記事公開日 2026/08/12

Microsoft Entra PIM（Privileged Identity Management）で必要なときに必要な権限だけを付与する

この記事のポイント

PIMの概要：管理者権限を常時保持させず、必要なときに必要な期間だけ付与する機能について解説します。
PIM割り当て方法：PIMを申請する資格を与える「対象 (eligible)」と、常時付与する「アクティブ (active)」の役割を整理します。
権限割り当て手順：「対象 (eligible)」「アクティブ (active)」のそれぞれの割り当て方法でロールをアクティブ化する手順を紹介します。

Microsoft Entra IDを運用する上で、「グローバル管理者」などの強力な権限を特定のアカウントに常時付与したままにしていませんか。万が一そのアカウントが乗っ取られた場合、テナント全体に甚大な被害が及ぶリスクがあります。

安全なゼロトラスト環境を実現するために重要なのが、「必要なときに、必要な期間だけ、最小限の特権を与える」というアプローチです。本記事では、それを実現する中心機能であるPIM（Privileged Identity Management）の概要、権限の割り当て方法、運用上の注意点を公式情報をもとに整理します。

PIM（Privileged Identity Management）とは
割り当ての種類
割り当ての期間
「対象 (eligible)」ロールアクティブ化手順
「アクティブ (active)」ロールアクティブ化手順
ライセンスと必要な要件
まとめ

PIM（Privileged Identity Management）とは

PIMの目的は、管理者権限の常時保持によるリスクを最小化することです。特権ロールは、Entra管理センターの「ロールと管理者」ページにある特権ラベルから確認できます。これらを常時アクティブにするのではなく、申請ベースの運用に切り替えます。

特権ロールは以下のページのように「特権」ラベルが明記されています。

運用の目安：Microsoftのベストプラクティスでは、最高権限であるグローバル管理者は組織内で「5人未満」に割り当てることが推奨されています。また、特権ロールの割り当てが10件を超えると、管理ポータルに警告が表示される仕様になっています。特権は常時持たせず、PIMによる制御を基本としましょう。

割り当ての種類

PIMでユーザーにロールを割り当てる際、次の2つの権限の割り当て方を選択できます。それぞれの想定運用を理解して使い分ける必要があります。

対象 (eligible)

ユーザーに、必要なときにロール（権限）を申請する資格を与えます。普段は権限を持っていませんが、「必要になったら自分で申請（アクティブ化）して、一時的に権限を使える状態」にする設定です。「Azure MFA」「理由が必要」「承認が必要」を組み合わせて、権限の強さと承認プロセスのバランスを調整して運用します。

アクティブ (active)

従来の割り当てと同じ方法です。申請手順を踏むことなく、その権限が有効な状態になります。手動申請ができない「自動ツールのサービスアカウント」や、効率を重視したい「非稼働環境（検証環境）の作業アカウント」などのケースで利用します。

割り当ての期間

永続（Permanent）

期限なしでその状態が続きます。

期限付き（Time-bound）

開始日時と終了日時を指定し、その期間だけ状態が維持されます。

「対象」「アクティブ」のどちらの割り当てにも有効期限（資格を保持する期間／行使できる期間）を設定可能です。期限を設定しない「永続アクティブ」は、従来の直接割り当てと同じ状態になりセキュリティリスクとなります。

例外：緊急アカウント（ブレークグラスアカウント）
本番環境で「永続アクティブ」を選択する唯一の正当な動機は、テナントのロックアウト等に備える「緊急アカウント」です。不測の事態にPIMシステム自体が停止してもサインインできるよう、グローバル管理者を永続アクティブで確保しておくことがベストプラクティスです。

「対象 (eligible)」ロールアクティブ化手順

ここからは、実際の画面を使って「対象」で割り当てる手順を確認します。この方式では、管理者はユーザーに「申請できる資格」だけを与え、ユーザーは権限が必要になったタイミングで自分でアクティブ化を申請します。本記事では承認者の承認を必要とする構成とし、ロール設定の編集から資格の割り当て、アクティブ化の申請・承認、そして権限が有効になったことの確認までを順に見ていきます。

１．ロール設定の編集

Azure ポータルにログインし、[すべてのサービス]から[Microsoft Entra Privileged Identity Management]を選択します。

[Microsoft Entra ロール]を選択します。

[ロール] からロールの一覧を表示します。今回は[セキュリティ閲覧者]を構成するので、一覧から選択します。

申請に対して承認を行うように設定を変更します。この設定はロールごとに設定を変えることができます。
[セキュリティ閲覧者]の画面を開き、[設定] > [編集]を開きます。

[アクティブ化]タブで[アクティブ化に理由が必要]にチェックが入っていることを確認し、[アクティブにするには承認が必要です]にチェックを付けて承認者を選択します。

補足：承認者を明示的に指定しない場合、テナントの「特権ロール管理者」または「グローバル管理者」が既定の承認者として機能します。

ユーザーにロールを申請する資格を与える期間を制御する場合は、[割り当て]タブの[永続的に資格のある割り当てを許可する]のチェックを外し、資格のある割り当ての有効期限を設定します。今回は、チェックはそのままにします。

２．資格の割り当て

[セキュリティ閲覧者]の画面を開き、[割り当ての追加]を選択します。
[メンバーシップ]タブでロールの申請を行う資格を与えるユーザーをメンバーに追加します。

[設定]タブの[割り当ての種類]で[対象]を選択します。
資格の割り当て有効期間はこのタブで設定できます。無期限にしたい場合は[永続的に有資格]にチェックをします。

資格を割り当てたユーザーを「資格のある割り当て」タブから確認できます。

また、この時点では「アクティブな割り当て」タブに表示されず、ロールが割当てられていないことがわかります。

３．アクティブ化の申請

申請者は、PIMの「自分のロール」>「資格のある割り当て」から[セキュリティ閲覧者]のアクティブ化をクリックします。

理由を入力して、アクティブ化をクリックします。
アクティブ化したいタイミングが翌日以降で、事前申請する場合はカスタムアクティブ化の開始時刻を設定します。

[Privileged Identity Management] > [保留中の要求] から状態を確認できます。

４．アクティブ化の承認

承認者は、[Privileged Identity Management] > [申請の承認] から自身が承認対象の申請一覧を確認できます。

一覧から対象の申請にチェックを付け、[承認]をクリックします。
画面右側に要求の詳細が表示されるので、理由を入力して[Submit]をクリックすると承認されます。

タイムアウト仕様：申請された要求が24時間以内に承認されなかった場合、その申請は自動的に却下されます。この24時間の承認時間枠はシステム固定であり、変更できません。

５．アクティブ化の確認

承認が完了すると、申請者に承認結果が通知され、申請した期間だけロールがアクティブな状態になります。
ここで、先ほど「資格の割り当て」の時点では何も表示されていなかった[アクティブな割り当て]タブを、もう一度確認してみましょう。

[Privileged Identity Management] > [Microsoft Entra ロール] > [セキュリティ閲覧者]の[アクティブな割り当て]タブを開くと、アクティブ化されたユーザーが表示されています。

表示されている終了日時を過ぎると、ロールは自動的に無効化されて一覧から消え、ユーザーは再び「資格のある割り当て」だけを持つ状態に戻ります。権限を返却するための操作は不要です。