Microsoft Entra IDは、2026年8月を、外部コラボレーションのセキュリティからハイブリッドプロビジョニング、セキュリティオペレーションまで、IDスタック全体にわたる最後のアップデート群で締めくくりました。8月の前半リリースがテナントガバナンスとライフサイクルワークフローの強化に焦点を当てていたのに対し、この最後の波は、ID業務が実際に行われる製品間のシーム(境界)をターゲットにしています。

今回の目玉テーマは、Microsoftが混在環境でのID管理を必要以上に困難にしていたギャップを埋めていることです。B2Bゲストユーザーがついにパスキーをサポート。Defender XDRがついにディレクトリをまたいだIDレスポンスを統合。Cloud SyncがついにユーザーをADへ逆方向にプロビジョニング。そしてLifecycle Workflowsがついに1年単位の自動化トリガーをサポートします。

以下では、何が変わったのか、なぜ重要なのか、そしてどう対応すべきかを説明します。

1. B2Bゲストユーザー向けパスキー登録とサインイン

ステータス: 既定で有効、2026年10月〜2027年2月にロールアウト 必要な対応: ゲストのスコープを含む認証方法ポリシーを確認

B2Bコラボレーションが大幅なセキュリティアップグレードを受けました。Microsoft Entra IDがB2Bゲストユーザー向けのパスキー登録とサインインをサポートするようになり、リソーステナントのMFA要件をフィッシング耐性のある資格情報で満たせるようになりました。

なぜ重要なのか

これまで、リソーステナント内の内部ゲストユーザーおよび外部ゲストユーザーに対して、パスキー登録は明示的にサポートされていませんでした。これにより、自社ユーザーにフィッシング耐性MFAを義務付けている組織が、外部コラボレーターに同じ基準を適用できないというギャップが生じていました。ゲストユーザーは、SMS、音声、TOTPといった、ますます攻撃の標的になっている脆弱な方法に頼らざるを得ませんでした。

今回の変更により、B2Bユーザーは3つのチャネルからリソーステナントのパスキーを登録できます。

  • リソーステナントのマイセキュリティ情報ページ
  • サインイン中のプルーフアッププロンプト
  • 構成されている場合のパスキー登録キャンペーン

ロールアウトのスケジュール

スコープ開始終了
内部ゲストユーザー2026年10月上旬2026年10月下旬
より広いB2Bスコープ2026年10月上旬2027年2月下旬

この機能は既定で有効です。有効化のための管理者操作は不要ですが、管理者は次のことを行う必要があります。

  1. 認証方法ポリシーを確認する — パスキー(FIDO2)の対象となるユーザーグループ(ゲストを含む)を確認する
  2. B2Bガバナンスのドキュメントを更新する — パートナー組織にリソーステナントのパスキーを登録できることを周知する
  3. サインインログを監視する — ゲストユーザーによるパスキーの採用状況を追跡し、条件付きアクセスポリシーがパスキーを強力なMFAとして認識していることを確認する

この変更は、9月1日のパスキー既定化のロールアウトおよび2027年2月のSMS/音声認証の廃止とうまく連携しています。ゲストユーザーも、フィッシング耐性認証への移行の対象にしっかりと含まれることになります。

2. Defender XDRによる統合IDレスポンスとタイムライン

ステータス: MC1461704およびMC1461705 — 2026年10月中旬にロールアウト開始 必要な対応: IDコネクタの監査、インシデント対応(IR)ランブックの更新

2つの新しいMicrosoft Defender XDR機能により、セキュリティチームがIDインシデントに対応する方法が変わります。この2つは連携して、混在環境でのIDインシデント対応を悩ませてきた製品間のシーム問題を解消します。

統合レスポンスアクション(MC1461704)

セキュリティチームは、単一のワークフローから、IDに関連付けられたすべてのアカウント(またはそのサブセット)に対してサポート対象のレスポンスアクションを適用できるようになりました。サポートされるアクションは次のとおりです。

  • アカウントの無効化/有効化
  • セッションの失効
  • 侵害済みとしてマーク
  • パスワード変更の強制

サポートされるIDシステムとアプリ:

カテゴリシステム
ディレクトリActive Directory、Microsoft Entra ID、Okta
IGACyberArk Identity、SailPoint Identity Security Cloud
SaaSGoogle Workspace、Salesforce、Box

これにより、インシデント対応はシステムごとの操作(EntraにサインインしてEntraアカウントを無効化し、OktaにサインインしてOktaアカウントを無効化し、SalesforceにサインインしてSalesforceアカウントを無効化する)から、ID中心のオーケストレーションへと変わります。3つのディレクトリと2つのSaaSアプリにアカウントを持つ侵害ユーザーの場合、封じ込めが15分間の複数ポータル操作から、単一のアクションへと短縮されます。

