Microsoft Entra IDのアップデートが7月も矢継ぎ早にリリースされています。先週発表されたパスキー既定化のビッグニュースが全IT部門に衝撃を与える中、Microsoftは7月14日から18日にかけていくつかの重要なアップデートを静かにリリースしました。WindowsのSSOプロンプト管理からMCP認可パターン、ディレクトリレベルの暗号化管理まで、包括的にお伝えします。

1. WindowsにおけるSSOプロンプトの管理者制御

発表日: 2026年7月14日 ソース: Microsoft Learn

この機能が解決する課題

欧州経済領域（EEA）において、MicrosoftはWindowsのサインイン動作を変更し、ユーザーがWindowsにサインインした後、他のMicrosoftアプリやサービスに自動的にサインインされないようにしました。代わりに、Windowsはユーザーに同意ダイアログ「引き続きサインインしますか？」を表示し、Windows資格情報を使用して追加のアプリやサービスにアクセスするかどうかを確認するようになりました。

これは規制遵守を目的とした措置であり、ユーザーが自身のWindowsアカウントの使用方法を選択できるようにするものです。しかし、IT部門がすでにサインインポリシーと信頼関係を管理している管理エンタープライズ環境では、このプロンプトが不要な摩擦とサポートチケットを生み出しています。

解決策

2026年7月の月例セキュリティ更新プログラム（KB5101650） を適用したWindows 11 バージョン24H2および25H2以降、IT管理者はレジストリポリシーを展開して、管理対象のWindowsデバイスでSSO権限を自動的に承諾させることが可能になりました。

レジストリパス: HKLM\SOFTWARE\Policies\Microsoft\Windows\AAD 値: AutoAcceptSsoPermission（DWORD）= 1

展開オプション

このポリシーは以下の方法で展開できます。

  • グループポリシー（GPO） — 従来のADベースの展開
  • Microsoft Intune または類似のMDMツール
  • Microsoft Configuration Manager
  • レジストリポリシーの展開をサポートするあらゆる管理ツール

重要なスコープ制限

  • ✅ 適用対象: Microsoft Entra IDアカウントを使用する管理対象Windowsエンタープライズデバイス
  • ❌ 個人アカウント（MSA）: 管理者制御は利用不可 — プロンプトは残る
  • ❌ 非管理デバイス: 管理者制御は利用不可 — プロンプトは残る
  • 対応OS: Windows 11 バージョン24H2および25H2のみ（KB5101650適用済み）

IT管理者が取るべきアクション

  1. デバイスがWindows 11 24H2または25H2で、2026年7月のセキュリティ更新プログラムを適用していることを確認する
  2. 優先する管理ツールを使用してレジストリポリシーを展開する
  3. 管理対象デバイス全体でSSO動作を検証する
  4. 展開後に予期しないプロンプトが表示されないか監視する

特にEEAで運用している、またはEEAのユーザーにサービスを提供している企業のIT管理者にとって、シンプルながらも歓迎すべき変更です。

2. Entra Connect Sync v2.6.84.0：セットアップウィザードにパスキーが登場

発表日: 2026年7月7日〜14日 ソース: Microsoft Learn

Microsoft Entra Connect Syncは、いずれCloud Syncに置き換えられ廃止される可能性がありますが、現在も有意義なアップデートを受け続けています。バージョン2.6.84.0（撤回された2.6.79.0の後継）は、いくつかの重要なセキュリティおよび機能強化をもたらします。

主要機能：セットアップウィザードでのパスキー認証（プレビュー）

管理者は、Microsoft Entra Connectの設定時に、Windows Web Account Manager（WAM）を介してパスキーおよびFIDO2セキュリティキーを使用してサインインできるようになりました。これはプレビュー機能であり、レジストリ経由で有効にする必要があります。

# パスワードレス認証を有効化
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Azure AD Connect" -Name "EnablePasswordlessAuth" -Value 1 -PropertyType DWORD -Force

有効化後、インストーラを実行する際にサインインオプション → 顔、指紋、PIN、またはセキュリティキーを選択し、登録済みのパスキーまたはセキュリティキーでプロンプトを完了します。

これは、管理ワークフローからパスワードを排除するというMicrosoftの広範な取り組みに沿ったものです。ID同期を構成するのに、パスワードは必要ないはずです。

v2.6.84.0のその他の注目すべき変更点

France Sovereign Cloud 対応:

  • パススルー認証、シームレスSSO、パスワードライトバック、Health AgentモニタリングがFrance Sovereign Cloud環境でサポートされました

