Microsoft Entra ID の2026年9月の第1週は、強制実行、ドキュメント、ドメイン統合の組み合わせをもたらしました。最大の項目は本日有効になったものです：SSPR が未登録のディレクトリ連絡先データでのパスワードリセットの受け付けを停止しました。しかし、表面下にはさらに多くのものがあります — パスキーキャンペーンガイダンスがドキュメントの見直しを受け、SCIM 2.0 API が細粒度の権限を獲得し、4つのセルフサービスポータルが単一のドメインに統合され、Viva Engage が管理モデルを引き締めています。
組織のアイデンティティを管理している場合、これらの項目の少なくとも3つは月末前に注意が必要です。
何が変更されたか、なぜ重要か、何をすべきかは以下の通りです。
1. SSPR 強制実行が有効 — 未登録連絡先データは受け付けられなくなりました
ステータス： 2026年9月7日強制実行有効 必要なアクション： 登録された認証方法を持たないユーザーを特定
本日現在、Microsoft Entra ID はセルフサービスパスワードリセット（SSPR）のための未登録ディレクトリ連絡先データの使用を終了しました。ディレクトリ属性として保存された携帯電話番号、勤務先電話、セカンダリメール — mobilePhone、businessPhone、otherMails — は、ユーザーが認証方法登録ポータルを通じて明示的に登録しない限り、検証方法として機能しなくなりました。
変更内容
- 以前： SSPR は、ユーザーがそれらの連絡先を確認したことがない場合でも、ディレクトリ属性の連絡先データを有効な身元証明として受け入れていました
- 以後： ユーザーまたは管理者が明示的に登録した認証方法のみが受け付けられます
- 登録キャンペーン： 2026年7月6日に開始、サインイン後に影響を受けるユーザーにメソッドの登録を促しました
- スコープ： 管理者を含むすべてのユーザー、パブリッククラウド、GCC、GCC High、DoD 全体
- 推定影響： SSPR 検証の約14%が以前は未登録ディレクトリ連絡先データに依存していました
なぜ重要か
この変更は、セルフサービスパスワードリセットの前提全体を損なうセキュリティギャップを閉じます。SSPR が未検証のディレクトリデータを受け入れる場合、ユーザーの mobilePhone または otherMails 属性を入力できる人 — 侵害された管理者アカウントや弱い制御のディレクトリ同期プロセスを含む — はそのユーザーのパスワードリセットフローを傍受できます。この修正は、検証方法が管理者が入力したデータだけでなく、ユーザーの意図と所持の証明に結び付けられることを保証します。
今日の実際のリスクはヘルプデスクの過負荷です。登録キャンペーンを無視し、従来のディレクトリフィールドに依存していたユーザーは、セルフサービスリカバリからロックアウトされています。管理者は手動で一時パスワードを設定し、登録をガイドする必要があります。登録キャンペーンを事前に実行し、メソッド登録を要求する条件付きアクセスポリシーを有効にした組織は、最小限の中断を経験します。
管理者がすべきこと
- 登録レポートを確認 — Entra 管理センターで、セキュリティ → 認証方法 → ユーザー登録の詳細に移動します。登録されたメソッドを持たないユーザーのリストをエクスポートし、特権アカウントを優先します
- ヘルプデスクを準備 — サポートスタッフに強制実行について簡潔に説明し、手動パスワードリセットとガイド付き登録のスクリプトを提供します
- 登録強制を有効化 — 信頼されたネットワークまたは管理対象デバイスにスコープを限定した、ユーザーに認証方法の登録を要求する条件付きアクセスポリシーを検討します
- ユーザーにコミュニケート — 登録されたメソッドがないアカウントに登録ポータルへの直接リンクを含むターゲット通知を送信します
2. パスキー登録キャンペーンガイダンス — 3つの状態が定義
ステータス： ドキュメント2026年9月5日更新 必要なアクション： キャンペーン設定を確認
パスキーと Authenticator 登録キャンペーンの Microsoft Learn ドキュメントが、以前のあまり構造化されていないガイダンスに代わる3つの明示的なキャンペーン状態を定義しました。この更新は、2026年9月1日に有効化されたパスキー-by-default ロールアウトが月末に向けて進行中の状況で公開されました。
3つのキャンペーン状態
| 状態 | 動作 |
|---|---|
| Microsoft 管理 | デフォルト。Microsoft がキャンペーンのタイミング、ターゲティング、プロンプトロジックを制御します。テナントは標準ロールアウトエクスペリエンスを取得します。 |
| 有効 | 管理者がキャンペーンを明示的に有効にしました。管理者はキャンペーンが実行されるタイミングを制御しますが、Microsoft のプロンプトロジックを使用します。 |
| 無効 | 管理者がキャンペーンを明示的に無効にしました。ユーザーはキャンペーンを通じてパスキーまたは Authenticator の登録を促されません。 |
メソッド固有の適格性
