Microsoft Identity and Access Administrator のナレッジマップ
Microsoft Identity and Access Administrator の主要概念 67 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（67）
認証（AuthN）
「あなたは誰か」を確認する本人確認。認可より先に行う。
条件付きアクセス
場所・デバイス・リスクなどの条件に応じてアクセスを許可・追加要求する（ゼロトラストの実装）。
Microsoft Entra ID
クラウドのID/アクセス管理サービス（旧Azure AD）。MFA・SSO・条件付きアクセスを提供。オンプレのAD DSとは別物。
認証方式（MFA・パスワードレス）
本人確認の手段。多要素認証（MFA）やパスワードレス（FIDO2 セキュリティキー・Authenticator・Windows Hello 等）など、パスワード単独より強い方式を用いる。
前提: 多要素認証（MFA）
Azure SQL の Microsoft Entra 認証
Azure SQL の推奨認証。Entra ID で一元管理し、MFA・条件付きアクセス・マネージド ID でのパスワードレス接続に対応する。Entra ID 管理者を構成して有効化する。
Microsoft 365 のライセンス（ユーザー単位サブスク）
ユーザー（座席）単位でライセンスを契約し月額/年額で支払う。プランは Business/Enterprise/Frontline 等。割り当ては Microsoft 365 管理センター。AWS/Azure の従量課金とは別。
前提: Microsoft 365
Microsoft 365
メール・文書・会議などをクラウドで提供する SaaS の生産性スイート。ユーザー単位のサブスクリプションで利用する。
SSE（Security Service Edge）/ Global Secure Access
ユーザーとアプリの間にクラウドのセキュリティ層を挟む考え方。Microsoft の Global Secure Access 配下に Entra Internet Access（SWG）と Entra Private Access（ZTNA）がある。Conditional Access と統合してゼロトラスト化する。
アクセス管理（RBAC / 最小特権 / JIT）
ロールベースアクセス制御（RBAC）で職務に応じた権限を付与し、最小特権の原則を適用、PIM のジャストインタイム（JIT）昇格で特権を必要時のみ有効化する。
ライセンスの割り当て（直接／グループベース）
Microsoft 365 や Copilot の機能はライセンスの種類で決まり、ユーザーへ直接、またはグループベースのライセンスでまとめて割り当てる。Copilot は既存の M365 ライセンスに加えて別途ライセンスが必要。
前提: Microsoft 365 のライセンス（ユーザー単位サブスク）、Microsoft 365、ライセンス管理（割り当て・課金・最適化）
Microsoft Defender for Cloud
リソースのセキュリティ状態を採点（セキュアスコア）し、設定不備や脅威を検出して改善を促す。
多要素認証（MFA）
パスワードに加え第二の要素で本人確認を強化する仕組み。
前提: 認証（AuthN）
ハイブリッド ID（Entra Connect）
オンプレの Active Directory を Entra ID と同期してハイブリッド ID を実現する。パスワードハッシュ同期・パススルー認証・フェデレーション（AD FS）から認証方式を選ぶ。
前提: 認証方式（MFA・パスワードレス）、認証（AuthN）、Microsoft Entra ID、パススルー認証（PTA）／シームレス SSO
B2B コラボレーション（Entra External ID）
取引先など外部組織のユーザーをゲストとして招待し、相手側の既存 ID のまま自社リソースへ共同アクセスさせる仕組み。現行は Microsoft Entra External ID に統合されており、条件付きアクセスやクロステナントアクセス設定で招待・権限を細かく制御する。招待されたゲストは自社（招待元）テナント内にゲストユーザーとして登録され、外部組織の資格情報で認証される（別テナントが作られるわけではない）。
B2C（Azure AD B2C）
消費者向けアプリのサインアップ/サインインをカスタマイズできる CIAM（顧客 ID・アクセス管理）機能。ソーシャルログインやカスタムポリシーでブランド化したログイン体験を提供する。旧 Azure AD B2C は2025年5月以降に新規テナントを作成できず、Microsoft Entra External ID への統合・移行が進んでいる。
Log Analytics ワークスペース