セキュリティ強化:

  • アプリケーションベース認証が失敗した場合に従来のディレクトリ同期アカウントへ黙ってフォールバックしなくなりました。ウィザードは明確なエラーを表示して停止します
  • バックグラウンド同期時に、既存サーバーが従来のディレクトリ同期アカウントからアプリケーションベース認証へ自動的に切り替わることはなくなりました
  • PowerShellコマンドレット（Set-ADSyncAADCompanyFeature、Set-ADSyncAADPasswordSyncState）では、対話型の管理者認証に明示的な -AADUsername が必要になりました
  • TPMベースの証明書処理が改善されました。署名機能を事前にテストし、TPM署名検証を正しく処理します

PHS自己修復の削除:

  • Password Hash Syncは、バックグラウンドでクラウド機能フラグを自動的に再有効化しなくなりました。PHSを無効化した場合、管理者が明示的に再有効化する必要があります。これにより、サイレントな構成のずれを防止します。

バンドルコンポーネントのアップグレード:

  • MSAL: 4.64.1 → 4.83.3
  • SQL LocalDB: SQL Server 2019 → SQL Server 2022
  • Visual C++ 再頒布可能パッケージ: 2013 → 2015-2022（14.42.34438）
  • VC++ 2013 再頒布可能パッケージの依存関係が削除されました

アクション項目

Entra Connect Syncを運用している場合は、v2.6.84.0へのアップグレードを計画してください。サイレントフォールバックの排除、対話型の管理者認証、TPM処理などのセキュリティ改善だけでもアップグレードの価値があります。セットアップ時にパスキー認証を試したい場合は、ウィザードを実行する前にレジストリキーを有効化してください。

3. Entra IDとApp ServiceによるMCP Enterprise-Managed Authorization

発表日: 2026年7月16日 ソース: Microsoft Tech Community

Model Context Protocol（MCP）はAIエージェントの標準的な接続レイヤーとなりつつあり、Microsoftは組織がエージェントのツールおよびサービスへのアクセスを管理する上で、Entra IDが中心的な役割を果たすようにしています。

Enterprise-Managed Authorization（EMA）とは

EMAは安定版のMCP拡張機能（2026年6月18日以降）であり、AIエージェントとそのユーザーがMCPサーバーを使用するための認可の仕組みを根本的に変革します。従来のサーバーごとのOAuth同意フロー（新しいMCPサーバーごとにブラウザリダイレクトとユーザークリックが必要）の代わりに、EMAでは組織のIDプロバイダーをポリシー決定ポイントとします。

フローの仕組みは以下の通りです。

  1. SSO認証: MCPクライアントは、OpenID ConnectまたはSAMLを介してエンタープライズIdPでユーザーを認証します
  2. ID-JAGの発行: IdPは Identity Assertion JWT Authorization Grant（ID-JAG） を発行します。これは有効期間が短く、特定の対象に限定されたJWTであり、ユーザーのIDと組織ポリシーを検証します
  3. トークン交換: クライアントはID-JAGをMCPサーバーの認可サーバーに提示し（RFC 7523 JWT Bearer Grantを使用）、リソース固有のアクセストークンを受け取ります
  4. 同意画面は不要 — IdPがすでにポリシーを評価済みです

Entra IDとApp Serviceの役割

Microsoftのガイダンスでは、Azure App Serviceを使用して、強力にガバナンスされたMCPエンドポイントを現在構築する方法を示しています。

  • App Service Authentication はアプリケーションの前に配置され、リクエストがPythonプロセスに到達する前にMicrosoft Entraアクセストークンを検証します
  • App ServiceはMCPリソースサーバーとして機能できます
  • 完全なEMAフローを実現するには、エンタープライズIdPがID-JAGを発行できる必要があります（RFC 8693トークン交換経由）
  • Microsoftは、ローカルID-JAGラボを含む完全なPythonリファレンス実装をGitHubで提供しています

現在のサポート状況

コンポーネントステータス
MCP EMA拡張機能安定版（2026年6月18日）
Okta（XAA）最初の実運用IdPサポート
Entra ID ID-JAG発行まだ正式発表なし
Anthropicクライアント対応済み（Claude、Claude Code、Cowork）
VS Code対応済み
サーバーAsana、Atlassian、Canva、Figma、Granola、Linear、Supabase

