Microsoft Entra ID 2026年7月下旬:パスキー登録の最適化、テナントガバナンス、Kerberos RC4 の最終強制適用、Entra-Defender 統合

2026年7月最終週は、認証、マルチテナント管理、プロトコルセキュリティ、セキュリティ運用の統合にわたる、多岐にわたる Microsoft Entra ID のアップデートが提供されました。パスキー登録の改善から、元に戻すことのできない Kerberos RC4 の廃止まで、ID 管理者が知っておくべき変更点をご紹介します。

MC1440968:パスキー登録の最適化

7月27日、Microsoft はメッセージセンターの通知 MC1440968 で、Entra ID のパスキー登録エクスペリエンスの最適化を発表しました。これらの変更は、登録キャンペーン (Registration Campaign)、認証強度 (Authentication Strengths)、My Sign-Ins の3つの登録画面を対象としています。

変更内容

更新された登録ロジックには、2つの重要な改善が導入されています。

1. ポリシー準拠の登録ガイダンス — 管理者が構成したパスキープロファイルの制限に準拠するパスキータイプの登録がユーザーに案内されるようになります。これにより、失敗する登録試行や非準拠の登録試行が減少します。特に、許可されるパスキープロバイダーを制限する AAGUID 制限付きプロファイルを使用している組織にとって重要です。

2. ローカルデバイスの優先 — ポリシーで許可されている場合、登録はユーザーが現在使用しているデバイスにネイティブなパスキーを優先します。これにより、ユーザーが実際に使用しているデバイスにデバイスバインド資格情報を登録できるようになり、別のデバイスからの同期パスキーに誘導されることがなくなるため、サインインエクスペリエンスが向上します。

重要である理由

パスキープロファイル(特にデバイスバインドのみ、構成証明 (attestation) 必須、または AAGUID 制限付きの構成)に投資してきた組織は、登録時に摩擦を経験している可能性があります。ユーザーが管理者構成のプロファイルと一致しないパスキータイプを登録しようとすると、試行が失敗し、サポートチケットが発生することがあります。これらの最適化はそのギャップを埋めます。

スケジュールと必要なアクション

• 展開: 2026年8月下旬(全世界および GCC)
• ユーザーインターフェイスの変更: なし
• 管理者のアクション: 不要
• 影響: Registration Campaign、Authentication Strengths、または My Sign-Ins を通じてパスキーを登録するすべてのユーザー

これは、構成変更を必要とせずにパスキーの導入をスムーズにする、舞台裏の改善です。現在9月のパスキー移行(2027年2月の SMS/音声認証の廃止に先立つもの)を計画している場合は、これらの最適化により登録時の摩擦が軽減されます。

Entra テナントガバナンス:集中型マルチテナント管理(プレビュー)

7月30日の「What’s New in Microsoft Security:July 2026」ブログの一部として発表された Entra テナントガバナンス (Entra Tenant Governance) は、Entra 管理センターで表示できるようになり、プレビューで利用可能になりました。この機能は、複数の Entra テナントを管理する組織の長年の課題に対処します。

機能

テナントガバナンスは、ガバナンスリレーションシップ、つまりガバナンステナントと1つ以上の被ガバナンステナントとの間の方向性のある接続を確立します。これにより、以下が可能になります。

• テナント間の委任管理 — 管理者はガバナンステナントのアカウントを使用してサインインします。各被ガバナンステナントでローカルまたは B2B の管理者アカウントを作成・管理する必要はありません。
• テナント構成の管理 — 委任されたアクセスを使用して、被ガバナンステナントが組織のセキュリティおよびコンプライアンスの目標を継続的に満たしていることを確認します。
• 安全なテナント作成 — 既存のテナントから作成された新しい追加 (add-on) テナントには、デフォルトのポリシーテンプレートを備えたガバナンスリレーションシップが自動的に設定されます。

