理者パスワードと回復キーをIntuneで管理する
まずは無料トライアルで、効果をご確認ください
「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。