Entra ID管理者にとっての重要性

Entra IDのネイティブID-JAG発行はまだGAされていませんが、この発表が重要な理由は以下の通りです。

  1. アーキテクチャを定義: Microsoftは、Entra ID + App ServiceがMCPサーバーの認可境界として機能する方法を示しています
  2. Entra Agent IDとの整合: エージェントIDは同じポリシーフレームワークでファーストクラスのガバナンスを受けます
  3. MCP 2026-07-28仕様が登場予定: この仕様はステートレスのプロトコル変更とEMA拡張機能を正式化します。組織は今から計画を始めるべきです
  4. セキュリティチームが一元管理可能: MCPサーバーへのアクセス権の付与と取り消しを一箇所で行え、監査証跡も取得できます

AIエージェントインフラを構築している組織にとっては必読の内容です。

4. ディレクトリデータの保存時暗号化の設定が可能に

発表日: 2026年7月10日〜15日頃 ソース: 公式のMicrosoft発表を引用したサードパーティ分析

Microsoftは、Entra IDのディレクトリストアに対するここ数年で最も重要なセキュリティ強化を展開しました。属性単位の粒度とカスタマー管理キーをサポートする、ディレクトリオブジェクトの保存時暗号化の設定機能です。

新機能

属性単位の暗号化管理: 管理者は、Microsoft Graph APIを通じて公開された新しい Encryption Policy オブジェクトを使用して、電話番号、MFAシークレット、カスタム拡張フィールドなどのリスクの高いディレクトリ属性に対して、強化された暗号化保護を選択的に適用できます。

PATCH https://graph.microsoft.com/v1.0/directory/encryptionPolicies/{policyId}
{
  "attributes": [
    "extensionAttribute1",
    "mobilePhone",
    "authMethods"
  ],
  "encryptionType": "AES256",
  "scope": "User"
}

これは一律の暗号化ではなく、ターゲットを絞ったものです。コンプライアンスチームは、レガシー統合を壊したり、重要でない属性の読み取りにレイテンシを追加したりすることなく、機密データを保護できます。

カスタマー管理キー（CMK）: Entra IDは、Azure Key Vault対応のキーを使用した保存時暗号化のカスタマー管理キーをサポートするようになりました。これにより、これまでMicrosoft管理キーのみでは主権データ要件を満たせなかった規制業界にとって長年のギャップが解消されます。

ポータル操作: 管理ポータルでは、Identity Governance > Protection Policies の下に属性暗号化が表示され、各ポリシー変更の監査ログが記録されます。API応答には、属性ごとに encryptionStatus プロパティが含まれ、プログラムによるコンプライアンス検証が可能です。

把握すべき制限事項

  • オブジェクトのサポート: 属性暗号化はユーザーオブジェクトとグループオブジェクトでのみ利用可能。サービスプリンシパル、デバイス、アプリ登録はまだ対象外です
  • ライセンス: カスタマー管理キーにはEntra ID P2ライセンスが必要です
  • 監査ログの保持: 暗号化ポリシー変更の監査ログはデフォルトで90日間保持されます（コンプライアンス要件に応じてより長い保持期間を設定可能）

2026年第4四半期に予定（パブリックプレビュー）

Microsoftは以下の2つのプレビュー機能を発表しています。

  • 細粒度のキーローテーション: 属性またはユーザーグループごとに暗号化キーをローテーションし、侵害時の影響範囲を最小化
  • 条件付き暗号化: Identity Protectionのリスクシグナルに基づくポリシードリブン型暗号化 — 高リスクと判定されたユーザーにはより強力な暗号化を適用

評価

これらの機能が一次資料のMicrosoftドキュメントで確認された場合、IDデータの保存時暗号化を細かく制御する必要がある規制業界（医療、金融、政府）の組織にとって、これは大きな進歩となります。属性単位のアプローチは特に優れており、一律の暗号化によるパフォーマンスへの影響を回避しながら、最も機密性の高いフィールドを確実に保護できます。

5. Microsoft Graph API 2026年7月アップデート

発表日: 2026年7月16日 ソース: Microsoft Learn - Microsoft Graphの新着情報

7月のGraph APIアップデートでは、v1.0への昇格と新しいプレビュー機能が混在しており、開発者がEntra IDをプログラムから利用できる範囲が広がります。

v1.0の新機能（プロダクション対応）

アクセスレビュー向けBYODアップロードAPI: Bring Your Own Data（BYOD）アップロードAPIがベータからv1.0に昇格し、アクセスレビューのために外部アクセスデータをアップロードできるようになりました。これには customDataProvidedResourceUploadSession ベースリソースおよび関連タイプが含まれ、組織は外部アクセスデータをEntra ID Governanceに取り込んでレビューできます。

fileStorageContainerのバッチ権限 Upsert: ファイルストレージコンテナに対する1回のリクエストあたりの権限操作上限が10から40に増加しました。これはSharePointおよびTeamsのプロビジョニングワークフローにとって有意義な改善です。

