Microsoft Entra ID 2026年8月の更新:Cloud Sync デバイス同期プレビュー、セキュリティグループの入れ子制御、SMS オプトアウト API など

2026年8月の第1週は、ハイブリッド ID、グループセキュリティ、認証の移行、Conditional Access、ワークロード ID フェデレーションに関わる Microsoft Entra ID のアップデートが数多く提供されました。中でも注目は、Entra Cloud Sync がついにデバイス同期をサポートしたことです。Connect Sync からの移行を妨げていた最後の大きな障壁の1つが取り除かれました。ID 管理者が知っておくべきすべての内容を詳しく見ていきましょう。

Entra Cloud Sync デバイス同期（パブリックプレビュー）

今週の最大のニュースは、Microsoft Entra Cloud Sync のデバイス同期のパブリックプレビューです。これまで、ハイブリッド参加のために Active Directory のコンピューターオブジェクトを Entra ID に同期する必要があった組織は、Entra Connect Sync に依存せざるを得ませんでした。これは、クラウドネイティブな Cloud Sync アーキテクチャへの移行を妨げる要因として最も多く挙げられていた障壁の1つです。

機能の概要

デバイス同期では、既存の AD から Entra Cloud Sync 構成内の専用 AD2AADDeviceSync ジョブを使用します。同期後、デバイスは Microsoft Entra ハイブリッド参加が可能になり、ハイブリッド参加状態に依存する Conditional Access、デバイスベースのコンプライアンス、SSO のシナリオが有効になります。

前提条件

Microsoft Entra Provisioning Agent バージョン 1.1.1107 以降
既存の AD から Microsoft Entra ID への Cloud Sync 構成
Entra テナント ID と検証済みドメイン（フェデレーション環境ではフェデレーションドメイン、それ以外では *.onmicrosoft.com）
各 AD フォレストでサービス接続ポイント（SCP）を構成するための Enterprise Admins アクセス権
デバイス同期を構成するための Hybrid Identity Administrator ロール

有効にする方法

Entra 管理センターの場合：

Hybrid Identity Administrator としてサインインします
Entra ID → Entra Connect → Cloud sync の順に移動します
AD から Microsoft Entra ID への構成を選択します
[プロパティ] → [基本] → [編集] の順に移動します
デバイス同期を有効にして [適用] を選択します

Microsoft Graph API の場合：

templateId を AD2AADDeviceSync に設定して同期ジョブを作成します：

POST https://graph.microsoft.com/beta/servicePrincipals/{spId}/synchronization/jobs
Content-Type: application/json

{
  "templateId": "AD2AADDeviceSync"
}

次にジョブを開始します：

POST https://graph.microsoft.com/beta/servicePrincipals/{spId}/synchronization/jobs/{jobId}/start

また、管理センターまたは Graph API からテスト用に個々のデバイスをオンデマンドでプロビジョニングすることもできます。

同期されるデバイス属性

Entra Attribute	AD Attribute	Mapping Type
AccountEnabled	userAccountControl	Expression
DeviceId	objectGUID	Direct
DeviceOSType	operatingSystem	Expression
DeviceTrustType	None (always ServerAd)	Expression
DisplayName	displayName, dNSHostName	Expression
OnPremiseSecurityIdentifier	objectSid	Direct
RegisteredOwnerReference	mS-DS-CreatorSID	Once
SourceAnchor	objectGUID	Direct
UserCertificate	userCertificate	Direct

なぜ重要か

マイクロソフトは、Cloud Sync がハイブリッド ID の戦略的方向性であることを明確にしています。Connect Sync のバージョンは段階的に廃止が進められており、2026 年 9 月 30 日以降も同期を継続するにはバージョン 2.5.79.0 以降が必須です。デバイス同期がプレビューになったことで、デバイス同期への依存を理由に移行できなかった組織にも、ようやく移行の道が開かれました。

移行の進め方： Cloud Sync を Connect Sync と並行して展開し、一部の OU でデバイス同期をパイロット運用し、ハイブリッド参加フローを検証してから、Connect Sync を段階的に廃止します。

