2026年8月15日〜18日の週は、Microsoft Entra ID 全体で焦点を絞った一連のドキュメント更新が行われました。今週は大きな製品リリースはありませんが、ID 管理者にとって運用上重要な2つの更新があります。それは、Global Secure Access の Web フィルタリング ポリシーを V1 から V2 へ移行する新しいガイド付き移行エクスペリエンスと、リポジトリの不変クレームを必須とするよう厳格化された GitHub フレキシブル フェデレーティッド ID 資格情報の要件です。さらに今週は4つのドキュメント更新があります。MSA アカウントにおける認証強度ポリシーの制限、ID Protection のデバイスブロック修復動作、Domain Services の sAMAccountName 同期、ライセンス参照に追加された Windows 10 ESU サービス プラン ID です。以下に詳細をまとめます。

1. GSA の V1 から V2 への Web フィルタリングのガイド付き移行エクスペリエンス

Microsoft は、Global Secure Access の Web コンテンツ フィルタリング (V1) ポリシーを Web フィルタリング (V2) オブジェクト モデルへ移行するためのガイド付き移行エクスペリエンスを解説する新しいハウツー記事を公開しました。これは8月12日に公開された V2 概念記事に対応する運用面のガイドであり、管理者が既存のポリシーをゼロから作り直すことなく移行するための具体的で段階的な手順を提供します。

V1 と V2 の違い

V2 モデルでは、Global Secure Access における Web フィルタリングの仕組みに構造的な変更が導入されています。

  • セキュリティ プロファイルごとに単一のポリシー: V1 では1つのセキュリティ プロファイルに複数の Web コンテンツ フィルタリング ポリシーをリンクできました。V2 ではこれを、それぞれ独自のアクションを持つ複数のルールを含む単一のポリシーに統合します。
  • 既定のアクション: V1 ポリシーには既定のアクションがなく、ルールに一致した場合のみ動作しました。V2 ポリシーは、ルールに一致しない場合に適用される既定のアクションを定義するため、常に結果を生成します。
  • FQDN 宛先: スタンドアロンの FQDN 宛先タイプは V2 で廃止されました。FQDN は URL 一致ロジックに従い、URL 宛先として表現されるようになりました。
  • 機能名: V2 では “Web Content Filtering” が “Web Filtering” に変更されました。

ガイド付き移行の仕組み

テナントが移行の対象となる場合、移行エクスペリエンスは Entra 管理センターの セキュリティ プロファイル ページにバナーとして表示されます。セキュリティ プロファイルは3つのグループに分類されます。

  1. 移行対象プロファイル: リンクされた V1 ポリシーが1つ以上あり、既存の V2 ポリシーがないプロファイルです。自動的に移行できます。
  2. 移行対象外プロファイル: V1 ポリシーに加えて V2 ポリシーをすでに含むプロファイルです。手動での対応が必要です。先に V2 ポリシーを削除してから移行するか、手動で移行を処理します。
  3. 移行不要のプロファイル: V1 ポリシーがリンクされていないプロファイルです。操作は不要です。

移行を開始すると、すべての移行対象プロファイルが1回の操作で処理されます。各移行対象プロファイルについて、移行では以下が実行されます。

  • 新しい有効な V2 Web フィルタリング ポリシーを作成する
  • リンクされた各 V1 ポリシーを V2 ポリシー配下のルールとして追加し、宛先、アクション、優先度を保持する
  • 新しい V2 ポリシーをセキュリティ プロファイルにリンクし、V1 ポリシーのリンクを解除する — 移行中の強制のギャップを確実に防ぎます

移行アクションは、重複した移行を防ぐため、一度実行すると無効化されます。

重要な注意点

  • プロファイルごとに評価動作が異なる: V1 と V2 ではポリシーの評価方法が異なるため、移行後は複数のセキュリティ プロファイルにまたがる総合的な結果が変わる可能性があります。移行前にポリシー構成を確認してください。
  • Conditional Access の参照は引き続き有効: セキュリティ プロファイルは Conditional Access のセッション制御で GUID によって参照され、この参照は V1 から V2 への移行をまたいでもシームレスに機能します。
  • V1 ポリシーは引き続き編集可能: 移行後も既存の V1 ポリシーは編集または削除できますが、プロファイルに V2 ポリシーが存在する場合、新しい V1 ポリシーは作成できません。V1 での作成に戻すには、プロファイルからすべての V2 ポリシーを削除してください。
  • 前提条件: Global Secure Access Administrator ロールが必要です。