ドキュメントは各メソッドタイプの適格性とプロンプト条件を指定します：
- Authenticator キャンペーン： テナントで Authenticator アプリが認証方法として設定されている必要があります。既存の強力なメソッドを持つユーザーはプロンプトされない場合があります。
- パスキーキャンペーン： 認証方法ポリシーでパスキーが有効になっている必要があります。SMS または音声が有効なユーザーは自動的に適格です。
- ロールアウトウィンドウ： 更新されたエクスペリエンスは2026年9月末までにロールアウトされます。ロールアウト中のテナントの動作は異なる場合があります — すべてのテナントがすぐに新しい状態を確認できるわけではありません。
なぜ重要か
パスキー-by-default ロールアウトは、今年の Entra ID で最も重要な認証変更です。SMS または音声が有効なユーザーは自動的にパスキーが有効になり、次の MFA サインイン時に登録を促されます。3状態モデルは管理者に明確なレバーを提供します：Microsoft にキャンペーンを管理させる、明示的な制御を取る、または完全に抑制する（独自のパスキーデプロイ計画を持つテナントに有用）。
一時的なオプトアウト API（Graph Beta、passkeyDynamicMigration プロパティ）は2027年2月1日まで利用可能ですが、2026年9月の自動有効化のみを遅延させます。2027年2月の SMS/音声リタイアにはオプトアウトがありません。
管理者がすべきこと
- キャンペーン状態を確認 — Entra 管理センターで、認証方法 → 登録キャンペーンに移動します。どの状態がアクティブかを確認します
- 認証方法ポリシーを確認 — キャンペーンが正しく機能するようにポリシーでパスキーが有効になっていることを確認します
- 登録進捗を監視 — 認証方法使用レポートを使用して、パスキーを登録したユーザー数と SMS/音声を使用しているユーザー数を追跡します
- 2027年2月に向けて計画 — 今オプトアウトしても、移行計画の構築を開始します。Microsoft 提供の SMS/音声はその日に完全にリタイアされ、延長はありません
3. SCIM 2.0 API リファレンス — 細粒度の権限とより高いページ制限
ステータス： ドキュメント2026年9月5日更新 必要なアクション： SCIM プロビジョニングアプリの権限を確認
Microsoft Entra ID の SCIM 2.0 API リファレンスは9月5日に、ページサイズ、フィルター、細粒度の権限、スキーマ修正をカバーする大幅なドキュメント更新を受けました。これらはドキュメントの変更であり、新しい API 機能ではありません — API はこれらの機能を既にサポートしていましたが、リファレンスがそれらを適切に文書化しました。
リファレンスの新機能
ページサイズとフィルター：
manager属性を除外する投影でページあたり最大999ユーザー- 新しいフィルタータイプ：アクティブユーザー、否定サフィックスマッチ、グループメンバーシップ、グループ所有権
- ページサイズとフィルターの組み合わせを選択するためのパフォーマンスガイダンス
細粒度の最小権限：
- 基本的なユーザー読み取り、ユーザー作成と更新、グループ作成、グループメンバーシップ変更の操作固有の権限
- プロビジョニングアプリケーションは、広範な権限を要求する代わりに、実際のワークフロー操作に同意要求を合わせることができます
- 権限テーブルは個別のインラインリンクを統合された Microsoft Graph 権限リファレンスに置き換えました
スキーマ修正：
User:ownedGroupsとGroup:ownersが読み取り専用、複数値属性として文書化- それらの ID はフィルタークエリで使用できますが、レスポンスボディでは返されません
- グループの
members.valueレスポンスボディの説明を修正
なぜ重要か
SCIM プロビジョニングは、ほとんどの組織が SaaS アプリケーション全体でユーザーライフサイクル管理を自動化する方法です。以前のドキュメントのギャップは、開発者が権限を過剰に割り当てる（ユーザーを作成するだけでよいのに完全なユーザー読み取り/書き込みを要求する）か、試行錯誤でフィルター機能を発見することを意味していました。細粒度の権限マッピングにより、プロビジョニングアプリに最小権限アクセスを実装できます — これはセキュリティのベストプラクティスであり、アプリの承認とコンプライアンスレビューも簡素化します。
999ユーザーのページサイズは、大規模テナントにとって意味のあるパフォーマンス改善です。新しいフィルタータイプと組み合わせることで、プロビジョニングジョブはターゲットユーザーセットをより効率的に取得し、API 呼び出し量を削減できます。
管理者がすべきこと
- SCIM プロビジョニングアプリを監査 — 各 SCIM 接続アプリケーションに付与された権限を確認し、新しい細粒度オプションに合わせます
- プロビジョニング設定を更新 — SCIM クライアントが小さいページサイズを使用している場合、manager を除外した投影で999ユーザーページをテストします
