エンタイトルメント管理の委任とロール

Microsoft Entra ID では、ロール モデルをいくつかの方法で使用して、ID ガバナンスを通じて大規模にアクセスを管理できます。

• アクセス パッケージを使用して、"営業担当者" のような組織内の組織ロールを表すことができます。 組織のロールを表すアクセス パッケージには、複数のリソースにわたって営業担当者が一般的に必要とする可能性があるすべてのアクセス権が含まれます。
• アプリケーションでは独自のロールを定義できます。 たとえば、営業アプリケーションがあり、そのアプリケーションではマニフェストにアプリ ロール "salesperson" が含まれていた場合、アプリ マニフェストのそのロールをアクセス パッケージに含めることができます。 ユーザーがアプリケーション固有の複数のロールを同時に持っている可能性があるシナリオでも、アプリケーションにはセキュリティ グループを使用できます。
• ロールを使用して管理アクセスを委任できます。 営業に必要なすべてのアクセス パッケージのカタログがある場合、カタログ固有のロールを割り当てることによって、任意のユーザーをそのカタログの責任者に任命することができます。

この記事では、エンタイトルメント管理リソースへのアクセスを制御するために、ロールを使用して Microsoft Entra エンタイトルメント管理内の側面を管理する方法について説明します。

既定では、グローバル管理者ロールと ID ガバナンス管理者ロールのユーザーは、 エンタイトルメント管理のすべての側面を作成および管理できます。 ただし、これらのロールのユーザーは、アクセス パッケージが必要なあらゆる状況を把握しているとは限りません。 通常、コラボレーションの相手、使用するリソース、期間はそれぞれの部門、チーム、プロジェクト内のユーザーが把握しています。 管理者以外のユーザーに無制限のアクセス許可を付与する代わりに、それぞれの業務に必要な最小限のアクセス許可を付与することで、競合の発生や不適切なアクセス許可を回避することができます。

この動画では、IT 管理者から管理者ではないユーザーにアクセス ガバナンスを委任する方法について概説します。

委任の例

エンタイトルメント管理でアクセス ガバナンスを委任する方法を理解するには、例を考えてみるとよいでしょう。 組織に次の管理者やマネージャーがいるとします。

IT 管理者の Hana には、各部署に連絡先担当者がいます。マーケティングの Mamta、財務の Mark、法務の Joe がそれぞれの部署のリソースとビジネス クリティカル コンテンツを担当しています。

アクセスを必要とするユーザー、アクセスの期間、アクセスされるリソースを把握しているのが管理者以外の人であれば、エンタイトルメント管理を利用することで、そうした管理者以外の人にアクセス ガバナンスを委任できます。 管理者以外に委任することにより、適任者がその部署のアクセスを管理することになります。

たとえば次の方法で Hana はマーケティング部、財務部、法務部にアクセス ガバナンスを委任できます。

1. Hana は新しい Microsoft Entra セキュリティ グループを作成し、グループのメンバーとして Mamta、Mark、Joe を追加します。

2. Hana はそのグループをカタログ作成者ロールに追加します。

   Mamta、Mark、Joe はこれで、自分の部署にカタログを作成したり、自分の部署に必要なリソースを追加したり、カタログ内で追加の委任を行ったりできます。 お互いのカタログを見ることはできません。

3. Mamta は、リソースのコンテナーである Marketing カタログを作成します。

4. Mamta は、マーケティング部が所有するリソースをこのカタログに追加します。

5. Mamta は、このカタログのカタログ所有者として、この部署の他のユーザーを追加できます。これにより、カタログ管理の責任を共有できます。

6. Mamta はさらに、マーケティング カタログのアクセス パッケージの作成と管理をマーケティング部のプロジェクト マネージャーに委任できます。 これは、カタログ上でアクセス パッケージ管理者ロールに割り当てることで実行できます。 アクセス パッケージ管理者は、そのカタログ内のポリシー、要求、割り当てと共に、アクセス パッケージを作成および管理できます。 カタログで許可されている場合、アクセス パッケージ管理者は、接続されている組織からユーザーを取り込むためのポリシーを構成できます。