セキュリティグループの入れ子制御（disableNesting プロパティ）

マイクロソフトは、Entra ID のセキュリティグループに disableNesting プロパティをひっそりと追加しました。管理者は、重要なグループで入れ子のグループメンバーシップを防ぐことができるようになります。この機能は現在 Graph v1.0 エンドポイントで利用できますが、Entra 管理センターの UI にはまだ公開されていません。

動作の仕組み

セキュリティグループの disableNesting が true に設定されている場合：

ユーザー、サービスプリンシパル、デバイスは引き続きメンバーとして追加できます
別のグループをメンバーとして追加しようとする操作はブロックされます
対象グループまたはメンバー候補のグループのいずれかで disableNesting が true に設定されている場合、入れ子はブロックされます
このプロパティはグループ作成時のみ設定可能です——作成後に更新することはできません

Graph API の例

入れ子を無効にして新しいセキュリティグループを作成する：

$RequestBody = @{
    displayName = "Privileged Access Group"
    securityEnabled = $true
    mailEnabled = $false
    mailNickname = "PrivilegedAccess"
    disableNesting = $true
    description = "Security group with nesting disabled"
}
New-MgGroup -BodyParameter $RequestBody

入れ子が無効なグループをフィルターする：

Get-MgGroup -Filter "securityEnabled eq true and mailEnabled eq false and disableNesting eq true" -All

プロパティを読み取る（$select で明示的に要求する必要があります）：

GET https://graph.microsoft.com/v1.0/groups/{id}?$select=id,displayName,disableNesting

新しいアクセス許可

マイクロソフトは、このプロパティを管理するための細分度の高い Group-NestingSupport.ReadWrite.All アクセス許可を、より広い Group.ReadWrite.All と並んで新設しました。

ユースケース

特権アクセスグループ — 入れ子のメンバーシップチェーンによる隠れた権限昇格を防止
規制/コンプライアンス管理対象リソース — フラットなメンバーシップでアクセスレビューを簡素化
役員アクセスグループ — 明示的で監査可能なメンバーシップを確保
アクセスレビューの対象グループ — 証明プロセスの複雑さを排除

SMS/音声移行の一時オプトアウト API

8 月 1 日、マイクロソフトはパスキーの自動有効化と Registration Campaign 展開のオプトアウト手順をベータ版 Graph API でリリースしました。独自の移行計画を持つ組織は、9 月 1 日の変更を遅らせる一時的な猶予期間を得られます。

オプトアウトの効果

ベータ版 Graph API で optOutSettings.passkeyDynamicMigration を true に設定すると、テナントは一時的に以下から除外されます：

SMS/音声ユーザーに対するパスキーの自動有効化
パスキー登録を促す既定の Registration Campaign 動作

オプトアウトでできないこと

マイクロソフト提供の SMS/音声の 2027 年 2 月 1 日廃止を防ぐことはできません
廃止された SMS/音声方式を再有効化することはできません
パスキーやフィッシング耐性のある方式を無効化することはありません
ご自身の Conditional Access ポリシーの適用対象から免除されるわけではありません

オプトアウト期間は 2026 年 9 月 1 日から 2027 年 2 月 1 日までです。2 月の廃止に対するオプトアウトはありません。

サポートツール

マイクロソフトは、SMS/音声認証をまだ使用しているユーザーを棚卸しするための PowerShell スクリプト entra-sms-voice-usage-analyzer を GitHub で公開しています。オプトアウトを使用するかどうかを決定する前に、これを実行してください：

# Requires Global Reader, Authentication Policy Administrator, or Security Reader role
# Available at: https://github.com/microsoft/entra-sms-voice-usage-analyzer

推奨事項

構造化された移行計画がある場合にのみオプトアウトを使用してください。マイクロソフトは明らかにテナントにパスキーを採用させたいと考えています。オプトアウトする場合は、延長された期間を利用して、パスキー対応プラットフォームの展開、フィッシング耐性のある強度を優先する Conditional Access の更新、ユーザー向けコミュニケーションキャンペーンの実施を行ってください。