動作の仕組み

ガバナンスリレーションシップの設定は、3段階のハンドシェイクに従います。

1. 将来の被ガバナンステナントが、将来のガバナンステナントにガバナンス招待を送信します。
2. 将来のガバナンステナントが、選択したガバナンスポリシーテンプレートを使用してガバナンス要求を送信します。
3. 将来の被ガバナンステナントが要求を確認して受け入れ、リレーションシップを確立します。

ガバナンスポリシーテンプレート

テンプレートはテナントガバナンスの構成要素です。各テンプレートは以下を定義します。

• 委任された管理者ロール — ガバナンステナントのユーザーが被ガバナンステナント内で保持する組み込みの Entra ロール。ガバナンステナント内のグループを介して割り当てられます。
• マルチテナントアプリケーション — 被ガバナンステナント間で作成・管理できるカスタムマルチテナントアプリ。

テンプレートは複数のガバナンスリレーションシップ間で再利用でき、一貫したアクセスポリシーを確保できます。リレーションシップを作成すると、テナントガバナンスはテンプレートのスナップショットを取得します。テンプレートを更新しても、既存のリレーションシップは自動的に更新されません。更新を適用するには、要求と受け入れのプロセスを繰り返す必要があり、被ガバナンステナントが常に権限の変更を確認する機会を持つことが保証されます。

既存ツールとの違い

すべてのテナントガバナンス機能を管理するために、新しい テナントガバナンス管理者 ロール(テンプレート ID:1981f584-96e9-4a6f-95b0-f522373f8fae)が追加されました。

重要である理由

買収、子会社構造、テスト/本番の分離など、複数の Entra テナントを持つ組織にとって、テナントガバナンスは各テナントで個別の管理者アカウントを維持する運用上のオーバーヘッドを排除します。3段階のハンドシェイクにより双方が同意したうえで関係を確立でき、ポリシーテンプレートのアプローチにより、一貫性がありレビュー可能なアクセス制御が提供されます。

Kerberos RC4 の最終強制適用:期限はすでに到来

2026年7月14日は、Kerberos RC4 の廃止において後戻りできない時点となりました。7月の Patch Tuesday アップデートにより、Microsoft はドメインコントローラーが監査モードにフォールバックできるようにしていた RC4DefaultDisablementPhase レジストリキーを完全に削除しました。強制適用が唯一の状態となりました。

3段階のタイムライン

影響を受けるもの

次の msDS-SupportedEncryptionTypes 構成を持つサービスアカウントは、Kerberos 認証がサイレントに失敗します。

• 空/null 属性(暗号化タイプが明示的に設定されていない)
• 0x0(未設定)
• 0x4(RC4 のみ)
• 0x7(DES + RC4)

この障害はサイレントです。エラーダイアログやアラートはありません。ユーザーはサービスにアクセスできないだけで、最初の兆候は通常サポートチケットです。

修復手順

影響を受ける各サービスアカウントに対して:

# Set AES-only encryption (AES128 + AES256 = 0x18 = decimal 24)
Set-ADUser -Identity "svc-myapp" -Replace @{'msDS-SupportedEncryptionTypes'=24}

# CRITICAL: Reset the password to force AES key generation
# Without this step, the account has no AES keys to use
Set-ADAccountPassword -Identity "svc-myapp"

ドメインコントローラー上の GPO によるドメイン全体の強制適用:

HKLM\SYSTEM\CurrentControlSet\services\KDC
DefaultDomainSupportedEncTypes = 0x18 (DWORD)

Java アプリケーションの場合は、krb5.ini を更新します:

default_tkt_enctypes = aes256-cts aes128-cts
default_tgs_enctypes = aes256-cts aes128-cts
permitted_enctypes = aes256-cts aes128-cts

今すぐ対応すべき理由

管理者がレジストリキーを使用してロールバックできた4月の強制適用フェーズとは異なり、7月のアップデートにはドメイン全体の回避策はありません。特定のアカウントで RC4 を再び有効にする唯一の方法は、その個々のアカウントの msDS-SupportedEncryptionTypes に RC4 ビットを明示的に含めることです。これは Microsoft が強く推奨しない方法です。サービスアカウントの監査がまだ済んでいない場合は、今すぐ実行してください。

