【ITニュース解説】User Access and Profile Management Basics

システムを安全かつ効率的に運用するために、ユーザーの管理は極めて重要な作業となる。誰がシステムにアクセスできるのか、どのような権限を持っているのかを明確にし、適切に設定することが常に求められる。Microsoft Entra IDは、クラウドベースのIDおよびアクセス管理サービスであり、組織内のユーザーアカウントやアクセス権限を一元的に管理するための中心的な役割を果たす。このサービスは、企業のアプリケーションやリソースへのアクセスを制御し、セキュリティを強化するために不可欠な基盤を提供する。ここで説明する「Extra ID」とは、ユーザーの身元をさらに確認したり、別のシステム上の記録と連携させたりするための補助的な識別子を指し、セキュリティとデータの一貫性を高めるために利用される。

新しいユーザーをシステムに登録する手順は、Microsoft Entra IDの管理画面から行う。まず、ウェブブラウザを開き、Microsoft Entra admin centerのURLである https://entra.microsoft.com にアクセスする。ここで、自身の組織のアカウント情報や設定が格納された独立した区画である「テナント」の管理者資格情報を使用してログインする。ログイン後、画面左側のメニューから「ユーザー」を選択し、さらに「すべてのユーザー」に進む。この画面で、組織に登録されているすべてのユーザーの一覧を確認できる。新しいユーザーを作成するには、「+ 新しいユーザー」をクリックし、表示されるオプションの中から「新しいユーザーの作成」を選択する。これは、組織の内部メンバーとして機能する標準的なユーザーアカウントを作成する手順だ。

次のステップでは、新しいユーザーの基本情報を入力する。具体的には、「User principal name」と「Display name」だ。User principal nameは、ユーザーがシステムにログインする際に使用する、メールアドレス形式の固有の識別子となる。例えば「BhogeswarK」のような形式に続けて、組織のドメイン名が自動的に付与されることが多い。これは、他のユーザーと重複しないように設定する必要がある。Display nameは、システム上で表示されるユーザーの氏名で、人が見て理解しやすいように設定する。例えば「Bhogeswar Kalita」といった形だ。この表示名は、ユーザーリストや連絡先情報に表示されるため、正確に入力することが望ましい。

基本情報の入力後、ユーザーのより詳細な属性を設定するために「プロパティ」タブに進む。ここでは、ユーザーの「名」と「姓」を個別に設定できる。例えば「名」に「Bhogeswar」、「姓」に「Kalita」と入力する。また、「ユーザーの種類」を設定する項目があり、通常は「メンバー」を選択する。もし「ゲスト」を選択した場合、そのユーザーの利用できる機能やアクセス権限が制限されることになるため、内部の従業員であれば「メンバー」を選択することが一般的だ。さらに、ユーザーの「利用場所」も設定する。これは、ユーザーが主に活動する地理的な場所を示すもので、例えば「United States」など、該当する地域を選択する。これらの情報をすべて入力し終えたら、ページ下部にある「確認 + 作成」ボタンをクリックし、最後に「作成」ボタンを選択することで、新しい内部ユーザーのアカウントがシステムに登録される。

組織の外部にいる協力者やパートナーを一時的にシステムに招待する必要がある場合もある。例えば、特定のプロジェクトのために協力会社の人員に一時的なアクセス権を提供したい場合がこれにあたる。このような場合、「外部ユーザーの招待」機能を利用する。手順は内部ユーザーの作成と似ているが、管理画面で「+ 新しいユーザー」を選択した後、「外部ユーザーの招待」オプションを選ぶ点が異なる。招待したい外部ユーザーのメールアドレスと、システム上で表示される表示名を指定する。また、招待メールに含めるメッセージも入力できる。これは、外部ユーザーが招待を受け取る際に確認するメッセージとなる。情報を入力したら「確認 + 作成」ボタンをクリックし、続けて「作成」を選択することで、招待メールが送信され、外部ユーザーのアカウントがシステムに登録される。

ユーザーアカウントを作成しただけでは、そのユーザーは何の権限も持たない状態だ。システム内で特定の作業を行ったり、情報にアクセスしたりするためには、そのユーザーに適切な「ロール（役割）」を割り当てる必要がある。ロールとは、特定の権限の集合体であり、システム管理者はユーザーの職務に応じて適切なロールを付与することで、セキュリティを維持しつつ、ユーザーが必要な作業を行えるようにする。これは「最小権限の原則」と呼ばれ、セキュリティ管理の基本となる考え方だ。つまり、ユーザーには必要最小限の権限のみを与えるべきだという原則である。

例えば、以前に作成した「Bhogeswar Kalita」というユーザーに、特定のロールを割り当てることを考える。まず、Microsoft Entra admin centerにアクセスし、ログインする。左側のメニューから「ID」セクションを開き、「ユーザー」、次に「すべてのユーザー」を選択する。一覧の中から目的のユーザー、「Bhogeswar Kalita」を選択してクリックする。ユーザーの詳細画面が開いたら、そのメニューの中から「割り当てられたロール」を選択する。ここで、現在そのユーザーに割り当てられているロールを確認できる。新しいロールを追加するには、画面上部にある「+ 割り当てを追加」ボタンをクリックする。

次の画面で、割り当てるロールを選択する。「ロールの選択」ドロップダウンメニューから、例えば「Attribute Definition Reader」というロールを選ぶ。このロールは、属性定義を読み取るための権限を提供するもので、例えばユーザーの属性情報を参照することはできるが、それを変更することはできないといった、参照のみの権限を持つ場合に利用される。ロールを選択したら、「次へ」ボタンをクリックして進む。そして、「割り当ての種類」として「割り当ての対象」というオプションを選択する。これは、そのロールが一時的に、または特定の条件の下で有効になるよう設定できることを意味し、常に権限が付与されている状態ではなく、必要な時だけ特定の権限をアクティブにすることで、セキュリティリスクをさらに低減できる高度な管理方法だ。最後に「割り当てる」ボタンをクリックすることで、選択したロールがユーザーに付与され、そのユーザーは新しい権限に基づいてシステム内で作業を行えるようになる。これらのユーザー管理とロール割り当てのプロセスは、システムの安全性と運用の効率性を確保するために不可欠な基礎作業となる。