8月はMicrosoft Entra ID管理者にとって重要な月になりそうです。9月1日に迫るパスキー既定化のロールアウトと、絶え間なく続く新発表の間で、追跡すべきことはたくさんあります。今回のアップデートでは、動的グループに関する破壊的変更(多くの組織がグループ構成の再検討を迫られます)、パスキー移行を支援するAI搭載ツール、そして従来型VPNを超えた新しい考え方に関するリーダーシップ記事という、3つの大きな進展をお届けします。

1. MemberOfルール演算子の廃止 — 動的グループにとっての破壊的変更(MC1448379)

本日、メッセージセンターの通知MC1448379で発表されたとおり、MicrosoftはEntra IDにおけるmemberOfルール演算子のパブリックプレビューを2026年11月3日をもって終了します。この演算子は2022年頃からプレビュー提供されており、管理者がユーザーやデバイスの属性に依存するのではなく、既存グループからメンバーを引き込む動的メンバーシップルールを作成することを可能にしていました。この機能は一般提供(GA)に昇格されることはありません。

影響を受けるもの

廃止による影響は次の3つの領域に及びます。

  • memberOfルールを使用する動的メンバーシップグループ
  • memberOfルールを使用する動的管理単位
  • memberOfルールを使用するエンタイトルメント管理の自動割り当てポリシー

重要日程

日付内容
2026年10月27日memberOfを使用するエンタイトルメント管理の自動割り当てポリシーが検疫(隔離)されます — 処理は停止しますが、ポリシー自体は残ります
2026年11月3日memberOfを使用する動的グループと管理単位の更新が停止します — メンバーシップは最後に確認された状態で凍結されます

オプトアウトも延長もありません。

Microsoftが廃止する理由

その決定はスケーラビリティと信頼性に起因します。Microsoftは、テナント内の単一のmemberOfルールであっても、その演算子を使用しているグループだけでなく、すべての動的グループにわたってテナント全体の処理遅延を引き起こす可能性があることを発見しました。このパフォーマンスへの影響は本質的なものであり、Microsoftはこの機能を大規模にサポートすることはできないと判断しました。そして、こうした制限を抱えるプレビュー機能に組織が依存し続けることを許すのではなく、廃止に踏み切ったのです。

何もしない場合の影響

期限までに移行しなければ、その結果は深刻です:

  • 時代遅れのアクセス: 新しいユーザーが必要なアクセスを受け取れない一方、元メンバーはTeams、SharePoint、その他のリソースへのアクセスを保持し続けます
  • 壊れたConditional Access: グループメンバーシップを評価するポリシーが古いデータで動作することになります
  • ライセンスのずれ: グループベースのライセンスが正しく割り当て・削除できなくなります — ユーザーが持つべきでないライセンスを保持したり、必要なライセンスを失ったりする可能性があります
  • 古い管理スコープ: 動的AUのメンバーシップが古くなり、委任された管理スコープに影響を及ぼします
  • 凍結されたエンタイトルメント管理: 自動割り当てポリシーがアクセスパッケージの割り当てを追加・削除しなくなります

影響を受ける構成を特定する方法

まずはMicrosoft Graph PowerShellモジュールを使って、次のPowerShellコマンドを実行してください:

# Find dynamic groups using memberOf
Get-MgGroup -Filter "startsWith(membershipRule,'user.memberOf') or startsWith(membershipRule,'device.memberOf')" | Select-Object DisplayName, Id, MembershipRule, MembershipRuleProcessingState

# Find dynamic AUs using memberOf
Get-MgDirectoryAdministrativeUnit -All -Property Id, DisplayName, MembershipRule, MembershipType | Where-Object { $_.MembershipType -eq "Dynamic" -and $_.MembershipRule -match "memberOf" } | Select-Object DisplayName, Id, MembershipRule

エンタイトルメント管理の自動割り当てポリシーについては、Graph PowerShellを使用して、割り当てルール内でmemberOfを参照するアクセスパッケージポリシーを照会してください。

