Microsoft Entra IDは今週、2つの重要なアップデートを発表しました：Identiverse 2026からのエンタープライズ環境におけるAIエージェントの蔓延に関する驚くべき発見と、SAPアイデンティティシステムとの統合深化により、Entra ID GovernanceをSAP Identity Managementの戦略的後継として位置づけるものです。両発表は、AI時代におけるアイデンティティ管理を行うIT管理者に重要な意味を持ちます。
AIエージェントはどこにでもいる：Identiverse 2026ラウンドテーブルの洞察
Identiverse 2026で、Microsoft Securityは10の同時ラウンドテーブルディスカッションにわたる150人のアイデンティティ専門家を集めたPower Breakfastを主催しました。参加者は金融サービス、医療、政府、エネルギーセクターから来ており、AI採用のあらゆる段階を代表していました。調査結果は、AIエージェントガバナンスの現状を厳しく描いています。
エージェントの蔓延は現在の現実
10のラウンドテーブルのうち9つが、管理されていないエージェントの蔓延を未来のリスクではなく現在の現実として説明しました。数十のエージェントから始まったものが、数ヶ月または数週間で数万に成長しました。ある参加者は、デモ中に偶然企業テナントに44,000のエージェントを発見したと報告しました。単一の監査では全体像を把握できず、実践者は最終的に確認した際、予想よりもはるかに多くのエージェントを発見しました。
シャドーAIと所有者のいないエージェント
10のラウンドテーブルのうち8つが、シャドーAIが既に組織内に存在し、単一のガバナンスレイヤーがカバーしていないプラットフォーム間で実行されていると述べました。これらのエージェントは、ネットワークログを通じてのみ追跡されています（追跡されている場合）。10のうち9つが所有者のいないエージェント問題を提起しました：エージェントは作成者のアイデンティティに結び付けられ、その人が役割を変えたり組織を離れたりした後も長く実行され続けます——未レビューで、過剰な権限を持ち、検出されていません。
エージェント間チェーン：最も困難な課題
10のラウンドテーブルのうち8つが、エージェント間チェーンを遭遇した最も困難なセキュリティ課題として特定しました。複数のチームが、チェーン全体で一貫したガバナンスを維持できないことを発見した後、エージェント間デプロイメントをロールバックしました。ある参加者が指摘したように：「A地点からB地点までは制御できるが、B地点がC地点と通信する必要がある時、そこでコンテキストが失われる。」
3つの実行可能な出発点
Microsoftは、エージェントの蔓延に対処する組織向けの3つの実用的なステップを概説しました：
1. まずインベントリを構築する。 Microsoft Entra管理センターの Entra ID > エージェント > エージェントの概要 で開始し、アイデンティティを持つエージェントの総数、最近作成された数、アクティブな数、管理されていない数を確認します。Microsoftエコシステム外で実行されているエージェントについては、Agent 365 CLIおよびSDKまたはフェデレーションアイデンティティクレデンシャルを使用して登録します。移行する必要はありません——レジストリに取り込み、可視化してガバナンスの対象にする必要があります。
2. すべてのエージェントに所有者とスポンサーを割り当てる。 Microsoft Entra Agent IDのすべてのエージェントアイデンティティには、スポンサー（エージェントの行動に責任を持つ人）と所有者（技術管理に責任を持つ人）が必要です。作成時にブループリントレイヤーで両方を割り当てます。誰かが組織を離れると、Microsoft Entraライフサイクルワークフローがその人に関連するすべてのエージェントの所有権レビューを自動的にトリガーできます。
3. 権限を厳密にスコープし、ブループリントレベルで条件付きアクセスを適用する。 すべてのブループリントで列挙スコープを使用します：エージェントが必要とする特定の委任権限のみ。ユーザーの代理で行動するエージェントには、ユーザーレベルのアクセスポリシーが適用されるようにon-behalf-ofフローを使用します。自律エージェントには、狭くスコープされたクライアントクレデンシャルフローを使用します。条件付きアクセスポリシーをブループリントレベルで適用します——エージェントごとではなく——そのブループリントから作成されたすべてのエージェントインスタンスが自動的にポリシーを継承するようにします。
ライセンスの考慮事項
2026年7月から、エージェント固有の条件付きアクセスとアイデンティティ保護を含むエージェントセキュリティ機能には、Microsoft 365 AgentまたはM365 E7ライセンスが必要です。組織は、テナントがAgent 365適格ライセンスを持ち、必要な管理者に割り当てられていることを確認する必要があります。Microsoft DefenderのSecurity for AI Agentsトグルを有効にし、SOCチームはAdvanced Huntingクエリを従来のAIAgentInfoテーブルから新しいAgentInfoテーブルに更新する必要があります。
Microsoft EntraでSAPアイデンティティ管理を近代化
7月23日、MicrosoftはSAP Identity Management (SAP IDM)からクラウドネイティブアイデンティティプラットフォームへの移行を目指す組織向けに、Microsoft EntraでのSAPアイデンティティ管理の近代化に関する詳細なガイダンスを発表しました。