次の図は、マーケティング部、財務部、法務部のリソースを含むカタログを示しています。 プロジェクト マネージャーは、これらのカタログを使用する際に、自分のチームまたはプロジェクトのアクセス パッケージを作成できます。

委任後、マーケティング部に含まれるロールは次の表のようになります。

エンタイトルメント管理のロール

エンタイトルメント管理には、エンタイトルメント管理自体を管理するためのアクセス許可と共に、すべてのカタログにまたがって適用される次のロールがあります。

エンタイトルメント管理には、カタログ内のアクセス パッケージやその他の構成を管理するための、特定のカタログごとに定義される次のロールがあります。 管理者またはカタログ所有者は、これらのロールにユーザー、ユーザーのグループ、またはサービス プリンシパルを追加できます。

また、アクセス パッケージの指定された承認者と申請者も、ロールではありませんが権限を持ちます。

次の表は、エンタイトルメント管理内で、エンタイトルメント管理ロールで実行できるタスクを一覧にしたものです。

タスクの最小限の特権ロールを決定するには、「Microsoft Entra ID における管理タスク別の管理者ロール」を参照することもできます。

カタログにリソースを追加するために必要なロール

グローバル管理者は、カタログ内の任意のグループ (クラウドが作成したセキュリティ グループまたはクラウドが作成した Microsoft 365 グループ)、アプリケーション、または SharePoint Online サイトを追加または削除することができます。

グローバル管理者ではないユーザーがグループ、アプリケーション、または SharePoint Online サイトをカタログに追加するには、そのリソースに対してアクションを実行する能力と、カタログのエンタイトルメント管理におけるカタログ所有者ロールの両方が必要です。 ユーザーがリソースに対してアクションを実行できる最も一般的な方法は、リソースを管理できる Microsoft Entra ディレクトリ ロールになることです。 または、所有者が存在するリソースの場合、ユーザーはそのリソースの所有者として割り当てられることでアクションを実行できます。

ユーザーがカタログにリソースを追加したときにエンタイトルメント管理がチェックするアクションは次のとおりです:

• セキュリティ グループまたは Microsoft 365 グループを追加するには: ユーザーは、microsoft.directory/groups/members/update および microsoft.directory/groups/owners/update を実行する許可を与えられている必要があります
• アプリケーションを追加するには: ユーザーが microsoft.directory/servicePrincipals/appRoleAssignedTo/update アクションの実行を許可されている必要があります
• SharePoint Online サイトを追加するには: ユーザーが SharePoint 管理者であるか、サイトのアクセス許可を管理できるSharePoint Online サイトの役割を持ちである必要があります

次の表に、これらのロールの組み合わせのユーザーがカタログにリソースを追加できるようにするアクションを含むロールの組み合わせの一部を示します。 カタログからリソースを削除するには、それと同じアクションを持つロールまたは所有権も必要です。

ゲスト ユーザー ライフサイクルの委任された管理

通常、ゲスト招待元特権を持つロールのユーザーは、個々の外部ユーザーを組織に招待できます。この設定は、外部コラボレーションの設定を使用して変更できます。

外部コラボレーションの管理では、コラボレーション プロジェクトの個々の外部ユーザーが事前に知られていない可能性があるため、外部組織で作業しているユーザーをエンタイトルメント管理ロールに割り当てることで、それらのユーザーが外部コラボレーション用のカタログ、アクセス パッケージ、ポリシーを構成できるようになります。 これらの構成により、共同作業相手の外部ユーザーは、組織のディレクトリとアクセス パッケージを要求して追加されるようにできます。

