Microsoft Entra ID の 2026 年 8 月最終週は、CVSS 10.0 の脆弱性ほどの派手さはないものの、日々の ID 運用にとっては極めて重要な一連の更新がもたらされました。共通テーマは、Microsoft が Entra ID と、エンド ユーザーが実際に触れる OS、オンプレミス ディレクトリ、セルフサービス ポータルとの統合を引き続き強化していることです。

今週、IT 管理者にとって特に注目すべき変更は 5 つあります — デバイスの再登録が必要となる Linux ブローカーのアーキテクチャ変更、クラウドからオンプレミス AD へのユーザー プッシュがついに可能になる Cloud Sync プレビュー、手動のクライアント パッケージングを不要にする Global Secure Access の自動更新メカニズムなどです。

変更内容、その重要性、そして取るべき対応を解説します。

1. Linux SSO ブローカー 2.0.2: デバイス登録に代わり Entra Join を採用

ステータス: 現在 GA(安定版チャネルは 3.0.x) 必要な対応: あり — 既存デバイスの再参加が必要

Microsoft Single Sign-On for Linux はバージョン 2.0.2 で大きなアーキテクチャ上の一歩を踏み出し、Entra ID との信頼確立方法をデバイス登録からデバイス参加へと切り替えました。これは単なる用語の問題ではありません — 信頼関係の範囲と、デバイスで実行できることが変わります。

変更内容

Linux 用 Microsoft Identity Broker の以前のバージョンはデバイス登録を使用しており、個々のユーザー プロファイルに限定された信頼を確立していました。バージョン 2.0.2 以降は Entra join を使用し、デバイス全体との信頼を確立します — Windows や macOS と同じモデルです。

これが重要な理由は 2 つあります:

  1. Platform SSO への準備: Entra join は、Linux での将来の Platform SSO サポートの前提条件です。登録は行き止まりであり、参加は今後の基盤となります。
  2. セキュリティの範囲: デバイスレベルの信頼により、デバイス コンプライアンス、デバイス フィルター、デバイスベースの制御を評価する条件付きアクセス ポリシーが、すべてのプラットフォームでより一貫して適用されます。

管理者が行うべきこと

アップグレードは既存デバイスでは自動的には行われません。手順は次のとおりです:

  1. 適切な設定を有効にする: Entra 管理センターで、[デバイス] > [デバイス設定] に移動します。対象ユーザーに対して「ユーザーはデバイスを Microsoft Entra ID に参加させることができます」が有効になっていることを確認します。以前の「ユーザーはデバイスを Microsoft Entra に登録できます」設定は、ブローカー 2.0.2+ の Linux デバイスではもはや不十分です。

  2. 既存のブローカー状態をクリーンアップする: 影響を受ける各 Linux デバイスで、次を実行します:

    sudo dsreg --cleanup

    これにより、すべてのローカル登録データとキー マテリアルが削除されます。

  3. ブローカーを再インストールする: パッケージを更新します:

    # Ubuntu
sudo apt update && sudo apt upgrade microsoft-identity-broker
# RHEL
sudo dnf update microsoft-identity-broker

  4. 再参加と再登録: ユーザーは再度サインインして、新しい Entra join の信頼を確立し、Intune に再登録する必要があります。

サポート対象ディストリビューション

チャネルバージョンUbuntuRHEL
Stable (GA)3.0.x24.04、22.04*8、9
Insiders-fast3.0.x24.04、22.04、26.048、9、10

*Ubuntu 22.04 LTS のサポートは 2026 年 8 月に終了 — Intune の [すべてのデバイス] > [Linux] で OS バージョン列を追加してフィルターし、影響を受けるデバイスを特定してください。

これが重要な理由

エンタープライズ環境の Linux デスクトップは、ID パリティの面で最後になることがよくあります。この変更により、Entra ID がデバイスを信頼する方法において Linux は Windows や macOS に近づきますが、積極的な対応が必要です。Linux フリートを抱える組織は、自動ブローカー アップグレード後の認証失敗を待つのではなく、今すぐ再参加プロセスを計画すべきです。

2. オンプレミス AD への Cloud Sync プロビジョニング: ユーザー プロビジョニングがプレビューに

ステータス: グループ プロビジョニングは GA。ユーザー プロビジョニングはパブリック プレビュー 必要な対応: クラウドからオンプレミスへの ID シナリオで評価を実施