各種リソースのログ・メトリックを集約して保持するデータストア。KQL（Kusto Query Language）でクエリして分析でき、Microsoft Sentinel や Azure Monitor アラートの土台にもなる。ワークスペース単位でアクセス制御と保持期間（既定30日、延長可）を設定する。
Microsoft Entra Application Proxy
オンプレの Web アプリを VPN なしで安全に外部公開し、Entra 認証＋事前認証を前段に置く仕組み。Global Secure Access の Private Access は、Web 以外のプロトコルにも対応する発展形。
前提: 認証（AuthN）、Azure SQL の Microsoft Entra 認証、SSE（Security Service Edge）/ Global Secure Access
Microsoft Authenticator
スマートフォンアプリによる多要素認証・パスワードレスサインインの方式。プッシュ承認に番号一致（number matching）を組み合わせ、誤承認や MFA 疲労攻撃を抑える。SMS より強く、passkeys（FIDO2）に次ぐ実用的な方式。
Identity Secure Score
Microsoft Entra ID の ID 態勢を数値で示す指標。現在のスコアと推奨改善策を提示し、MFA 強制や条件付きアクセス導入などで安全性を高める指針になる。
診断設定
各リソースのログ・メトリックの送付先（Log Analytics ワークスペース／ストレージアカウント＝長期保管／Event Hub＝外部 SIEM 連携）を指定する構成。診断設定をしない限りリソースログは既定では集約されない点に注意（アクティビティログはサブスクリプション単位で自動記録される）。データ収集ルール（DCR）で収集対象や変換を細かく制御できる。
Microsoft Entra ID Protection
漏洩資格情報やあり得ない移動などからユーザーリスク/サインインリスクを算出し、条件付きアクセスと連携する。
マネージド ID
シークレットの管理なしにアプリが Azure リソースへ安全にアクセスできる ID。Azure が自動管理するサービスプリンシパル。
Microsoft Intune
デバイスとアプリを管理・保護するクラウドサービス。MDM＝端末そのものを管理、MAM＝アプリ内データを管理。条件付きアクセスと連携。
前提: 条件付きアクセス
Microsoft 365 グループ
複数サービス（Teams・SharePoint・Outlook・Planner 等）に共通のメンバーシップとリソースを提供する基盤。1 つのグループで横断的に共同作業できる。
Windows Hello for Business
生体認証（顔・指紋）や PIN を用いてパスワードレス認証を実現する仕組み。資格情報をデバイスにひも付け、フィッシング耐性を高める。
Microsoft Entra Internet Access
Global Secure Access（SSE）の一部。ユーザーのインターネット/SaaS 行きの通信をセキュア Web ゲートウェイとして検査・制御し、クロステナント保護も行う。社内アプリへの ZTNA を担う Entra Private Access とは送信先で区別する。
管理者同意ワークフロー
ユーザーがアプリの権限を申請し、管理者が審査・承認する仕組み。危険な権限へのユーザー同意を抑え、同意フィッシングのリスクを下げる。同意ポリシーと組み合わせて運用する。
MFA 登録キャンペーン
ユーザーに、より強い認証方式（Microsoft Authenticator 等）の登録を促す機能。SMS など弱い方式から段階的に移行させる。強制ブロックではなくナッジ。
Entra ID ガバナンス
適切な人が適切なリソースに適切な期間だけアクセスできるよう統制する。エンタイトルメント管理（アクセスパッケージ）、アクセスレビュー、Privileged Identity Management（PIM）、ライフサイクルワークフローを含む。
ワークロード ID フェデレーション
外部の ID プロバイダー（IdP）が発行する OIDC 等のトークンを、クラウド側の信頼設定で検証し、短命な資格情報に交換することで長期のシークレットやパスワードなしにアクセスを得る汎用の仕組み。Azure DevOps のサービス接続、GitHub Actions、GCP、AWS の OIDC フェデレーションなど各クラウド・CI/CDで同様の仕組みが実装されている。Azure では、この交換によりロール割り当て済みのサービスプリンシパルやマネージド ID のトークンを得る形になる（AWS の「ロールを引き受ける」とは仕組みが異なる）。
ロールベースのアクセス制御（RBAC）
誰に・どの役割を・どのスコープで割り当てて権限を与える認可の仕組み。最小権限が原則、割り当ては下位へ継承。
セルフサービスパスワードリセット（SSPR）
ユーザーが管理者を介さずにパスワードを再設定できる Entra の機能。複数の認証方法を必須化し、オンプレへのパスワードライトバックにも対応する。
