Microsoft Entra ID以前はAzureとして知られていた Active Directory Azure AD は、Microsoft のクラウドベースの ID およびアクセス管理ソリューションです。シングルサインオンと 多要素認証 組織がクラウドアプリケーションとオンプレミスアプリケーションに安全にアクセスできるように支援します。
Entra ID 組織がユーザーとグループを管理できるようにする。オンプレミス環境と統合可能。 Active Directory ハイブリッド型の本人確認ソリューションを提供する。
の主な特長 Entra ID
Entra ID主な特徴は以下のとおりです。
- シングルサインオン（SSO）とは、ユーザーが1つのアカウントで一度ログインするだけで、複数のリソースにアクセスできる機能です。これにより、必要なパスワードの数が減り、セキュリティが向上します。
- 多要素認証（MFA) – リソースへのサインインにセキュリティ層を追加します。パスワードだけでなく、ユーザーの携帯電話に送信される認証コード、またはアプリの通知も必要になります。
- アプリケーション管理 – 管理者は、Office 365、Dropbox、SalesforceなどのSaaSアプリケーションへのアクセスを追加、構成、管理できます。ユーザーは、すべてのアプリケーションにアクセスできます。 Entra ID アクセスパネル。
- ロールベースアクセス制御（RBAC） – ユーザーの役割に基づいて、Entraのリソースとアプリケーションに対するきめ細かなアクセス管理を提供します。これにより、ユーザーは業務遂行に必要なものにのみアクセスできるようになります。
- 監視と報告 – Entra ID アクティビティを監視し、アクセス状況や使用状況を把握するために、ログ、レポート、アラートを提供します。これらの情報は、潜在的なセキュリティ問題の検出に役立ちます。
- セルフサービスによるパスワードリセット – ユーザーがヘルプデスクに問い合わせることなく、自分でパスワードをリセットできます。これにより、コスト削減とユーザーエクスペリエンスの向上につながります。
- ユーザープロビジョニング – ユーザーは手動で作成および管理できます。 Entra ID 管理者が属性、役割、およびアクセス権限を定義できるポータル。
- さらに、その他の機能としては、モバイルデバイス管理、B2Bコラボレーション、アクセス審査、条件付きアクセスなどがあります。
認定条件 Entra ID ワークス
Entra ID オンプレミスのディレクトリと同期し、クラウドアプリケーションへのシングルサインオンを可能にすることで機能します。ユーザーは1つのアカウントで一度サインインするだけで、すべてのリソースにアクセスできます。 Entra ID また、多要素認証、アクセス管理、監視、セキュリティレポート機能も備えており、保護に役立ちます。 ユーザーアカウント そしてアクセスを制御する。
ディレクトリ同期の仕組み
Entra ID Connect はオンプレミスのディレクトリを同期します。 Active Directory ドメインサービス Entra IDこれにより、ユーザーはオンプレミス環境とクラウド環境の両方で同じ認証情報を使用できるようになります。 Entra ID Connectは次のようなオブジェクトを同期します。
- ユーザーアカウント
- グループ
- 連絡先
この同期プロセスは、オンプレミスのディレクトリ オブジェクトを、 Entra ID 対応するディレクトリと連携し、変更が両方のディレクトリに反映されるようにします。
シングル・サインオン
シングルサインオン（SSO）では、ユーザーは一度のログインで複数のアプリケーションにアクセスできます。 Entra ID Security Assertion Markup Language (SAML) および OpenID Connect (OIDC) プロトコルによるシングルサインオン (SSO) を提供し、数千ものアプリケーションと事前に統合されています。シームレスなアクセスにより、ユーザーはアプリにアクセスするたびに認証情報を再入力する必要がありません。
条件付きアクセス
Entra ID 条件付きアクセスを使用すると、管理者は次のような条件に基づいてアクセス制御を設定できます。
- ユーザーの場所
- デバイスの状態
- リスクレベル
- アプリケーションにアクセスしました
管理者はアクセスをブロックしたり、 多要素認証が必要 リスク軽減に役立ちます。条件付きアクセスは、リソースへのアクセスに対するセキュリティをさらに強化します。
Windowsとは Active Directory?
Windows Active Directory Active Directory (AD) は、Windows ドメイン ネットワーク向けの Microsoft のディレクトリ サービスです。ユーザー、グループ、コンピューターなど、ネットワーク上のオブジェクトに関する情報を保存します。AD を使用することで、ネットワーク管理者は Windows 環境におけるユーザーとリソースを管理できます。
ADは階層型データベースを使用して、ディレクトリ内のオブジェクトに関する情報を保存します。オブジェクトには以下が含まれます。
- ユーザー – 従業員などの個々のユーザーを表します。ユーザー名、パスワード、所属グループなどの情報が含まれます。
- グループ – ユーザーや他のグループの集合。複数のユーザーに一度に権限を割り当てるために使用されます。
- コンピュータ – ネットワーク上の個々のマシンを表します。コンピュータ名、IPアドレス、所属グループなどの情報を保存します。
- 組織単位（OU） – ユーザー、グループ、コンピューター、および他の組織単位をグループ化するために使用されるコンテナです。ディレクトリ内のオブジェクトを整理し、アクセス許可を割り当てるのに役立ちます。
- ドメインとは、名前空間とセキュリティ境界を表すものです。組織単位（OU）、ユーザー、グループ、コンピューターで構成されます。ディレクトリサービスは、同じドメイン名を持つオブジェクトが同じセキュリティポリシーを共有することを保証します。
- 信頼関係 – あるドメインのユーザーが別のドメインのリソースにアクセスできるようにします。ドメイン間の連携を可能にするために、2 つのドメイン間で作成されます。 認証.
