Microsoft Entra の2026年8月リリースの波は続き、8月20日〜22日にかけて、以前に発表されたいくつかの機能を洗練し運用可能にする一連のドキュメント更新と機能更新が行われました。今月前半に大きな発表(テナントガバナンスの GA、8月の Entra ニュースレターの特集、CVE-2026-69836 の開示)が行われましたが、これらの後半のアップデートは、ID 管理者がこれらの機能を実際に実装・管理するために必要な運用上の詳細を補完するものです。

以下に、変更内容、その重要性、そして組織が取るべきアクションをまとめます。

1. External ID カスタマーアプリ向け委任型パスキー管理 API

公開日: 2026年8月22日 ステータス: プレビュー

Microsoft Entra External ID は、カスタマー向けアプリケーションがサインイン中の顧客自身のパスキーを管理できる委任型資格情報管理 API を新たにドキュメント化しました。これは External ID 上にカスタマー ID ソリューションを構築する組織にとって重要な追加機能です。

機能の概要

アプリケーションは委任アクセストークンを使用して、以下の操作が可能になります:

  • サインイン中の顧客が登録したパスキーの一覧表示
  • サインイン中の顧客向けの新しいパスキーの登録
  • サインイン中の顧客が所有する既存パスキーの削除

主な制約事項

  • 委任アクセスのみ — アプリ専用トークン(クライアント資格情報)はサポートされません。対話型のユーザーセッションが必要です。
  • アプリが API を呼び出す前に、サービスプリンシパルをテナント内で手動でプロビジョニングする必要があります
  • プレビュー段階 — サンプルコードは高権限の管理者プロビジョニングを使用しており、本番環境ではなくテスト用として明示的にラベル付けされています
  • スコープはサインイン中の顧客のみ — 管理者レベルの一括管理機能はありません
  • External ID に特化 — B2C に類似したカスタマー ID シナリオ向けに位置付けられており、Workforce テナント向けではありません

なぜ重要か

この API は、パスキー管理のストーリーを Entra External ID 上に構築されたカスタマー向けアプリケーションに拡張します。Microsoft が Entra エコシステム全体でパスキーをデフォルトの認証方法として推進する中(2026年9月1日から Workforce テナントで開始)、開発者が標準ベースの API を通じて顧客がアプリ内で自分のパスキーを自己管理できるようにすることは、自然かつ必要な拡張です。委任アクセスのみという制約は意図的なセキュリティ上の選択であり、パスキー操作にはユーザーの存在が必要で、デーモンアプリによる自動化ができないことを保証します。

取るべきアクション

  • Entra External ID 上で構築している場合は、新しい委任型パスキー管理のドキュメントを確認してください
  • パスキーのセルフサービス(一覧表示、登録、削除)をカスタマーアプリケーションのフローに統合する方法を計画してください
  • プレビュー段階と、サービスプリンシパルの手動プロビジョニング要件に注意してください
  • アクセス許可スコープについては、より広範な Graph 認証メソッドのモデルに従ってください

2. ガバナンス対象 Workforce テナント作成の前提条件がドキュメント化

公開日: 2026年8月22日 ステータス: ドキュメント更新(GA 機能向け)

2026年8月10日の Entra テナントガバナンスの一般提供に続き、Microsoft はガバナンス対象 Workforce テナントを作成するための具体的な前提条件をドキュメント化しました。

必要なもの

  • Enterprise Agreement または従量課金(Pay-as-you-go)の課金アカウントに関連付けられた有料の Azure サブスクリプション
  • 無料または試用版テナントでは追加テナントを作成できません
  • テナント作成に必要なアクセス許可とロールの割り当て
  • デフォルトのガバナンスポリシーの前提条件を満たしていること
  • 管理元テナントのデフォルトのガバナンスポリシーテンプレートはオプションと表示されます(テナント作成サービスは引き続き ID default のテンプレートのみを使用します)

なぜ重要か

テナントガバナンスの GA は大きな発表でしたが、運用上の詳細、特に課金要件はすぐには明確になりませんでした。このドキュメントがそのギャップを埋めます。有料 Azure サブスクリプション(EA または従量課金)の要件は、導入計画にとって重要な制約です。特に、無料または試用版テナントで運用してきた組織が、ガバナンスのもとでテナント環境を拡張しようとする場合に重要です。

取るべきアクション

  • ガバナンス対象テナントの作成を試みる前に、Azure サブスクリプションの種類が前提条件を満たしていることを確認してください
  • 適切なロールが割り当てられていることを確認してください(初期設定にはグローバル管理者または特権ロール管理者、継続的な管理には ID ガバナンス管理者が考えられます)
  • 管理元テナントのデフォルトのガバナンスポリシーテンプレートの構成を確認してください

3. Global Secure Access macOS クライアント v1.1.26060207

公開日: 2026年8月21日 ステータス: 一般提供(クライアントアップデート)