Microsoft Entra Cloud Sync は 2026 年中、機能を拡大し続けています — デバイス同期、AD グループ強制、そして今回の逆方向、すなわち Entra ID からオンプレミスの Active Directory Domain Services へのユーザー プロビジョニングです。

利用可能な機能

機能ステータス
AD DS へのセキュリティ グループ プロビジョニング一般提供
AD DS へのユーザー プロビジョニングパブリック プレビュー
ユーザーとグループの組み合わせプロビジョニングパブリック プレビュー

仕組み

Cloud Sync の Entra から AD へのプロビジョニングは、AD から Entra への同期と同じ軽量プロビジョニング エージェントとクラウドベースのオーケストレーション サービスを、逆方向で使用します。Entra 管理センターの構成フロー([Entra ID] > [Entra Connect] > [Cloud Sync])では、5 つのセクションを順に進めます:

  1. スコープ フィルター — すべてのセキュリティ グループ、選択したグループ、または特定のユーザーを選択
  2. 属性マッピング — Entra 属性を AD DS 属性にマップ
  3. テスト — 単一のユーザーまたはグループに対してオンデマンド プロビジョニングで検証
  4. 既定のプロパティ — 既定の設定を確認して調整
  5. 有効化 — 構成を有効にして同期を開始

前提条件

  • ハイブリッド ID 管理者ロール以上
  • オンプレミスにインストールされた Entra プロビジョニング エージェント
  • msDS-ExternalDirectoryObjectId 属性を持つ AD DS スキーマ(Windows Server 2016 以降)
  • グループ メンバーの場合: ユーザーが一致する onPremisesObjectIdentifier を持つ AD アカウントを保有していること

知っておくべき制限事項

  • AD にプロビジョニングされるグループ メンバーは AD アカウントを保有している必要がある(対象となるクラウド管理ユーザーを含む)
  • 同期されたユーザーは、対象 AD の objectGUID と一致する onPremisesObjectIdentifier が引き続き必要
  • グループのオンデマンド テストは 5 メンバーに制限
  • NULL 値は既定では送信されない(属性クリアにはオプトインが必要)

これが重要な理由

これは、クラウドファーストの ID 管理へ移行する組織にとって大きな一歩です。従来、Entra ID でユーザーを管理し、オンプレミス AD にもユーザーを反映させたい場合、選択肢は限られていました。Cloud Sync の双方向機能により、Entra ID を権威ある ID ソースとして機能させながら、レガシー アプリケーション、オンプレミスのファイル サーバー、または AD アカウントを必要とする Kerberos ベースのシステムのために AD への投入を継続できます。

AD DS へのグループ プロビジョニングのチュートリアルと Entra から AD へのプロビジョニング構成ガイドに、ステップバイステップの手順が記載されています。

3. Windows Update による Global Secure Access の自動アップグレード

ステータス: 2026 年 11 月から開始 必要な対応: 検出ルールの更新とオプトアウトの決定

Windows エンドポイント全体で Global Secure Access (GSA) クライアント展開を管理している場合、2026 年 11 月に歓迎すべき変更が訪れます: GSA クライアントが Windows Update を通じて自動アップグレードされるようになります。

変更内容

GSA クライアント バージョン 2.32.294 は、Windows (x64 および ARM) 向けの現在のリリースです。主な追加点:

  • ルーティング最適化のための**「ローカル ネットワークを優先」**機能
  • トンネル作成の高速化
  • バグ修正と機能改善

しかし、より大きなニュースは配信メカニズムの変更です。2026 年 11 月から、対象となる Windows クライアントは Windows Update を通じて GSA アップグレードを自動的に受け取ります — 管理者が各新バージョンを手動でダウンロード、パッケージ化、展開する必要がなくなります。

自動更新の最小バージョン

アーキテクチャ最小バージョンリリース日
x642.31.1252026 年 6 月
ARM2.32.2942026 年 8 月

管理者が行うべきこと

  1. 検出ルールを更新する: Intune やその他のエンドポイント管理ツールを使用している場合は、上記の最小バージョン以上をチェックするように検出ルールを更新します。これにより、自動更新されたクライアントが準拠として認識されます。

  2. オプトアウトを決定する: 組織で GSA クライアント更新を手動で管理する必要がある場合は、インストール時にオプトアウト パラメーターを使用します:

    GlobalSecureAccessInstaller.exe /quiet /norestart EnableWindowsUpdates=0

  3. コネクターは対象外であることに注意: この自動更新が適用されるのは GSA クライアントのみです。Entra Private Network Connector のインストールは自動更新されません — 管理者は引き続き Entra 管理センターからコネクターを手動でダウンロードして更新する必要があります。

4. セルフサービス ID 管理が cloud.microsoft に移行

ステータス: 2026 年 11 月下旬に全世界展開 必要な対応: ネットワーク ポリシーの更新

Microsoft Entra のセルフサービス ID 管理ドメインが、cloud.microsoft 名前空間の下に統合されます。myaccount.microsoft.com から myaccount.cloud.microsoft への移行は、2026 年 11 月下旬に全世界展開が予定されています。

管理者が行うべきこと

  • ネットワーク ポリシーで *.cloud.microsoft を許可 — ファイアウォール、プロキシ、条件付きアクセスのネットワーク ポリシーを 11 月の展開前に更新する必要があります
  • ユーザー側の操作は不要 — 旧 URL からの自動リダイレクトが予定されています
  • 認証の変更なし — サインイン動作はこれまでと同様です

これは、他の Microsoft 365 サービスの同様の移行に続く、cloud.microsoft ドメインの下での Microsoft のサービス統合の一環です。

5. ハイブリッド ユーザー向けの拡張された sAMAccountName ソーシング

ステータス: 利用可能(ドメインレベルの設定) 必要な対応: 組織で明示的な sAMAccountName 制御が必要か評価

新しいドキュメントにより、管理者が onPremisesSamAccountName 属性から取得することで、ハイブリッド ユーザーの sAMAccountName 生成を制御する方法が明確になりました。

仕組み

  • 既定の動作(現在): すべてのハイブリッド ユーザーの sAMAccountName は mailNickname から生成されます
  • 拡張動作(オプトイン): sAMAccountName が onPremisesSamAccountName から取得され、管理者に明示的な制御を提供します
  • ドメインレベルの設定: ユーザー単位ではなく、ドメイン単位で有効化
  • 移行への影響: 有効化すると、既存のハイブリッド ユーザーは次の同期サイクルで更新されます
  • クラウド専用ユーザー: mailNickname ベースの生成を継続(変更なし)

これが重要な理由

特定の命名規則や、特定の sAMAccountName 形式に依存するレガシー アプリケーションを持つ組織は、Entra ID を通じてハイブリッド ID を管理する際に一貫性を確保する仕組みを手に入れました。従来は、自動生成によってオンプレミスの期待と一致しない sAMAccountName 値が生成される可能性がありました。

その他のドキュメント更新

今週は、いくつかの小規模なドキュメント更新もありました:

  • Arc サインインのガイダンスを明確化: Arc サインインを有効にすると、マシンが Entra ID に参加します — これは別のドメイン(オンプレミス AD または Entra Domain Services)への参加を予定していないマシンを対象としています。有効化前にドメイン参加計画を確認してください。
  • 同意ポリシーのアプリケーション ID を改訂: Apple Mail、Spark Email、eM Client、Android-Samsung、Android-Mail、Thunderbird のアプリケーション ID が更新されました。詳細な同意ポリシーを管理している管理者は構成を更新してください。
  • Conditional Access What If ツール: ドキュメント例のサンプル UserId が更新されました。製品動作の変更はありません。

注目すべき重要日付

  • 2026 年 9 月 1 日: Entra ID でパスキーが既定になります。SMS/音声ユーザーへの自動有効化が始まります
  • 2026 年 10 月 5 日: SSPR 登録キャンペーンが開始
  • 2026 年 10 月 26 日: Entra ID ブランディングでカスタム CSS 配置プロパティが全世界で廃止
  • 2026 年 11 月 3 日: 動的グループ、AU、エンタイトルメント管理で MemberOf ルール演算子が廃止
  • 2026 年 11 月 9 日: SSPR の強制 — 明示的に登録された方法のみが受け入れられます
  • 2026 年 11 月: Windows Update による GSA クライアントの自動アップグレードが開始
  • 2026 年 11 月下旬: myaccount.cloud.microsoft の全世界展開
  • 2027 年 2 月 1 日: Microsoft ホステッドの SMS/音声認証が完全に廃止(オプトアウト不可)

Kevin を X でフォロー: https://x.com/kkaminsk — Microsoft Entra の毎日の更新情報と分析を配信中。