• 接続されている組織の外部ディレクトリのユーザーがカタログ内のアクセス パッケージを要求できるようにするには、[外部ユーザーに有効] のカタログ設定を [はい] に設定する必要があります。 この設定の変更は、カタログの管理者またはカタログ所有者が行うことができます。
• アクセス パッケージには、ディレクトリ内にないユーザーに対するポリシーも設定されている必要があります。 このポリシーは、カタログの管理者、カタログ所有者、またはアクセス パッケージ管理者が作成できます。
• そのポリシーを持つアクセス パッケージを使用すると、スコープ内のユーザーは、ディレクトリにまだ存在しないユーザーを含め、アクセスを要求できるようになります。 要求が承認された場合、または承認を必要としない場合、ユーザーはディレクトリに自動的に追加されます。
• ポリシー設定が [すべてのユーザー] 用であり、ユーザーが既存の接続済み組織に含まれていない場合は、新しい提案された接続済み組織が自動的に作成されます。 接続されている組織の一覧を表示したり、不要になった組織を削除したりできます。

エンタイトルメント管理によって持ち込まれた外部ユーザーがアクセス パッケージへの最後の割り当てを失った場合の動作を構成することもできます。 外部ユーザーのライフサイクルを管理するための設定の中で、このディレクトリへのサインインをブロックしたり、ゲスト アカウントを削除したりすることができます。

委任された管理者がディレクトリにないユーザーのポリシーを構成できないように制限する

管理者ロール以外のユーザーが個々のゲストを招待できないようにするには、外部コラボレーションの設定で、[ゲスト招待の設定] 設定を特定の管理者ロールに変更し、[ゲスト セルフサービス サインアップを有効にする] を [いいえ] に設定します。

委任されたユーザーが、外部ユーザーから外部コラボレーションを要求できるようにエンタイトルメント管理を構成できないようにするには、すべてのグローバル管理者、Identity Governance 管理者、カタログ作成者、カタログ所有者にこの制約を伝えてください。それらの管理者はカタログを変更できるので、新規または更新されたカタログで新しいコラボレーションを誤って許可することがないようにするためです。 それらの管理者は、カタログで [外部ユーザーに有効] が [いいえ] に設定され、ディレクトリにないユーザーに要求を許可するポリシーを含むアクセス パッケージがないことを確認する必要があります。

外部ユーザーに対して現在有効になっているカタログの一覧は、Microsoft Entra 管理センターで表示できます。

1. Microsoft Entra 管理センターに Identity Governance 管理者以上としてサインインします。

2. [ID ガバナンス]> [エンタイトルメント管理]>[カタログ] の順に移動します。

3. [外部ユーザーに有効] のフィルター設定を [はい] に変更します。

4. これらのカタログにアクセス パッケージの数がゼロ以外のものがある場合、それらのアクセス パッケージには、ディレクトリにないユーザーに対するポリシーが含まれることがあります。

プログラムによるエンタイトルメント管理ロールへのロールの割り当ての管理

Microsoft Graph を使用して、カタログの作成者と、エンタイトルメント管理のカタログ固有のロール割り当てを表示して、更新することもできます。 委任された EntitlementManagement.ReadWrite.All 権限を持つアプリケーションを使用する適切なロールのユーザーは、Graph API を呼び出して、エンタイトルメント管理のロール定義を一覧表示し、それらのロール定義に対するロール割り当てを一覧表示することができます。

たとえば、特定のユーザーまたはグループが割り当てられているエンタイトルメント管理固有のロールを表示するには、Graph クエリを使用してロールの割り当てを一覧表示し、ユーザーまたはグループの ID を principalId クエリ フィルターの値として指定します。次に例を示します。

GET https://graph.microsoft.com/v1.0/roleManagement/entitlementManagement/roleAssignments?$filter=principalId eq 'aaaaaaaa-bbbb-cccc-1111-222222222222'&$expand=roleDefinition&$select=id,appScopeId,roleDefinition

カタログに固有のロールの場合、応答内の appScopeId は、ユーザーにロールが割り当てられているカタログを示します。 この応答では、エンタイトルメント管理でのロールに対するプリンシパルの明示的な割り当てのみが取得されます。ディレクトリ ロールを介してアクセス権を持つユーザー、およびロールに割り当てられたグループのメンバーシップを介してアクセス権を持つユーザーの結果は返されません。

次のステップ

• カタログ作成者にアクセス ガバナンスを委任する
• アクセス パッケージ管理者にアクセス ガバナンスを委任する
• リソースのカタログを作成および管理する