Global Secure Access の macOS クライアントは、Windows クライアントとの同等性に近づく、機能豊富なアップデートを受けました。

新機能

  • ホームネットワークのトラフィック制御 — クライアントが指定されたホームネットワーク上にいる場合のトラフィックの特定の処理を可能にし、よりきめ細かいルーティングポリシーを実現します
  • 接続ページ — アクティブな接続(Private Access、Internet Access)とトンネルの健全性ステータスを表示する新しい UI
  • エージェンティック検出のサポート — GSA のエージェント可視化機能を macOS プラットフォームに拡張し、Microsoft の広範な AI エージェントセキュリティ戦略に沿ったもの
  • セキュア DNS バイパス — 互換性またはパフォーマンス上の理由から、特定の宛先がセキュア DNS をバイパスできます
  • 複数のバグ修正

展開に関する注意

アプリパッケージには、将来のユースケースのために com.microsoft.autoupdate2 が含まれるようになりました。Intune で展開している場合は、検出ルールから com.microsoft.autoupdate2 を削除するように更新してください — 検出ルールに含めると、このバージョン以降で競合が発生する可能性があります。

なぜ重要か

エージェンティック検出のサポートが、このアップデートの目玉機能です。組織が環境全体に AI エージェントを展開するにつれて、GSA が macOS 上でエージェントのアクティビティを検出・報告できることは、ゼロトラストのネットワークセキュリティ境界を Apple エンドポイントにまで拡張します。ホームネットワークのトラフィック制御と新しい接続ページを合わせると、このアップデートにより macOS クライアントは Global Secure Access ポリシーのより強力な適用ポイントになります。

取るべきアクション

  • Intune の展開スクリプトを更新し、検出ルールから com.microsoft.autoupdate2 を削除してください
  • 既存の GSA プロファイルで新しい接続ページをテストしてください
  • ネットワークアーキテクチャに合わせてホームネットワークのトラフィック制御を評価してください
  • エージェンティック検出のサポートが既存のエージェント監視戦略とどのように統合されるかを確認してください

4. ルートドメインをまたぐフェデレーションサインインのブロックがドキュメント化

公開日: 2026年8月20日 ステータス: ドキュメント(以前に発表されたポリシー変更向け)

新しい Entra ID のドキュメントは、信頼されたレルムとマッピングされたユーザーアカウントのルートドメインが異なる場合にフェデレーションサインインをブロックする federatedTokenValidationPolicy を正式に説明しています。

機能の概要

  • internalDomainFederation がユーザーの UPN ドメインと一致しない場合、フェデレーションサインインをブロックします
  • 意図しないクロスドメインの信頼の悪用を防ぎます
  • 関連する Microsoft Graph beta API をドキュメント化します(変更される可能性があり、本番アプリケーションではサポートされません)
  • 2025年12月より前に構成されたフェデレーションドメインに影響します

なぜ重要か

これは、MC1303719(2026年7月9日)で発表されたポリシー変更のドキュメント化です。ポリシー自体は2026年8月中旬に有効化され、このドキュメントは管理者が理解、トラブルシューティング、コンプライアンス構成を行うために必要な技術的詳細を提供します。クロスルートドメインブロックはセキュリティ強化策であり、あるルートドメイン用に構成されたフェデレーションが、同じテナント内の別のルートドメインのアカウントのサインイン処理に使用されるシナリオを防ぎます。

取るべきアクション

  • 2025年12月より前に構成されたフェデレーションドメインがある場合は、internalDomainFederation の構成がユーザーの UPN ドメインと一致していることを確認してください
  • フェデレーション構成管理用の Graph beta API(/domains/{id}/federationConfiguration の GET/POST/PATCH)を確認してください
  • ID のトラブルシューティングドキュメントを更新し、このブロック動作を参照するようにしてください

5. インバウンドプロビジョニングの null 値クリア(プレビュー)

公開日: 2026年8月20日 ステータス: パブリックプレビュー

新しい Entra ID プロビジョニングのガイダンスは、ソース値が null または空の場合に既存のターゲット属性をクリアする機能をドキュメント化しています — これは長年のプロビジョニングの悩みの種に対処する機能です。

仕組み

  1. オプトイン — ソースとターゲットの両方の属性マッピングで「Flow null values」を有効にする必要があります
  2. ソースシステムが、マッピングされた属性が null または空のレコードを送信すると、プロビジョニングはターゲット属性の既存の値をクリアします
  3. このオプトインがない場合、ソースが null でも既存のターゲット値は変更されません

主な制限事項

  • 単一値属性のみ — 複数値属性はサポートされません
  • 指定されたインバウンドシナリオのみ — API 駆動型インバウンドプロビジョニングアプリで利用可能です
  • 非 API のインバウンドシナリオ、一部のギャラリーアプリ、SCIM コネクタではサポートされません

なぜ重要か

ソースシステムとターゲットシステム間の属性ドリフトは、ID プロビジョニングにおける永続的な問題です。HR システムが従業員の部署や役職をクリア(null に設定)した場合、その変更は以前は Entra ID に伝播されず、古い値が残り続けていました。このプレビュー機能はそのギャップを埋め、ソースシステムの null 値が尊重されターゲットに反映されることを保証し、接続されたシステム間のデータ一貫性を維持します。