- 新しいフィルターをテスト — グループメンバーシップまたは所有権フィルターがプロビジョニングワークフローのカスタムロジックを置き換えられるかを評価します
- スキーマの期待を検証 — SCIM クライアントがレスポンスボディで
ownedGroupsまたはownersを期待している場合、フィルタークエリを使用するように更新します
4. My Account ドメイン移行 — cloud.microsoft への統合
ステータス： 変更計画 — 2026年11月下旬ロールアウト ソース： MC1462460 必要なアクション： ネットワーク許可リストを更新
Microsoft Entra はセルフサービスアイデンティティ管理ポータルを単一のドメインに統合しています。2026年11月下旬から、4つの個別ポータルが myaccount.cloud.microsoft に集約されます。
統合されるポータル
| 現在の URL | 新しい URL |
|---|---|
| myaccount.microsoft.com | myaccount.cloud.microsoft |
| myapps.microsoft.com | myaccount.cloud.microsoft |
| myaccess.microsoft.com | myaccount.cloud.microsoft |
| mystaff.microsoft.com | myaccount.cloud.microsoft |
変更内容
- ユーザー： アクション不要。古い URL から新しいドメインへの自動リダイレクト
- コア機能： 変更なし — すべての既存ワークフローが継続して機能します
- 管理者： ネットワーク、プロキシ、ファイアウォール、エンドポイントポリシーで
*.cloud.microsoftドメインが許可されていることを確認 - ドキュメント： 古い URL を参照する内部ガイド、ブックマーク、トレーニング材料を更新
なぜ重要か
この統合は、Microsoft 365 サービスで始まった Microsoft の cloud.microsoft ドメイン名前空間へのより広範な移行と一致しています。プロファイル管理用の My Account、アプリランチャー用の My Apps、アクセスレビュー用の My Access、委任管理用の My Staff という4つの個別のアイデンティティセルフサービスポータルが、断片化されたユーザーエクスペリエンスを作成していました。統合ドメインは、背後にある個別のエクスペリエンスを保持しながら単一のエントリポイントを提供します。
ネットワーク許可リスト要件が本当のアクションアイテムです。組織がプロキシ、ファイアウォール、またはエンドポイントポリシーを通じて Microsoft ドメインへのアクセスを制限している場合、*.cloud.microsoft が許可されていない限り、ユーザーは移行が有効になったときに4つのポータルすべてへのアクセスを失います。
管理者がすべきこと
- ネットワークポリシーを監査 — プロキシ、ファイアウォール、エンドポイント許可リストで
myaccount.microsoft.com、myapps.microsoft.com、myaccess.microsoft.com、mystaff.microsoft.comを確認します。該当する場合*.cloud.microsoftを追加します - 内部ドキュメントを更新 — 新しい URL でユーザーガイド、ヘルプデスクスクリプト、トレーニング材料を改訂します
- 事前にテスト — Microsoft はロールアウト前のテストウィンドウを発表していませんが、今日
myaccount.cloud.microsoftがネットワークから正しく解決することを確認できます - ユーザーにコミュニケート — 10月下旬に今後の URL 変更に関する通知を送信し、ブックマークが自動的にリダイレクトされることを強調します
5. Viva Engage 権限の引き締め — Entra ロールが必須
ステータス： 変更計画 — 2026年9月下旬 ソース： MC1465773 必要なアクション： ロール割り当てを確認および更新
2026年9月下旬から、Microsoft Viva Engage は、以前は特定の Entra ロール割り当てなしで認証管理者とネットワーク管理者が利用できたコミュニティとメンバーシップ管理タスクに Microsoft Entra 権限を要求します。
変更内容
- コミュニティの作成と管理： Yammer 管理者ロールまたはコミュニティ管理者割り当てが必須
- メンバーシップ管理： 同じ Entra ロール要件 — これらのロールを持たない認証管理者とネットワーク管理者はコミュニティ管理機能を失います
- スコープ： すべての Viva Engage テナント（世界中）
- タイムライン： 2026年9月下旬（メッセージセンターで正確な日付は指定されていません）
なぜ重要か
Viva Engage（旧 Yammer）は、Entra RBAC と完全には整合しない独自の管理モデルで長く運用されてきました。コミュニティ管理は、Entra に相当するものがない Yammer 固有の管理ロールで可能でした。この変更は、すべての管理アクションが Entra ロールによって管理される Microsoft のアイデンティティファースト管理モデルに Viva Engage を整合させます。