MC1223829：リソース除外に対する Conditional Access の適用の改善

マイクロソフトは、ベースラインスコープのみを要求し、リソース除外が 1 つ以上あるアプリケーションが適切に処理されていなかった Conditional Access 適用のギャップを解消しています。展開は 8 月上旬に開始され、2026 年 8 月中旬までに完了する予定です。

影響の評価

ほとんどのテナントでは変更に気付かないでしょう。ただし、この特徴に当てはまるアプリケーション（ベースラインスコープを要求し、除外が 1 つ以上あるアプリケーション）がある場合は、初めて Conditional Access の適用を受ける可能性があります。テナントのメッセージセンターに MC1223829 が表示されているか確認してください。

管理者のアクション

リソース除外を含む CA ポリシーを棚卸しする（特に特定の除外を含む「すべてのクラウドアプリ」）
What If ツールを使用して、除外されたリソースへのサインインをシミュレーションする
異なる適用が必要な場合は、「除外を含むすべてのアプリ」よりもアプリを明示的にターゲットとするポリシーを優先する
シャドウバイパスを防ぐためにリソース固有のポリシーを文書化する

GitHub と GitLab のフェデレーション資格情報の堅牢化

マイクロソフトは、Entra ID ワークロード ID フェデレーションで GitHub Actions と GitLab CI が使用するフェデレーション資格情報を堅牢化するための新しいガイダンスを公開しました。OIDC フェデレーションを使用して CI/CD パイプラインからシークレットレスの Azure デプロイを実現している組織にとって重要な内容です。

主な推奨事項

フェデレーションの範囲を制限する： フェデレーション ID 資格情報は、組織全体ではなく、特定のリポジトリとブランチに制限してください。repo:myorg:* のような広いサブジェクト一致は危険です。代わりに repo:myorg/myapp:ref:refs/heads/main を使用してください。

最小特権を適用する： フェデレーション CI アプリには、必要な Graph アクセス許可のみを付与します（例：Application.ReadWrite.All ではなく Application.ReadWrite.OwnedBy）。

ワークロード ID に Conditional Access を使用する： フェデレーションワークロードが対話型 MFA なしで許可される一方で、発行を既知の発行者と要求に制限する CA ポリシーを作成します。

GitHub Actions のパターン

フェデレーション ID 資格情報を持つ Entra アプリ登録を構成します：

発行者： https://token.actions.githubusercontent.com
サブジェクト： repo:{owner}/{repo}:ref:refs/heads/{branch}
対象ユーザー： api://AzureADTokenExchange

GitHub Actions ワークフローは OIDC トークンを要求し、Entra ID と交換してアクセストークンを取得し、それを使用して Microsoft Graph または Azure Resource Manager を呼び出します——保存されたシークレットは不要です。

Global Secure Access：エグレス IP 範囲と DCA の共存

既存のセキュリティツールと併せて Global Secure Access を展開する組織向けに、2 つの新しいドキュメント更新が提供されました。

エグレス IP 範囲

マイクロソフトは GSA 専用の送信エグレス IP 範囲を公開しました。これらは次のように使用する必要があります：

Defender for Cloud Apps で信頼済み/既知の場所としてマークする
ファイアウォールとプロキシの許可リストに組み込む
ネットワークベースのポリシーでConditional Access の名前付き場所に使用する

DCA 共存ガイダンス

新しいドキュメントでは、GSA と Defender for Cloud Apps が二重プロキシなしで共存する方法が説明されています。これは両方のソリューションを使用する組織にとって重要です——適切に構成しないと、DCA が GSA のエグレス IP を外部トラフィックと見なし、シャドウ IT の可視性とセッション制御の有効性が失われる可能性があります。

管理者のアクション： GSA エグレス IP 範囲を企業の場所として DCA にインポートし、CA + DCA 統合ポリシーが GSA トラフィックを正しく含むことを確認します。