取るべきアクション

  • API 駆動型インバウンドプロビジョニングを使用している場合は、「Flow null values」の有効化がデータの一貫性を改善するか評価してください
  • まず非本番環境でテストしてください — 属性のクリアは動的グループメンバーシップ、ライセンス、アクセスポリシーに影響を与える可能性があります
  • null 値クリアのメリットが最も大きい属性マッピングを特定してください

6. Apple Token Protection が GA に到達

公開日: 2026年8月20日 ステータス: 一般提供(iOS/iPadOS および macOS)。プレビュー(macOS の Web アプリが Azure Resource Manager にアクセスするシナリオ)

Entra ID Token Protection のリファレンスは、iOS/iPadOS および macOS のトークン保護を一般提供として記載し、クロスプラットフォームのストーリーを完成させました。

GA とプレビューの内訳

  • GA: iOS/iPadOS(標準アプリシナリオ)および macOS(標準アプリシナリオ)の Token Protection
  • プレビュー継続: macOS 上の Web アプリが Azure Resource Manager にアクセスするシナリオはプレビューのまま
  • 既に GA: Windows Token Protection

なぜ重要か

Token Protection は、トークンの盗難とリプレイ攻撃に対する重要な防御策です。Apple プラットフォームが GA に達したことで、組織は Windows、iOS、iPadOS、macOS のフリート全体でトークン保護ポリシーを適用できるようになり、macOS の Web アプリシナリオにのみ狭いプレビュー範囲が残っています。これは、役員やクリエイティブな専門家の間で iOS と macOS が一般的な混在デバイス環境の組織にとって特に重要です。

取るべきアクション

  • 条件付きアクセスポリシーを見直し、Apple プラットフォームがスコープに含まれる場所で Token Protection の適用を検討してください
  • デバイスコンプライアンスとアプリ管理ポリシーが Apple Token Protection の GA ステータスを考慮していることを確認してください
  • Azure Resource Manager にアクセスする macOS 固有の Web アプリシナリオについては、引き続きプレビューとして扱ってください

7. Mover ワークフローのアクセス削除タイミングが明確化

公開日: 2026年8月20日 ステータス: ドキュメント更新

ID ガバナンスのタスクガイダンスは、「ユーザーのすべてのアクセスパッケージ割り当てを削除」タスクが、Leaver ワークフローだけでなくMover ワークフローにも適用されることを明示的にカバーするようになりました。

変更内容

  • このタスクはLeaver とMover の両方のライフサイクルワークフローテンプレートに適用されるようになりました
  • Mover テンプレートでは、スケジュールされた削除のデフォルトは Mover イベントのトリガーから15日後です
  • 管理者はタイミングをカスタマイズするか、即時削除を選択できます

なぜ重要か

従業員が組織内で役割を変更する Mover シナリオは、多くの場合 Leaver シナリオよりも複雑です。その人は古いアクセスの一部を削除する必要がありますが、すべてではありません。そしてタイミングが重要です。15日間のデフォルトは、従業員が新しい役割に落ち着く間に組織がアクセスを移行するための妥当な期間を提供します。これを構成可能にすることは、組織によって(そして役割の移行によって)必要なタイムラインが異なることを認めています。

取るべきアクション

  • Mover のライフサイクルワークフローテンプレートを確認し、アクセス削除のタイミングを検証してください
  • 15日間のデフォルトが組織に合うか、カスタムタイミングが必要かを判断してください
  • Mover ワークフローにドキュメント化されたアクセス削除動作があることを反映するように、ID ガバナンスのドキュメントを更新してください

まとめ: 洗練のフェーズ

これら7つのアップデートは、8月前半の大きな発表に続く、Microsoft による Entra プラットフォームの継続的な洗練を示しています。パターンは明確です:

  1. GA 機能の運用化 — テナントガバナンスの前提条件、Mover ワークフローのタイミング
  2. パスキーエコシステムの拡張 — External ID 向けの委任管理 API
  3. クロスプラットフォームのギャップ解消 — GSA macOS の機能同等性、Apple Token Protection の GA
  4. フェデレーションセキュリティの強化 — クロスルートドメインブロックのドキュメント化
  5. プロビジョニング精度の修正 — null 値クリアのプレビュー

ID 管理者にとって、アクション項目は主に緊急の展開ではなくレビューと構成に関するものです。例外は、GSA macOS の Intune 検出ルールの更新(即時)と、フェデレーション構成のレビュー(2025年12月より前のフェデレーションドメインがある場合)です。

Entra プラットフォームの最新情報は、Microsoft Entra Blog on Tech Community と Microsoft Learn の What’s New in Microsoft Entra ページをご覧ください。

Big Hat Group Inc. は、AI とクラウド ID ソリューションに特化した Microsoft パートナーです。最新の Entra ID アップデートと分析は bighatgroup.com、または X で Kevin (x.com/kkaminsk) をフォローしてください。