コミュニティも立ち上がっています — AdminDroidは、3種類すべての構成タイプをスキャンしてCSVレポートを生成する包括的なPowerShellスクリプトを公開しました: Find Entra ID Configurations with Deprecated MemberOf Operator

移行オプション

Microsoftの公式ガイダンスでは2つの主要な方法が示されていますが、実用的な第3の選択肢もあります:

オプション1: 属性ベースの動的ルールに置き換える。 同じメンバーシップをユーザーまたはデバイスの属性(department、extensionAttribute、jobTitleなど)で表現できる場合は、ルールを書き換えてください。たとえば、memberOfグループが、それ自体が部門によって定義された「Sales」グループと「Marketing」グループのメンバーを引き込んでいた場合、user.department -in ['Sales','Marketing']のようなルールを作成できます。

オプション2: 割り当て済みメンバーシップに変換する。 Entra管理センターでグループを動的から割り当て済みに変更します(グループ > すべてのグループ > 対象グループを開く > メンバーシップの種類を「動的」から「割り当て済み」に変更)。メンバーシップは手動または自動化で管理します。小規模なグループや、あまり変更されないグループに最適です。

オプション3: PowerShell同期スクリプト。 ソースグループのメンバーシップを読み取り、ターゲットグループに同期するスケジュール済みスクリプトを構築します。これは最も柔軟なオプションで、memberOfの動作に最も近い再現ですが、運用上のオーバーヘッドが加わり、スクリプト自体が保守ポイントになります。

切り替え前の検証

どの代替手段を選ぶにしても、本番環境に展開する前に検証してください。従来のmemberOfグループのメンバーをエクスポートし、代替グループを構築して処理の完了を待ち、新しいグループのメンバーをエクスポートして比較します:

# Export members of the old memberOf group
$oldGroupId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
Get-MgGroupMember -GroupId $oldGroupId -All | Select-Object @{N='Id';E={$_.Id}} | Export-Csv -Path .\OldGroup-Members.csv -NoTypeInformation

# Export members of the new replacement group
$newGroupId = "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
Get-MgGroupMember -GroupId $newGroupId -All | Select-Object @{N='Id';E={$_.Id}} | Export-Csv -Path .\NewGroup-Members.csv -NoTypeInformation

# Compare
$old = Import-Csv .\OldGroup-Members.csv
$new = Import-Csv .\NewGroup-Members.csv
$diff = Compare-Object -ReferenceObject $old.Id -DifferenceObject $new.Id
if ($diff) { Write-Host "Differences found:" -ForegroundColor Yellow; $diff | Format-Table -AutoSize }
else { Write-Host "Membership matches. Safe to switch." -ForegroundColor Green }

コミュニティの反応

この発表はIAMコミュニティから大きな反発を生んでいます。Redditのr/sysadmin、Spiceworks、LinkedInでは、4年間プレビューされてきた機能が直接の代替手段なしに打ち切られることへの不満が管理者から表明されています。多くの組織が、この長期にわたるプレビュー期間中に、memberOfを中心としたライセンス、Conditional Access、アプリケーションアクセスのアーキテクチャを構築してきました。入れ子になったグループロジックに対する1対1の代替手段がないことは、影響を受けるテナントにとって大きな作り直しを意味します。

これは正当な懸念です。Microsoftのパフォーマンス上の理由付けは妥当です — 単一のルールによるテナント全体の処理低下は実際の問題です — しかし、長期にわたるプレビュー期間が永続性についての誤った認識を生み出しました。誠実にmemberOfを採用した組織は現在、グループアーキテクチャを作り直すための圧縮されたタイムラインに直面しています。

2. Conditional Access Optimization Agentによるパスキー導入キャンペーン(パブリックプレビュー)

より良いタイミングのニュースとして、Microsoftは、迫りくるパスキー移行を管理するための強力な新ツールを発表しました。Security Copilot上に構築されたConditional Access Optimization Agentは、パスキー導入キャンペーンをパブリックプレビューでサポートするようになりました。