統合深化の能力
過去2年間で、Microsoft EntraとSAPは相互運用性を継続的に深化させてきました。主なアップデートには以下が含まれます：
- より柔軟なプロビジョニングパターン、Microsoft EntraとSAP Cloud Identity Services間でより幅広いデプロイメントモデルをサポート
- Microsoft Entraユーザーのカスタム拡張属性、SAP固有のシナリオ用、アイデンティティデータをSAPアプリケーションの要件に合わせやすくする
- アカウントディスカバリー、SAP Cloud Identity ServicesでMicrosoft Entraユーザーとまだ相関していないアカウントを特定、手動調査を削減しガバナンスを強化
- OAuth 2.0クライアントクレデンシャルサポート、Microsoft EntraとSAP Cloud Identity Services間のサービス間通信を保護、古く安全性の低い認証方法を置き換え
- Entra ID GovernanceとSAP Identity Access Governance (IAG)の統合、組織がEntraアクセスパッケージを通じてSAPビジネスロールを他のアクセス権と共に要求・管理できるようにする
SAP IAG統合の仕組み
ユーザーがMicrosoft Entraを通じてSAPビジネスロールを含むアクセスパッケージの割り当てを要求すると、リクエストは自動的にSAP Identity Access Governanceに送信されます。SAP IAGは独自のガバナンスプロセス内で承認と追加チェックを実施します。このアプローチは、Entraのエンタープライズ全体のアクセスパッケージをSAP IAGで利用可能なビジネスロールとリスクコンテキストに接続し、SAPおよび非SAPアプリケーション全体の統合ガバナンスエクスペリエンスを作成します。
顧客成功事例：Cenibra
セルロース企業のCenibraは、Microsoft Entra ID Governanceを使用して、SAPをコアプラットフォームとして含む80以上のシステムでアイデンティティ管理を近代化しました。このアプローチは手動作業の削減、監査準備の向上、よりスケーラブルなアクセス管理基盤の構築に役立ちました——複雑なエンタープライズ環境におけるEntra-SAP統合の実用的価値を実証しています。
SAP向けのより広範なMicrosoftセキュリティコンテキスト
アイデンティティは、セキュリティ環境でSAPを保護するための基盤を確立します。MicrosoftはNISTサイバーセキュリティフレームワークに整合した追加のSAP認識能力を提供します：
- 特定： Microsoft PurviewがSAP Datasphereを通じてMicrosoft Fabricにミラーリングされたデータを含む機密性の高いSAPデータを発見・分類
- 保護： Microsoft DefenderがSAPアプリケーション周辺のエンドポイント、サーバー、クラウドリソースを保護
- 検出： Microsoft SentinelがSAP認定ソリューションの組み込み分析ルールでSAPシグナルを接続してインシデントを検出
- 対応： Microsoft Security Copilotが調査を加速しSAPインシデントの対応をガイド
SAP IDM移行の推奨アクション
SAPアイデンティティ戦略を評価する組織向けに、Microsoftは段階的アプローチを推奨します：
- SAPアイデンティティランドスケープ評価を実施 — 対象範囲のSAPシステム、SAP IDMが現在管理しているもの、SAP IDMにデータを供給する権威ソースを特定
- Entra-SAP統合モデルを設計 — SAPアイデンティティ属性をEntra拡張属性にマッピング、アカウントディスカバリーと照合を計画、OAuth 2.0クライアントクレデンシャルを設定
- Entra ID GovernanceとSAP IAGを統合 — EntraでSAP IAGロール割り当てをトリガーするアクセス要求ワークフローを確立し、責任分担を定義
- SAP IDM移行・退役を計画 — 共存から開始し、段階的切り替えに移行し、最後に退役を完了
- より広範なEntra・AIセキュリティイニシアチブと整合 — SAPアクセスにゼロトラスト原則を適用、SAP統合サービスアカウントをワークロードアイデンティティとしてガバナンス
あなたの組織にとっての意味
これら2つの発表は、すべてのアイデンティティ——人間、AIエージェント、SAPサービスアカウント問わず——をEntraアイデンティティファブリック内の第一級のガバナンス可能なエンティティにするというMicrosoftのより広範な戦略を反映しています。IT管理者にとってのメッセージは明確です：AIエージェントの蔓延管理とSAP IDMのようなレガシーIAMシステムの近代化ツールは今利用可能であり、行動しないことのコストは毎月増大しています。
組織がガバナンスなしでAIエージェントをデプロイしている場合は、今すぐEntra管理センターのインベントリから始めてください。SAP IDMを実行している場合は、SAPが2026年11月にSuccessFactors APIの基本認証を廃止する前に、Entra ID Governanceへの移行パスの計画を開始してください。
https://x.com/kkaminsk で会話をフォローし、Microsoft Entra IDのアップデートとアイデンティティセキュリティの洞察の継続的な報道を入手してください。