リスクは運用面です：コミュニティ管理のために Yammer ネットワーク管理者または認証管理者に依存している組織は、これらの機能が削除されるのを見ることになります。ロールを事前に割り当てない場合、コミュニティ管理はサイレントに壊れます。
管理者がすべきこと
- 現在の Viva Engage 管理者を棚卸し — Yammer で認証管理者またはネットワーク管理者ロールを持つユーザーのリストをエクスポートします
- Entra ロールを割り当て — コミュニティ管理を継続する必要があるユーザーに、Yammer 管理者の Entra ロールを割り当てるか、明示的にコミュニティ管理者として指定します
- トレーニング材料を更新 — Entra ロール要件を反映するように管理ドキュメントを改訂します
- ロールアウト後に監視 — コミュニティ管理の失敗に関するヘルプデスクチケットに注意し、見落とされたロール割り当てを示します
6. ワークロードアイデンティティ名前空間の明確化
ステータス： ドキュメント2026年9月5日更新 必要なアクション： IaC テンプレートと CLI スクリプトを確認
Microsoft は、自動化の失敗を引き起こしていた名前空間の区別を明確化しました：Azure CLI コマンドと Infrastructure as Code テンプレートは、Microsoft.Storage/* ではなくプロバイダー名前空間 Microsoft.Storage を使用する必要があります。* 形式は Azure ポータルの表示 convention のみであり、API では受け付けられません。
変更内容
- ポータル表示： 視覚的な明確さのために
Microsoft.Storage/*を表示 - API、CLI、IaC：
Microsoft.Storage（ワイルドカードなし）が必須 - ドキュメントで明示： Azure CLI コマンドと IaC テンプレートは
Microsoft.Storageを使用する必要があります
なぜ重要か
これは、実際の問題を解決する小さなドキュメント修正です。ポータルの表示形式を逐語的にコピーした自動化スクリプトは、デプロイ時に名前空間エラーで失敗していました。この明確化は、Azure Storage に関わるワークロードアイデンティティ連携設定の混乱源を排除します。
管理者がすべきこと
- IaC テンプレートを監査 — Bicep、Terraform、ARM テンプレートで
Microsoft.Storage/*を検索し、Microsoft.Storageに置き換えます - CLI スクリプトを確認 — Storage ワークロードアイデンティティ連携を参照する Azure CLI および Azure PowerShell スクリプトを確認します
- ドキュメントを更新 — ポータルの表示形式を伝搬した可能性のある内部ランブックを改訂します
その他の追跡対象
セキュリティ管理者ロールの拡張
セキュリティ管理者の組み込みロールは、非特権ユーザー向けのアイデンティティ応答アクションで拡張されています：アカウントの無効化/有効化、アクティブセッションの取り消し、パスワードリセットの強制。ドキュメントは、非管理者ユーザーのリフレッシュトークンを無効にする際、セキュリティ管理者をヘルプデスク管理者とユーザー管理者と並べてリストしています。ロールアウトは2026年9月末までに完了します。これは2026年9月2日の更新で詳しく説明されています。
新しいメッセージセンターとロードマップ項目
- MC1423108 — iOS での Authenticator パスキーの復元エクスペリエンスの改善
- RM567885 — Entra ID バックアップとリカバリ（ロードマップ）
- MC1438571 — M365 プロファイルカードの追加プロファイルカードプロパティのデフォルトの可視性
- RM568784 — Defender for Identity：アイデンティティページの統合アイデンティティタイムライン
- RM569446 — 強化された Entra Domain Services sAMAccountName サポート（ロードマップ）
注目すべき重要な日付
- 2026年9月末： セキュリティ管理者ロール拡張の完全ロールアウト；Viva Engage 権限変更の有効化
- 2026年10月1日： Entra ID Protection のレガシーリスクポリシーのリタイア
- 2026年10月5日： SSPR 登録キャンペーンの開始（残りのフェーズがある場合）
- 2026年11月3日： 動的グループ、AU、エンタイトルメント管理での MemberOf ルール演算子のリタイア
- 2026年11月下旬： My Account ドメインの
myaccount.cloud.microsoftへの移行 - 2027年2月1日： Microsoft 提供の SMS と音声認証の完全リタイア
Kevin を X でフォロー：https://x.com/kkaminsk — 毎日の Microsoft Entra 更新と分析。