この移行ガイドは、GSA の Web コンテンツ フィルタリングを使用しているすべての組織にとって必読です。まだ移行の準備ができていない場合でも、V2 モデルと V1 との違いを理解することで、移行戦略を計画するのに役立ちます。

2. GitHub フレキシブル フェデレーティッド ID 資格情報でリポジトリ不変クレームが必須に

Microsoft は、フレキシブル フェデレーティッド ID 資格情報 (FIC) のプレビュー ドキュメントを更新し、GitHub 構成が sub クレームに加えて少なくとも1つの不変クレーム (repository_id または repository_owner_id) に一致することを必須としました。この厳格化により、フェデレーティッド信頼が永続的な識別子ではなく変更可能なリポジトリ名や所有者名にバインドされていたセキュリティ上のギャップが解消されます。

なぜ重要か

GitHub のリポジトリ名と所有者名は再利用される可能性があります。リポジトリが改名されたりアカウントが削除されたりすると、別のリポジトリやアカウントが同じ名前を引き継ぐことができます。名前ベースのサブジェクト識別子 (repo:owner/repo:ref:refs/heads/main) のみに依存するフェデレーティッド ID 資格情報は、この再利用シナリオに対して脆弱なままです。

不変識別子 — repository_id と repository_owner_id — は、GitHub によって割り当てられる永続的な数値 ID であり、名前が変わっても変更されることがなく、再利用されることもありません。フレキシブル FIC 構成でこれらを必須とすることで、Microsoft は名前が変わってもフェデレーティッド信頼が元のリポジトリにバインドされたままになることを保証します。

構成例

GitHub フレキシブル FIC 式は次のようになります。

claims['sub'] matches 'repo:contoso/contoso-repo:ref:refs/heads/*' and claims['repository_id'] eq '456789'

さらに資格情報を特定の所有者にバインドする場合:

claims['sub'] matches 'repo:contoso/contoso-repo:ref:refs/heads/*' and claims['repository_id'] eq '456789' and claims['repository_owner_id'] eq '123456'

クレームごとのサポート対象演算子:

  • sub: eq と matches
  • job_workflow_ref: eq と matches
  • repository_id: eq
  • repository_owner_id: eq

この要件は、sub が名前ベース、カスタマイズ済み、不変のいずれの形式を使用する場合でも適用されます。ポータル、Microsoft Graph、CLI の例はすべて、languageVersion: 1 による新しい要件を反映して更新されています。

背景: MC1447671 の移行

このドキュメント更新は、2026年8月5日に発行された MC1447671 の Message Center 通知を補完するものです。この通知では、組織に対し、GitHub Actions のフェデレーティッド ID 資格情報を不変のサブジェクト形式に移行するよう推奨していました。この通知の要点は次のとおりです。

  • 2026年7月15日以降に作成されたリポジトリは、自動的に不変の既定サブジェクト形式 (区切り文字 @ 付きで owner_id と repo_id を含む) を使用します
  • 2026年7月15日より前に作成されたリポジトリは、OIDC 設定でオプトインしない限り名前ベースの形式を維持します
  • 2026年7月15日以降のリポジトリの改名および転送は、自動的に不変形式へ移行します
  • 移行方法: 既存のフェデレーティッド資格情報の横に2つ目のフェデレーティッド資格情報を作成し、テストしてから古い資格情報を削除します

フレキシブル FIC の要件は、サブジェクト形式のみに依存するのではなく、クレーム一致式で不変クレームを直接検証することで、不変サブジェクト移行の上にさらにセキュリティの層を追加します。

組織で GitHub Actions と Entra フェデレーティッド ID 資格情報を使用している場合は、今すぐ構成を確認し、必要なリポジトリ不変クレームが含まれていることを確認してください。

3. 認証強度ポリシーは MSA で認証された外部ユーザーには適用できない

更新された Entra ID ドキュメントでは、認証強度ポリシーが、Microsoft 個人 (MSA) アカウントで認証する外部ユーザーには現在適用できないことが明確化されました。管理者は、これらの外部ユーザーに多要素認証を適用する必要がある場合、認証強度ポリシーの代わりに Conditional Access の MFA 許可コントロール を使用する必要があります。