ユーザーリソースのsponsorOfリレーションシップ: ユーザーリソースタイプに新しい sponsorOf リレーションシップが追加されました。これはユーザーがスポンサーとなるディレクトリオブジェクトを表し、Entra Agent IDのスポンサーシップライフサイクルモデルを直接サポートします。

プレビューの新機能

プログラムによるFIDO2パスキー登録: 開発者は creationOptions 関数を使用してWebAuthn資格情報作成オプションを取得し、新しい publicKeyCredential プロパティを fido2AuthenticationMethod リソースにPOSTすることで登録を完了し、プログラムでパスキーを登録できるようになりました。これにより、標準のセキュリティ情報ポータル以外のカスタム登録フローが可能になります。

変更通知のWeb Pushエンドポイント: Microsoft Graphサブスクリプションが、ブラウザネイティブのWeb Push配信を新しいプロパティ（vapidPublicKey、webPushEncryptionP256dhPublicKey、webPushEncryptionSecret）を介してサポートします。ブラウザベースのアプリケーションは、公開Webhookを運用することなく、W3C Push APIチャネルを通じて変更通知を受信できます。これはクライアントサイド開発者にとって大きな簡素化です。

Windows 365 for Agentsの組織管理: 新しい cloudPC: organizationAction メソッドと cloudPC: retrieveOrganizationActionDetail メソッドが、Windows 365 for Agentsの組織のアクティブ化または非アクティブ化をサポートします。

Lifecycle Workflowsの拡張:

  • 進行中またはキューに入ったワークフロー実行をキャンセルする cancelProcessing メソッド
  • 実稼働ユーザーに影響を与えずに検証するためのワークフロープレビュー操作
  • 設定可能なしきい値（quarantineConfiguration プロパティ）による自動隔離

アクセスパッケージの提案: 新しい accessPackageSuggestion リソースタイプと filterByCurrentUser 関数により、関連する人脈インサイトと割り当て履歴に基づいて、パーソナライズされたアクセスパッケージの提案を提供します。

アクセスパッケージ内のPIMベースロール割り当て: accessPackageResourceRole の type プロパティが、Azureリソースロールがアクティブか有資格かを示し、アクセスパッケージ内でのPIMベースのロール割り当てを可能にします。

Verified IDのカスタムクレーム検証: 新しい onVerifiedIdClaimValidationCustomExtension および onVerifiedIdClaimValidationListener リソースタイプが、認証フロー中のVerified ID資格情報提示からのクレーム検証におけるカスタムロジックをサポートします。

Defender統合: 新しい alert: moveAlerts アクションと incident: mergeIncidents アクションが、Microsoft Defenderでのアラート移動とインシデント統合をサポートします。

Entra Connect Sync: onPremisesDirectorySynchronizationFeature リソースに新しい allowOnPremUpdateOfOnPremisesObjectIdentifierEnabled プロパティが追加されました。

優先して取り組むべき事項

ほとんどの組織にとって、今回のアップデートから優先すべき事項は以下の通りです。

  1. EEAで管理対象Windowsデバイスを運用している場合は、SSO管理制御レジストリポリシーを展開する — 低コストで効果の高い対策です
  2. Entra Connect Sync v2.6.84.0へのアップグレードを計画する — セキュリティ強化だけでも価値があります
  3. AIエージェントインフラを構築している場合は、MCP EMAパターンを評価する — アーキテクチャが明確になりつつあり、事前の計画で手戻りを防げます
  4. ディレクトリの保存時暗号化に関する公式ドキュメントを注視する — 確認された場合、どの属性に強化された保護を適用すべきかの計画を開始しましょう
  5. カスタム登録フローが必要な場合は、プログラムによるパスキー登録を検討する — Graph APIがすでに対応しています

Entra IDの革新ペースは加速し続けています。先週のパスキー既定化の発表が注目を集めましたが、これらのアップデートは総合的に、SSO管理やID同期セキュリティからAIエージェントガバナンス、ディレクトリレベルの暗号化管理に至るまで、プラットフォームの大幅な成熟を表しています。

Entra IDの最新アップデートについては、X（Twitter）で @kkaminsk をフォローし、このブログを定期的にチェックしてください。Big Hat Group Inc. はAIおよびID技術に特化したMicrosoftコンサルティングサービスを提供しています。