統合IDタイムライン(MC1461705)

Defender XDRのIDページが、サインイン、アラート、リスクアクティビティ、レスポンスアクションといったID関連イベントを、接続されているすべてのIDソースにわたって単一の時系列ビューに集約するようになりました。

アナリストは、Entra IDのサインインログ、ADのイベントログ、Oktaの監査証跡を行き来する代わりに、何がいつ、どのシステムで発生したかを示す相関タイムラインを確認できます。これは統合レスポンスアクションと対になる調査機能です。全体像を把握してから、アクションを実行します。

管理者が行うべきこと

  1. Defender XDRのIDコネクタを監査する — AD、Entra ID、Okta、主要なSaaSアプリが統合され、最新の状態であることを確認する
  2. IDマッピングの品質を検証する — リンクされたアカウントの相関が機能するには、UPN、メール、IDが正確である必要がある
  3. インシデント対応ランブックを更新する — アナリストが統合レスポンスを使用すべきタイミングと、システムごとのツールを使用すべきタイミングを定義する
  4. SOCチームをトレーニングする — 統合ワークフロー、コネクタごとのサポート対象アクション、IDタイムラインを紹介する

3. Cloud Sync: Entra IDからADへのユーザープロビジョニング(プレビュー)

ステータス: グループプロビジョニングは一般提供(GA)、ユーザープロビジョニングはパブリックプレビュー 必要な対応: クラウドファーストIDシナリオでの評価

Microsoft Entra Cloud Syncは、従来のADからEntraへのフローの逆方向である、Entra IDからオンプレミスActive Directoryへのユーザープロビジョニングをサポートするようになりました。これはハイブリッドIDチームが長年要望してきた機能です。

提供される機能

機能ステータス
AD DSへのセキュリティグループプロビジョニング一般提供(GA)
AD DSへのユーザープロビジョニングパブリックプレビュー
ユーザーとグループの組み合わせプロビジョニングパブリックプレビュー

なぜ重要なのか

これまで、Entra IDでユーザーを管理し、オンプレミスADにも反映させたい場合、選択肢は限られていました。Entra Connect SyncはADオブジェクトをクラウドにプッシュできましたが、その逆はできませんでした。クラウドファーストのID管理を採用する組織は、レガシーアプリケーション、オンプレミスのファイルサーバー、Kerberosベースのシステム向けにADを更新するため、カスタムスクリプトやサードパーティ製ツールを維持する必要がありました。

Cloud Syncの双方向機能により、Entra IDは、必要な場所でADを更新しながら、IDの権威ソースとして機能できるようになりました。Entra管理センター(Entra ID > Entra Connect > Cloud Sync)の構成フローが、スコープフィルター、属性マッピング、オンデマンドテスト、有効化の手順を管理者に案内します。

前提条件

  • ハイブリッドID管理者ロールが最低限必要
  • オンプレミスにEntraプロビジョニングエージェントがインストールされていること
  • msDS-ExternalDirectoryObjectId 属性を含むAD DSスキーマ(Windows Server 2016以降)
  • グループメンバーの場合: ユーザーが一致する onPremisesObjectIdentifier を持つADアカウントを保持していること

関連機能: SoA変換時にグループのOUと名前を保持

関連するプレビュー機能として、グループのSource of Authority(SoA)をADとEntra IDの間で切り替える際に、グループの組織単位(OU)と名前を保持します。オンプレミスアプリケーションは、GPO、レガシーACL、LDAPクエリでグループ名とOUパスに依存することが多いため、これは重要です。従来、SoA変換はこれらの参照を壊す可能性がありました。

4. 365日オフセットに対応したLifecycle Workflows V2の時間ベーストリガー

ステータス: ドキュメント更新済み、利用可能 必要な対応: 年次プロセスの機会について既存ワークフローを確認

Lifecycle Workflowsは、長期的な自動化において大幅に能力が向上しました。V2の時間ベース属性トリガーが、従来の180日制限から拡張され、365日間のイベントオフセットをサポートするようになりました。

変更内容

  • イベントオフセット: サポート対象の日付属性(入社日、契約終了日、ライセンス有効期限)の前後最大365日
  • 比較オプション: 次の値と等しい、次の値以下、次の値の間(0〜365日のオフセット)
  • 要件: ワークフローとスケジュールの両方が有効であること
  • V2の動作: 3日間のキャッチアップウィンドウなし(V1とは異なる)
  • 管理センターの注意点: 移行期間中、プレビュー管理センターに同じトリガーを表す2つの選択肢が表示される場合がある