機能の概要

このエージェントは、フィッシング耐性認証の展開にAI駆動の構造化されたアプローチを提供します:

  1. ユーザーとデバイスの準備状況を評価 — どのユーザーが互換性のあるデバイスを持っているか、どのユーザーがデバイスの更新を必要としているか、どのユーザーがすでにパスキーを登録済みかを特定します
  2. 展開計画を生成 — 推定キャンペーン期間、対象ユーザー数、ユーザーの準備状況カテゴリの内訳を含みます
  3. ユーザーを段階的にガイド — Microsoft Teamsの通知を送信し、デバイスの更新、パスキーの登録、または強制適用への準備をユーザーに促します
  4. Conditional Accessポリシーを強制 — まずレポート専用モードでCAポリシーを自動的に作成し、ユーザーの準備が整い次第、フィッシング耐性認証の要件を強制します

このエージェントは24時間ごとに自動実行され、進捗を評価し、前提条件が満たされるにつれてユーザーをキャンペーンの各段階に進めます。

今、これが重要な理由

2026年9月1日からパスキーがEntra IDの既定の認証方法となり、2027年2月1日にMicrosoft提供のSMS/音声認証が廃止されるため、組織はこの移行を大規模に管理するための構造化されたツールを必要としています。パスキー導入キャンペーンエージェントは、まさにこのニーズに応えます。

既定で特権管理者ユーザーから開始するのは、セキュリティファーストの正しいアプローチです — 彼らは攻撃者にとって最も価値の高い標的であり、フィッシング耐性認証が最も即効性のあるリスク低減をもたらすアカウントだからです。

要件と制限事項

要件:

  • Microsoft Entra ID P1ライセンスが最低限必要
  • 利用可能なSecurity Compute Units(SCU) — エージェント実行1回あたり平均1 SCU未満
  • Authentication Methods Policyでパスキーが有効化されていること
  • Security Administratorロールが必要(Conditional Access Administratorのみでは不十分)

注意すべき制限事項:

  • キャンペーン設定(対象、猶予期間、延期)はキャンペーン開始後に変更できません — 開始前に十分に計画してください
  • エージェントは、対象ユーザーがAuthentication Methods Policyでパスキーを有効化されているかどうかを確認しません — この前提条件は事前に自分で構成する必要があります
  • 延期は現在、Security Copilot OwnerまたはSecurity Copilot Contributorロールを持つユーザーのみサポートされています
  • 非アクティブなデバイスは自動的に除外されます(例: 8か月間使用されていないノートPC)
  • ブレークグラスアカウントは明示的に除外してください

有効化方法

  1. 少なくともSecurity AdministratorとしてMicrosoft Entra管理センターにサインインします
  2. Conditional Access Optimization Agent > 設定 に移動します
  3. エージェント機能 で、エージェントがパスキー導入キャンペーンを作成することを許可 を選択します
  4. エージェントがテナントの分析を開始し、パスキーキャンペーンの対象となるユーザーを特定します

詳細なドキュメントについては、Deploy passkey adoption campaigns with the Conditional Access Optimization Agent (Preview)を参照してください。

3. アイデンティティ優先アクセスでVPNのギャップを解消 — 新しいリーダーシップ記事

8月5日、MicrosoftはJanice Rickettsによる「End VPN gaps with identity-first access」という新しいブログ記事を公開しました。製品発表ではありませんが、VPNのモダナイゼーションを計画しているすべての人にとって読む価値があります。

中心となる主張

従来型VPNはネットワークアクセスを拡張しますが、アイデンティティ、デバイスの状態(ポスチャ)、場所、ユーザーリスク、セッションコンテキストを継続的に評価しません。これにより、AIアプリ、SaaS、オンプレミスアプリケーション、管理外サービス、インターネットトラフィックの保護が不均一なままになります。ゼロトラストは、すべてのアクセス判断の中心にアイデンティティとポリシーを置くことで、このギャップを埋めます。