Entra-Defender 統合:SOC 向け ID レスポンス

7月30日の「What’s New in Microsoft Security」ブログでは、2026年6月に導入された SOC Identity Responder ロールに基づき、Microsoft Entra と Microsoft Defender のより深い統合も強調されました。

新機能

相互接続された Entra と Defender のエクスペリエンスは、現在次のものを提供します。

• Defender からの直接的な ID 封じ込め — SOC アナリストは、広範な Entra 管理者ロールを必要とせずに、最小特権の RBAC モードを使用して Defender ポータルから直接、侵害された ID を無効化できます。
• 共有ユーザーエクスペリエンス — ID およびアクセス管理チームと SOC チームが同じユーザーエクスペリエンスを共有し、製品間のシームを排除します。
• エージェンティックワークフロー — 両チームが、ID 運用とセキュリティ運用にまたがるエージェンティックワークフローの恩恵を受け、インシデント対応を合理化できます。

SOC Identity Responder ロール

SOC Identity Responder ロール(2026年6月にパブリックプレビューとして導入)は、この統合の基盤です。これは以下を提供します。

ロールテンプレート ID: 58f930cc-fcf4-4152-852c-1d7dbf502139

権限:

• microsoft.directory/users/disable
• microsoft.directory/users/enable
• microsoft.directory/users/invalidateAllRefreshTokens
• microsoft.directory/users/password/update

Defender for Identity との統合

Defender for Identity は、Entra ID にエンタープライズアプリケーションを自動的に作成します。ユーザーが Defender ポータルから修復アクションを開始すると、要求はユーザーの Entra ID ロールに基づいて承認され、Defender for Identity アプリケーションによって実行され、RBAC と監査ログが全体を通して適用されます。

重要である理由

アクティブなセキュリティインシデントの発生中は、1分1秒が重要です。SOC アナリストは以前、複数の高特権の Entra ロールを保持するか、ID 管理者が封じ込めアクションを実行するのを待つ必要がありました。SOC Identity Responder ロールと Entra-Defender 統合はそのボトルネックを排除し、適切な最小特権の境界を備えたより迅速な封じ込めを可能にします。

Project Perception:エージェンティックセキュリティ運用

同じく7月27日に発表された Project Perception は、セキュリティ運用のための専門 AI エージェントによる Microsoft の連携システムです。Entra 専用の発表ではありませんが、ID はこれらのエージェントにとっての中核的なシグナルソースです。

エージェントチーム

• Red チームエージェント — 継続的なテストを通じて弱点を暴露
• Blue チームエージェント — 環境全体で検出されたサイバー脅威を調査
• Green エージェント — Red チームと Blue チームが見つけた脆弱性を堅牢化

これらのマルチエージェントの自律ワークフローは、継続的なループで動作し、エンドツーエンドのセキュリティワークフローを実行します。エージェントは、Entra ID の ID データを含むエンタープライズ全体のシグナルを活用して、包括的なセキュリティカバレッジを提供します。

ID 管理者にとっての重要性

Microsoft のエージェンティックセキュリティのビジョンが展開されるにつれて、Entra ID は ID プロバイダーであるだけでなく、AI 駆動のセキュリティ運用にとって重要なシグナルソースになります。ID データをクリーンで適切にガバナンスされ、適切に監査された状態に保つことは、これらのエージェンティックワークフローの有効性に直接影響します。

アクション項目のまとめ

今後の展望

Entra ID の進化のペースに減速の兆しはありません。9月1日にパスキーがデフォルトの認証方法になるのを皮切りに、10月1日のレガシーリスクポリシーの廃止、2027年2月1日の SMS/音声認証の廃止まで、2026年下半期は ID 変革のマイルストーンが目白押しです。Entra と Defender の統合は、Project Perception によるエージェンティックセキュリティと相まって、Microsoft のより広いビジョン、すなわち AI を活用したセキュリティ運用の基盤としての ID を示しています。

最新情報については、X の https://x.com/kkaminsk でディスカッションをフォローし、Microsoft Entra 公式 What’s New ページをご確認ください。