さまざまなスコープで Microsoft Entra ロールを割り当てる

Microsoft Entra ID では、通常、割り当てられたロールはテナント全体に適用されます。 ただし、管理単位やアプリケーションの登録など、さまざまなリソースに対して Microsoft Entra ロールを割り当てることもできます。 たとえば、ヘルプデスク管理者ロールを、テナント全体ではなく、特定の管理単位にのみ適用されるよう割り当てることができます。 ロールの割り当てが適用されるリソースは、スコープとも呼ばれます。 この記事では、テナント、管理単位、アプリケーションの登録のスコープで、Microsoft Entra ロールを割り当てる方法について説明します。 スコープの詳細については、Microsoft Entra ID でのロールベースのアクセス制御 (RBAC) の概要に関する記事を参照してください。

前提条件

• 特権ロール管理者。
• PowerShell を使用する場合にインストールされた Microsoft Graph PowerShell SDK。
• 管理者の同意 (Microsoft Graph API の Graph エクスプローラーを使用する場合)。

詳細については、PowerShell または Graph エクスプローラーを使用するための前提条件に関するページを参照してください。

テナントにスコープ設定されたロールを割り当てる

このセクションでは、テナント スコープでロールを割り当てる方法について説明します。

Microsoft Entra 管理センター

1. Microsoft Entra 管理センターに特権ロール管理者以上としてサインインします。

2. [Identity] (ID)>[役割と管理者]>[役割と管理者] の順に移動します。

   

3. ロールを選択して、その割り当てを表示します。 必要なロールをすばやく見つけるには、 [フィルターの追加] を使用してロールをフィルター処理します。

4. [割り当ての追加] を選択し、このロールに割り当てるユーザーを選択します。

   

5. [追加] を選択してロールを割り当てます。

PowerShell

PowerShell を使用して Microsoft Entra ロールを割り当てるには、次の手順を実行します。

1. PowerShell ウィンドウを開きます。 必要に応じて、[Install-Module] を使用して Microsoft Graph PowerShell をインストールします。 詳細については、PowerShell または Graph エクスプローラーを使用するための前提条件に関するページを参照してください。

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. PowerShell ウィンドウで、Connect-MgGraph を使用して、自分のテナントにサインインします。

   Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. [Get-MgUser] を使用してユーザーを取得します。

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Get-MgRoleManagementDirectoryRoleDefinition を使用して、割り当てるロールを取得します。

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Billing Administrator'"
   

5. ロールの割り当てのスコープとしてテナントを設定します。

   $directoryScope = '/'
   

6. New-MgRoleManagementDirectoryRoleAssignment を使用して、ロールを割り当てます。

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id
   

Microsoft Graph API

Graph エクスプローラーの Microsoft Graph API を使用してロールを割り当てるには、これらの手順に従います。

1. Graph エクスプローラーにサインインします。

2. List users API を使用してユーザーを取得します。

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. List unifiedRoleDefinitions API を使用して、割り当てるロールを取得します。

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Billing Administrator'
   

4. Create unifiedRoleAssignment API を使用してロールを割り当てます。

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/"
   }
   

管理単位にスコープされたロールの割り当て

このセクションでは、管理単位のスコープでロールを割り当てる方法について説明します。

Microsoft Entra 管理センター

1. Microsoft Entra 管理センターに特権ロール管理者以上としてサインインします。

2. [ID]>[役割と管理者]>[管理単位] に移動します。

3. 管理単位を選択します。

   

4. 左側のナビゲーション メニューから [ロールと管理者] を選ぶと、管理単位に対して割り当てることができるすべてのロールの一覧が表示されます。

   

5. 目的のロールを選択します。

6. [割り当ての追加] を選択してから、このロールに割り当てるユーザーまたはグループを選択します。

7. [追加] を選択して、管理単位にスコープ設定したヘルプデスク管理者ロールを割り当てます。

PowerShell

PowerShell を使って管理単位スコープで Microsoft Entra ロールを割り当てるには、以下の手順を実行します。

1. PowerShell ウィンドウを開きます。 必要に応じて、[Install-Module] を使用して Microsoft Graph PowerShell をインストールします。 詳細については、PowerShell または Graph エクスプローラーを使用するための前提条件に関するページを参照してください。

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. PowerShell ウィンドウで、Connect-MgGraph を使用して、自分のテナントにサインインします。