前提: 認証（AuthN）
Azure ストレージアカウント
Blob・File・Table・Queue の各ストレージサービスをまとめて提供する入れ物。
CIEM
クラウドインフラのエンタイトルメント管理（Cloud Infrastructure Entitlement Management）。Azure・AWS・GCP にまたがるアイデンティティの権限を継続的にスキャンし、実際には使われていない過剰な権限（オーバープロビジョニング）を可視化・縮小する。特権のジャストインタイム昇格を担う PIM とは役割が異なり、CIEM は「常に持っている権限そのものを削る」棚卸しの仕組み。
KQL（Kusto Query Language）
ログ/時系列データを高速に検索・集計する読み取り専用のクエリ言語。Eventhouse/KQL データベースで使う。
ライセンス管理（割り当て・課金・最適化）
購入したライセンスをユーザーに割り当て、ユーザー単位の月次/年次で課金し、利用状況を見直して未使用分を回収（最適化）する一連の管理。アドオンで機能を追加できる。
保護されたアクション（protected actions）
最も危険な管理操作（例：Conditional Access ポリシーの削除）に、強い認証コンテキスト（フィッシング耐性 MFA 等）を満たさない限り実行不可とする保護。通常のロール権限より厳格なゲートを追加する。
関連: 認証コンテキスト
アクセスパッケージ（エンタイトルメント管理）
ある役割に必要なアクセス（グループ・アプリ・SharePoint）の束を定義し、誰が申請でき・誰が承認し・どれだけの期間有効かをポリシーで決める。My Access でセルフサービス申請し、期限切れで自動失効する。
前提: SharePoint
アクセスレビュー
既存アクセス（グループ/アプリ/ロール/ゲスト）を定期的に「まだ必要か」見直し、不要を剥奪する仕組み。自動適用で否認を自動剥奪でき、PIM 連携で特権ロールを棚卸しする。エンタイトルメント管理（入口）と対をなす継続的な棚卸し。
委任権限とアプリケーション権限（API アクセス許可）
委任（delegated）権限はサインインユーザーの代理として動きユーザーの権限を超えない。アプリケーション権限はユーザー無しでアプリ単独で動き強力なため管理者同意が必須。バックグラウンドのデーモンはアプリケーション権限を使う。
前提: 管理者同意ワークフロー
認証コンテキスト
特定の操作やアプリに追加の認証要件（例：フィッシング耐性 MFA）を求めるためのラベル。Conditional Access や保護されたアクションと組み合わせ「最も危険な操作だけ強い認証」を実現する。
証明書ベース認証（CBA）
X.509 証明書でユーザーを認証するフィッシング耐性の高い方式。スマートカード等と組み合わせて高保証の認証を実現する。passkeys（FIDO2）と並ぶフィッシング耐性 MFA。
前提: 認証（AuthN）
Microsoft Entra Connect Health
同期/認証エージェント（Connect Sync・PTA・AD FS 等）の稼働状況・エラー・パフォーマンスを監視するサービス。ハイブリッド ID 基盤の健全性を可視化する。
Cross-tenant access 設定
相手テナントごとに「受信/送信のアクセス」と「相手の MFA/デバイス準拠の主張を信頼するか」を細かく制御する設定。テナント間同期（ユーザーの自動プロビジョニング）とは役割が異なる。
フェデレーション資格情報（workload identity federation）
クライアントシークレットや証明書を保存せずに、外部 IdP（GitHub Actions 等）のトークンを信頼してアプリを認証する仕組み。CI/CD パイプラインからの鍵レス認証に最適。
Microsoft Graph PowerShell
Entra/Microsoft 365 を自動化するための PowerShell モジュール。旧 AzureAD/MSOnline モジュールの後継で、属性更新やライセンス割当などの反復処理をプログラム的に実行する。
前提: Microsoft 365 のライセンス（ユーザー単位サブスク）、Microsoft 365、ライセンス管理（割り当て・課金・最適化）
パススルー認証（PTA）／シームレス SSO
PTA は認証検証をオンプレエージェントで行いパスワードをクラウドに保存しない方式。シームレス SSO は社内ネットワークの参加 PC で追加プロンプトなしにサインインさせる。クラウドで認証する最も単純な PHS と対比。
前提: 認証（AuthN）
Temporary Access Pass（TAP）
時間制限つきの一時的な資格情報。パスワードレスのオンボーディングや、認証方式を紛失したユーザーの再登録に使う。恒久的な認証方式ではない。
利用規約（Terms of Use, ToU）
アクセス付与の条件としてユーザーに同意を求める規約。Conditional Access やエンタイトルメント管理と連携し、規約に同意しないとアクセスできないよう設計できる。