SCIM プロビジョニング：ワークロード ID フェデレーションによるシークレットレス認証

SCIM プロビジョニングのドキュメントが更新され、ワークロード ID フェデレーションを使用したシークレットレス認証が追加されました。これは、SCIM プロビジョニングアプリが最新の認証方法に移行するという 2026 年 4 月の発表と整合しています。

変更内容

SCIM クライアントは、長期間有効なクライアントシークレットの代わりに、フェデレーション資格情報を使用して Entra ID に認証できるようになりました。SCIM プロトコル自体は変わりません——変わるのはプロビジョニングエンジンの認証方法です：

フェデレーション ID 資格情報（例：GitHub OIDC）を持つ Entra アプリを登録します
SCIM ワークロードは外部 IdP から OIDC トークンを取得します
トークン交換を介して、そのトークンを Entra アクセストークンと交換します
SCIM プロビジョニングは、短期間でシークレットベースでないトークンを使用して続行されます

これにより、重大なリスクが解消されます：SCIM 統合は多くの場合、ローテーションされていないクライアントシークレットを持つサービスプリンシパルとして実行されます。

新しいテナント環境アーキテクチャシリーズ

マイクロソフトは、次の内容をカバーする 7 部構成のテナント環境アーキテクチャシリーズを公開しました：

プライマリテナント — 中央の ID 権限
連携する運用テナント — マルチテナントの運用シナリオ
分離された重要システムテナント — 分離すべきタイミング
ビジネスパートナー分離 — B2B と外部 ID のパターン
非運用テナント — 開発/テスト/ステージングの戦略
ハイブリッド ID — オンプレミスの AD と Entra ID の接続

複雑なテナントトポロジを持つ組織にとって必読の内容です。

MC1435782：カスタム CSS 位置指定プロパティの廃止

正式なメッセージセンター通知（MC1435782）により、会社のブランディングにおけるカスタム CSS 位置指定プロパティの廃止スケジュールが確認されました：

2026 年 7 月 21 日： 位置指定プロパティをまだ使用していないテナントは、今後構成できなくなります
2026 年 10 月 26 日： 位置指定プロパティはグローバルに廃止されます
2027 年後半： カスタム CSS の完全な廃止が予定されています

影響を受けるプロパティ： position (top/right/bottom/left/z-index)、margin、transform、opacity、overflow、filter、pointer-events、clip-path、mix-blend-mode、translate

Graph Explorer でブランディング構成を確認し、10 月の期限までに影響を受けるプロパティを削除してください。

アクションのまとめ

Change	Action Required	Timeline
Cloud Sync device sync	Evaluate for Connect Sync migration	Preview now
Security group disableNesting	Apply to privileged groups	Available now
SMS/voice opt-out API	Set if you have a transition plan	Before Sept 1, 2026
MC1223829 CA enforcement	Check affected apps	Mid-August 2026
GitHub/GitLab hardening	Audit and restrict federation scope	Immediate
GSA egress IPs	Import into DCA and firewalls	Before GSA deployment
SCIM workload identity	Migrate from static secrets	Per integration
CSS positioning retirement	Remove affected properties	Before Oct 26, 2026

組織にとっての意味

2026 年 8 月も、クラウドネイティブな ID、フィッシング耐性のある認証、シークレットレスのワークロード ID へのマイクロソフトの揺るぎない推進が続いています。Cloud Sync のデバイス同期プレビューは、ハイブリッド ID チームにとっての見出しニュースです——「デバイスのせいで移行できない」という反論がついに取り除かれました。セキュリティグループの入れ子制御とワークロード ID フェデレーションの堅牢化ガイダンスは、人間と非人間の両方の ID にわたって最小特権を適用するためのツールを管理者に提供するというマイクロソフトのコミットメントを示しています。

まだ Connect Sync を使用している場合は、今こそ Cloud Sync への移行計画を本格的に始める時です。また、パスキーの展開をまだ開始していない場合は、一時的なオプトアウト API が猶予期間を提供します——ただし、2027 年 2 月は例外のない厳格な期限なので、賢明に活用してください。

X で @kkaminsk をフォローして、毎日の Microsoft Entra ID アップデートと ID セキュリティのインサイトをチェックしましょう。