この記事は、Conditional Accessをポリシーエンジンとして位置づけ、Global Secure Access(Entra Internet AccessとEntra Private Accessで構成)を、アイデンティティ駆動の制御をすべてのリソースタイプに拡張する強制レイヤーとして位置づけています。

重要なポイント

  • ゼロトラストの原則をすべての場所に適用する — Microsoft 365と主要なSaaSアプリだけではありません
  • AIアプリ、オンプレミスアプリ、SaaS、インターネットトラフィックにわたって同じアイデンティティ駆動モデルを使用する
  • リスクベースのConditional Accessをクラウドアプリを超えて拡張し、すべてのリソースを保護する
  • VPN中心のアーキテクチャを廃止し、ポリシーベースのアクセスに移行することで複雑さとコストを削減する
  • 目標は、リソースタイプごとに別々のポリシーモデルを持つことではなく、すべてのリソースタイプにわたって再利用可能な単一のセキュリティモデルを実現すること

実用的な価値

VPN置き換えイニシアチブを経営陣に正当化する必要がある組織にとって、この記事はビジネスケースの簡潔な枠組みを提供します: 自動化されたポリシー駆動の対応によるデータ侵害リスクの低減、VPNの複雑さ低減による迅速な運用、ユーザーエクスペリエンスの向上、そしてオンプレミスハードウェアと重複するセキュリティツールの削減によるコスト効率の改善です。

これがあなたの組織にとって意味すること

今すぐのアクション(今週中)

  1. memberOfの使用状況を監査する — 上記のPowerShellコマンドを実行して、影響を受けるすべての動的グループ、管理単位、エンタイトルメント管理ポリシーを特定してください。エンタイトルメント管理ポリシーの期限である10月27日まで、12週間を切っています。

  2. SMS/音声MFAユーザーを棚卸しする — entra-sms-voice-usage-analyzer PowerShellスクリプトを使用して、9月1日の自動有効化前に、まだSMS/音声を使用しているユーザーを特定してください。

  3. CA Optimization Agentを評価する — Security Copilotのライセンスを持っている場合は、パスキー導入キャンペーン機能を調査し、特権ユーザー向けのパスキー移行を自動化してください。

短期計画(今後30日間)

  1. memberOf移行計画を策定する — 影響を受ける各構成について、その目的(ライセンス、Conditional Access、Teamsアクセス、アプリ割り当て)を文書化し、置き換え戦略を選択し、複雑さと影響度に基づいて優先順位を付けます。

  2. パスキー登録をテストする — パスキープロファイル、認証方法ポリシー、デバイスの互換性が9月1日のロールアウトに向けて準備できていることを確認します。

  3. VPN置き換えロードマップを検討する — オンプレミスまたはクラウドリソースへのアクセスに依然として従来型VPNに依存している場合は、Global Secure Accessフレームワークを使用してゼロトラストモダナイゼーションイニシアチブを評価してください。

重要日程のまとめ

日付イベント
2026年8月1日SMS/音声移行の一時オプトアウトAPIが利用可能に(Graph Beta)
2026年9月1日パスキーが既定に。SMS/音声ユーザーはパスキーが自動有効化される
2026年10月27日エンタイトルメント管理のmemberOfポリシーが検疫(隔離)される
2026年11月3日動的グループとAUのmemberOfルールが処理を停止
2027年2月1日Microsoft提供のSMS/音声認証が廃止

最新情報を入手する

Entra IDの環境は急速に進化しています。パスキー移行、memberOfの廃止、AI駆動のアイデンティティ管理への幅広いシフトの間で、ITチームはプロアクティブであり続ける必要があります。私たちはこれらの変更を引き続き追跡し、新しい発表が出るたびに実践的なガイダンスを提供していきます。

X(https://x.com/kkaminsk)でリアルタイムのアップデートと分析をフォローしてください。

Big Hat Group Inc.は、組織のアイデンティティおよびセキュリティ変革の支援において20年以上の経験を持つMicrosoftパートナーです。これらの変更がお客様の環境にどのような影響を与えるか、また移行計画をどのように支援できるかについて、ぜひご相談ください。