   Connect-MgGraph -Scopes "Directory.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. [Get-MgUser] を使用してユーザーを取得します。

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Get-MgRoleManagementDirectoryRoleDefinition を使用して、割り当てるロールを取得します。

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
      -Filter "displayName eq 'User Administrator'"
   

5. Get-MgDirectoryAdministrativeUnit を使用して、役割の割り当てのスコープを設定する管理単位を取得します。

   $adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Seattle Admin Unit'"
   $directoryScope = '/administrativeUnits/' + $adminUnit.Id
   

6. New-MgRoleManagementDirectoryRoleAssignment を使用して、ロールを割り当てます。

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id
   

Microsoft Graph API

Graph エクスプローラーの Microsoft Graph API を使用して管理単位スコープでロールを割り当てるには、これらの手順に従います。

1. Graph エクスプローラーにサインインします。

2. List users API を使用してユーザーを取得します。

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. List unifiedRoleDefinitions API を使用して、割り当てるロールを取得します。

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'User Administrator'
   

4. List administrativeUnits API を使用して、ロールの割り当てのスコープを設定する管理単位を取得します。

   GET https://graph.microsoft.com/v1.0/directory/administrativeUnits?$filter=displayName eq 'Seattle Admin Unit'
   

5. Create unifiedRoleAssignment API を使用してロールを割り当てます。

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/administrativeUnits/<provide objectId of the admin unit obtained above>"
   }
   

アプリの登録にスコープ設定したロールの割り当て

このセクションでは、アプリケーションの登録のスコープでロールを割り当てる方法について説明します。

Microsoft Entra 管理センター

1. Microsoft Entra 管理センターに特権ロール管理者以上としてサインインします。

2. [ID]>[アプリケーション]>[アプリの登録] に移動します。

3. アプリケーションを選択します。 検索ボックスを使用すれば、目的のアプリを探すことができます。

   

4. 左側のナビゲーション メニューから [ロールと管理者] を選ぶと、アプリの登録に対して割り当てることができるすべてのロールの一覧が表示されます。

   

5. 目的のロールを選択します。

6. [割り当ての追加] を選択してから、このロールに割り当てるユーザーまたはグループを選択します。

   

7. [追加] を選択して、アプリの登録にスコープ設定したロールを割り当てます。

   

   

PowerShell

PowerShell を使ってアプリケーションのスコープで Microsoft Entra ロールを割り当てるには、以下の手順を実行します。

1. PowerShell ウィンドウを開きます。 必要に応じて、[Install-Module] を使用して Microsoft Graph PowerShell をインストールします。 詳細については、PowerShell または Graph エクスプローラーを使用するための前提条件に関するページを参照してください。

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. PowerShell ウィンドウで、Connect-MgGraph を使用して、自分のテナントにサインインします。

   Connect-MgGraph -Scopes "Application.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. [Get-MgUser] を使用してユーザーを取得します。

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Get-MgRoleManagementDirectoryRoleDefinition を使用して、割り当てるロールを取得します。

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
      -Filter "displayName eq 'Application Administrator'"
   

5. Get-MgApplication を使用して、役割の割り当てのスコープを設定するアプリの登録を取得します。

   $appRegistration = Get-MgApplication -Filter "displayName eq 'f/128 Filter Photos'"
   $directoryScope = '/' + $appRegistration.Id
   

6. New-MgRoleManagementDirectoryRoleAssignment を使用して、ロールを割り当てます。

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id 
   

Microsoft Graph API

Graph エクスプローラーの Microsoft Graph API を使用してアプリケーションのスコープでロールを割り当てるには、これらの手順に従います。

1. Graph エクスプローラーにサインインします。

2. List users API を使用してユーザーを取得します。

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. List unifiedRoleDefinitions API を使用して、割り当てるロールを取得します。

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Application Administrator'
   

4. List applications API を使用して、ロールの割り当てのスコープを設定する管理単位を取得します。

   GET https://graph.microsoft.com/v1.0/applications?$filter=displayName eq 'f/128 Filter Photos'
   

5. Create unifiedRoleAssignment API を使用してロールを割り当てます。

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/<provide objectId of the app registration obtained above>"
   }
   

次のステップ

• Microsoft Entra ロールの割り当てを一覧表示する。
• ユーザーに Microsoft Entra ロールを割り当てる。
• Microsoft Entra ロールをグループに割り当てる