なぜ重要なのか

従来、契約更新リマインダー、年次アクセス認定、長期ライセンスのライフサイクルなど、年次トリガーを必要とするワークフローは、外部スケジューラーやカスタムスクリプトが必要でした。365日オフセットにより、これらをLifecycle Workflowsでネイティブに構成できるようになりました。

今回可能になるユースケース:

  • 契約社員向けの年次アカウント認定
  • 年単位のロール割り当ての期限切れと更新
  • 長期ライセンスとアカウントのライフサイクルスケジュール
  • 数か月のリードタイムを持つ契約終了日ワークフロー

5. インバウンドプロビジョニング: null値のフローによるターゲット属性のクリア

ステータス: パブリックプレビュー 必要な対応: null処理について属性マッピングを評価

一見シンプルですが長年要望されてきた機能です。インバウンドプロビジョニングのフローで、ソース値がnullまたは空の場合にターゲット属性をクリアできるようになりました。

これが解決する問題

従来、ソースシステム(人事、SAP、Workday)が属性値を削除した場合(たとえば部署コードや電話番号)、プロビジョニングエンジンは単にその属性をスキップしていました。古い値がEntra IDまたはADに残り続け、システム間でデータドリフトが発生していました。時間の経過とともに、IDストアには現実を反映しなくなった古い属性が蓄積されていました。

仕組み

  • 管理者がソース属性マッピングとターゲット属性マッピングの両方で**「null値をフローする」**を有効にする
  • ソース値がnullまたは空の場合、プロビジョニングエンジンが対応するターゲット属性を積極的にクリアする
  • 指定されたインバウンドプロビジョニングシナリオでは単一値属性のみをサポート
  • グローバルではなくマッピング単位で有効にする必要がある

なぜ重要なのか

これはプライバシーとコンプライアンスの観点から重要です。古い部署コード、更新されていない電話番号、孤立したカスタム属性は、見た目の問題だけではありません。誤ったアクセス判断を引き起こし、動的グループメンバーシップを壊し、監査指摘事項になる可能性があります。null値フローにより、上流でデータを削除することが、IDストアに直接的で予測可能な影響を与えるようになります。

その他のアップデート

GSA macOSクライアントの8月21日リリース

Global Secure Access macOSクライアントv1.1.26060207に、ホームネットワークのトラフィック制御、Connectionsページ、エージェンティック検出サポート、Secure DNSバイパスが追加されました。Connectionsページは、ユーザーと管理者に現在のルーティング動作の可視性を提供し、サポート性を向上させます。ホームネットワークのトラフィック制御により、リモート/ハイブリッド勤務者からのトラフィックをより細かく処理できます。

新しいドキュメント: Entra IDからオンプレミスアプリへのアクセスをガバナンス

Microsoft Entra IDからオンプレミスアプリケーションへのアクセスをガバナンスする方法を解説する新しいチュートリアルが公開されました。クラウドIDガバナンスとレガシーアプリケーションのアクセス管理を橋渡しします。これは、Entra IDをクラウド限定リソースだけでなく、すべてのアクセスのコントロールプレーンにするというMicrosoftの継続的な取り組みの一環です。

Entra Domain Servicesの拡張セキュリティアカウントマネージャー(プレビュー)

Entra Domain Servicesで、拡張されたセキュリティアカウントマネージャーのサポートがパブリックプレビューとして提供され、マネージドドメインのサービスアカウントの処理方法が改善されます。

注目の重要日程

  • 2026年9月1日: Entra IDでパスキーが既定に。SMS/音声ユーザーの自動有効化が開始
  • 2026年10月5日: SSPR登録キャンペーン開始
  • 2026年10月: B2Bゲストユーザーのパスキーロールアウト開始。Windows Hello for BusinessとmacOS Platform SSOが単独のMFA要素として認識
  • 2026年10月26日: Entra IDブランディングでカスタムCSS配置プロパティがグローバルに廃止
  • 2026年11月3日: 動的グループ、管理単位(AU)、エンタイトルメント管理でMemberOfルール演算子が廃止
  • 2026年11月9日: SSPRの強制適用 — 明示的に登録された方法のみ受け付け
  • 2026年11月: Windows Update経由のGSAクライアント自動アップグレード開始
  • 2026年11月下旬: myaccount.cloud.microsoftの全世界展開
  • 2026年10月中旬: Defender XDRの統合レスポンスアクションとタイムラインのロールアウト開始
  • 2027年2月1日: Microsoftホスト型のSMS/音声認証が完全に廃止(オプトアウト不可)

KevinをX(https://x.com/kkaminsk)でフォローして、毎日のMicrosoft Entraアップデートと分析をご覧ください。