前提: 条件付きアクセス
Microsoft Entra Private Access
VPN に代わり、社内アプリへ ID ベース・アプリ単位（ゼロトラスト）でアクセスを提供する。ネットワーク全体ではなく必要なアプリだけに到達させる。
Microsoft Defender XDR
端末/メール/ID/SaaSアプリの防御を統合し、領域横断でシグナルを相関して検知・対応する（Endpoint/Office 365/Identity/Cloud Apps）。
Microsoft Entra Permissions Management
Microsoft の CIEM 製品。マルチクラウド（Azure/AWS/GCP）の ID とリソースにまたがる権限を分析し、Permission Creep Index（権限の肥大度を示すスコア）で可視化、未使用権限の是正案を提示する。単一のダッシュボードで複数クラウドの実効権限を横断把握できる点が特徴。
前提: CIEM
Microsoft Teams
チャット・会議・通話・チームワークを集約したコラボレーションのハブ。ファイルは裏で SharePoint/OneDrive に保存。
関連: SharePoint
Microsoft Defender for Cloud Apps
クラウドアプリの利用やシャドー IT を可視化・制御する CASB（クラウドアクセスセキュリティブローカー）。
デバイスコンプライアンス
デバイスが Intune のポリシー要件（暗号化・OS バージョン・パスコード等）を満たしている状態。条件付きアクセスと組み合わせ、準拠デバイスのみアクセスを許可できる。
保持ポリシー
データを必要な期間だけ保持し、不要になれば削除して情報の寿命を管理する仕組み。
テナント間同期（cross-tenant synchronization）
複数の Entra テナント間で、あるテナントのユーザーを別テナントへ B2B ゲストとして自動プロビジョニングする仕組み。手動招待を不要にする。相手テナントの信頼/アクセスを制御する Cross-tenant access 設定とは別機能。
プロビジョニングログ
SaaS アプリへの自動プロビジョニング（ユーザーの作成/更新/削除）の結果を記録する Entra ログ。ディレクトリ変更を記録する監査ログ、認証イベントを記録するサインインログとは用途が異なる。
前提: 認証（AuthN）
アプリ登録とエンタープライズ アプリ
アプリ登録は、アプリを Entra ID に登録する設計図（テンプレート）。エンタープライズ アプリケーションは、その登録を各テナントで実体化したサービスプリンシパルで、サインインやアクセス許可を表す。
サービス接続
Azure Pipelines から外部リソース（Azure サブスクリプション、コンテナーレジストリ、Kubernetes クラスター等）へアクセスするための認可設定。プロジェクト単位で作成し、パイプラインはサービス接続名を指定するだけで対象へ認証できる。承認とチェックでどのパイプラインが使えるかを制御できる。
アプリのアクセス許可と同意（OAuth）
エンタープライズアプリへのアクセスを OAuth のアクセス許可付与で管理する。アクセス許可スコープを構成し、ユーザー同意か管理者の同意かを制御してリスクの高い委任を防ぐ。
前提: 管理者同意ワークフロー
Just-In-Time VM アクセス
Defender for Cloud の機能で、VM の RDP/SSH などの管理ポートを普段は閉じておき、要求・承認時のみ一時的に NSG/Firewall へ許可規則を入れて開放、時間が経つと自動で閉じる。常時公開を避けて攻撃面を減らす。常時利用できる踏み台の Bastion とは異なり、JIT は「必要なときだけ開ける」方式。
Microsoft Priva
個人データのプライバシーリスク管理と主体権利要求（DSR）への対応を支援するソリューション。過剰な個人データの保持や共有を検出・是正する。
前提: 保持ポリシー
PIM の active 割り当て
PIM でロールを常時有効な状態で割り当てる方式。アクティブ化の操作なしに即座に権限を使えるが、常時高権限を持つため監査上のリスクが高く、通常は eligible 割当が推奨される。時間指定（開始/終了）付き active 割当も設定可能。
PIM の eligible 割り当て
PIM でロールを常時付与（active）せず「対象者」として割り当てる方式。ユーザーは必要なときだけ自らアクティブ化し、MFA・正当な理由の入力・（設定により）承認・有効期限つきで昇格する。常時高権限を持たせない最小特権設計の核。
Entra の ID の種類
Microsoft Entra が管理する ID の種類。ユーザー（メンバー/ゲスト）、グループ、デバイス、そしてアプリやサービスを表すワークロード ID（サービスプリンシパル/マネージド ID）がある。
前提: マネージド ID