これは既存の制限に関するドキュメントの明確化であり、新たに導入された製品動作ではありません。ただし、外部ユーザーが個人の Microsoft アカウント (Outlook.com、Hotmail など) で認証する B2B コラボレーション シナリオで認証強度ポリシーを使用している組織にとっては重要です。すべての外部ユーザーに適用されることを想定して認証強度ポリシーを構成している場合は、MSA で認証するゲストが別の MFA 許可コントロール ポリシーでカバーされていることを確認してください。

4. ID Protection のデバイスブロック修復動作が改訂

Identity Protection のドキュメントが更新され、修復の一環として Entra デバイスが無効化された場合の動作の説明が修正されました。改訂されたガイダンスでは、Entra デバイスの無効化により以下のことが発生するとされています。

  • そのデバイスに対する新しいトークンの発行がブロックされる
  • デバイスに関連付けられたユーザー セッションが取り消される
  • ユーザーに再度サインインが求められる

以前のドキュメントでは、デバイスにバインドされた更新トークンの取り消しについても言及されていましたが、この文言は削除されました。これはドキュメントの修正であり、動作の変更ではありません。実際の修復動作は変わっておらず、ドキュメントが実際の動作をより正確に説明するようになったものです。

この更新は、Identity Protection Policies 記事で “Device disablement” が “Attacker-added device” という用語に置き換えられた、8月14日の「Attacker-Added Device Remediation」エントリを精緻化するものです。修復の範囲を社内で文書化している場合 (ラン ブックやトレーニング資料など)、更新トークン取り消しに関する文言を削除するよう、それらの参照を更新してください。

5. Entra Domain Services の sAMAccountName 同期ガイダンス

同期ドキュメントに、Microsoft Entra Domain Services との sAMAccountName 属性の同期に関する拡張ガイダンスが追加されました。更新されたページでは同期フローが説明され、Domain Services シナリオで sAMAccountName を構成するための専用ガイダンスへのリンクが提供されています。

これは既存機能に対するドキュメントの追加です。レガシ アプリケーションとの互換性や LDAP 依存ワークロードのために sAMAccountName 属性値が必要な Entra Domain Services を使用する組織は、更新されたガイダンスを参照してください。

6. Windows 10 ESU サービス プランがライセンス参照に追加

Entra ID ライセンス サービス プラン参照が2026年8月14日に更新され、Windows 10 Extended Security Updates (ESU) サービス プラン ID が Windows 365 Enterprise と Windows 365 Shared Use のエントリに追加されました。参照テーブルとダウンロード可能な CSV もそれに合わせて更新されています。

ライセンス参照をプラン一致、スクリプトベースのライセンス割り当て、レポートに使用している管理者は、更新された参照をダウンロードし、Windows 365 プランを含む内部マッピングを更新してください。更新された参照データを使用する以外に、管理者による操作は不要です。

まとめ

2026年8月15日〜18日の週は、新しい製品リリースではなくドキュメントの精緻化が特徴です。目玉は、管理者にポリシー移行の具体的な道筋を提供する GSA の V1 から V2 への Web フィルタリング移行ガイドと、GitHub Actions デプロイのフェデレーティッド ID セキュリティを強化する GitHub フレキシブル FIC の不変クレーム要件の2つです。

ドキュメント更新は機能リリースほど影響がないように思えるかもしれませんが、実際の運用上の影響を伴うことがよくあります。GSA 移行ガイドは組織が Web フィルタリング アーキテクチャをどのように移行するかを左右し、GitHub FIC の要件はどのような信頼構成が有効かを変えます。これらのワークロードを管理する ID 管理者は、どちらにも注意を払う必要があります。

Microsoft Entra ID の変更に関する継続的な情報は、https://x.com/kkaminsk をフォローし、毎週の更新をこちらのサイトでご確認ください。

この記事は、2026年8月15日〜18日の Microsoft Learn ドキュメント更新、Entra.News Daily サマリー、M365 Message Center のお知らせに基づいています。Microsoft Entra の公式リリースとお知らせページについては、learn.microsoft.com/en-us/entra/fundamentals/whats-new をご覧ください。