- サイト – ネットワーク上のサブネットの物理的な位置を表します。同じサイト内に配置されたオブジェクト間のネットワークトラフィックを最適化するために使用されます。
Active Directory (AD) を使用すると、システム管理者は Windows 環境におけるユーザーとリソースを一元的に管理できます。ユーザー、グループ、コンピューターなどのオブジェクトを階層構造に整理することで、AD はネットワーク全体にポリシーとアクセス許可を容易に適用できるようにします。
Windows AD と Entra ID
Windows Active Directory （AD）と Entra ID どちらもマイクロソフトのディレクトリサービスですが、用途が異なります。Windows ADは、組織内のユーザーとリソースを管理するためのオンプレミス型ディレクトリサービスです。 Entra ID は、マイクロソフトのマルチテナント型クラウドベースのディレクトリおよびID管理サービスです。
Windows ADでは、データの保存と認証管理のために物理的なドメインコントローラーが必要です。 Entra ID Microsoftのクラウドサービスでホストされているため、オンプレミスのサーバーは必要ありません。Windows ADはLDAPプロトコルを使用しますが、 Entra ID RESTful API を使用します。Windows AD は主にオンプレミス リソース向けに設計されていますが、 Entra ID クラウドアプリケーション、SaaS（Software as a Service）アプリケーション、およびオンプレミスアプリケーションへのIDとアクセスを管理するように設計されています。
ユーザー管理
Windows ADでは、ユーザーはオンプレミスのWindowsサーバーから同期され、ローカルで管理されます。 Entra IDユーザーはクラウドポータルで作成および管理したり、オンプレミスディレクトリから同期したりできます。 Entra ID 接続してください。 Entra ID また、一括ユーザー作成と更新もサポートしています。 Entra ID Graph API または PowerShell。
アプリケーション管理
Windows ADでは、オンプレミスアプリケーションを公開するために手動構成が必要です。 Entra ID 事前統合されたさまざまなSaaSアプリがあり、ユーザーの自動プロビジョニングを可能にします。カスタムアプリケーションも追加できます。 Entra ID SAMLまたはOpenID Connectを使用したシングルサインオン用。
認証方法
Windows AD は Kerberos オンプレミス認証にはNTLMを使用します。 Entra ID SAML、OpenID Connect、WS-Federation、OAuth 2.0などの認証プロトコルをサポートしています。 Entra ID また、多要素認証、条件付きアクセス ポリシーも提供し、 アイデンティティプロテクション.
ディレクトリ同期
Entra ID Connect は Windows AD から ID を同期できます Entra IDこれにより、ユーザーはサインインできます。 Entra ID Office 365 では同じユーザー名とパスワードを使用します。ディレクトリの同期は一方向で、更新は Entra ID Windows ADからの変更点を含む。
要約すると、Windows AD と Entra ID どちらもマイクロソフトのディレクトリサービスですが、目的が全く異なります。Windows AD はオンプレミスのリソースを管理するためのものですが、 Entra ID SaaSアプリケーションやその他のクラウド リソースへのアクセスを管理するためのクラウド ベースのサービスです。多くの組織では、Windows AD と Entra ID これらを組み合わせることで、最も包括的なソリューションが実現します。
Entra ID 特長
Entra ID 不可欠なものを提供する アイデンティティとアクセス管理 AzureおよびMicrosoft 365向けの機能を提供します。コアディレクトリサービス、高度なIDガバナンス、セキュリティ、およびアプリケーションアクセス管理機能を提供します。
コアディレクトリサービス
Entra ID マルチテナント型のクラウドディレクトリおよびID管理サービスとして機能します。ユーザー、グループ、アプリケーションに関する情報を保存し、オンプレミスのディレクトリと同期します。 Entra ID アプリやリソースへのシングルサインオン（SSO）アクセスを提供します。SSO統合のために、OAuth 2.0、OpenID Connect、SAMLなどのオープンスタンダードをサポートしています。
アイデンティティガバナンス
Entra ID IDライフサイクル管理機能が含まれています。人事データに基づいて、または従業員の入社、異動、退職時に、ユーザーアカウントのプロビジョニングとデプロビジョニングを行うためのツールを提供します。条件付きアクセス ポリシーを設定することで、リソースへのアクセス時に多要素認証、デバイス準拠、場所制限などを必須にすることができます。 Entra ID また、管理者はセルフサービスによるパスワードリセット、アクセスレビュー、特権ID管理を設定することもできます。
セキュリティ
Entra ID 適応型機械学習アルゴリズムとヒューリスティックを利用して、不審なサインインアクティビティと潜在的な脆弱性を検出します。セキュリティレポートとアラートを提供し、脅威の特定と修復を支援します。Microsoft はさらに、 Entra ID プレミアムP2には、セキュリティ強化のためのID保護機能と特権ID管理機能が含まれています。
アプリケーションアクセス管理
Entra ID 数千の事前統合されたSaaSアプリへのシングルサインオンアクセスを可能にする Entra ID アプリギャラリー。ユーザーのプロビジョニングやカスタムアプリケーションのSSO有効化もサポートしています。アプリケーションプロキシは、オンプレミスのWebアプリケーションへの安全なリモートアクセスを提供します。 Entra ID B2Cは、顧客向けアプリケーション向けに顧客IDおよびアクセス管理機能を提供します。
要約すると、Azure ADはマイクロソフトのマルチテナント型クラウドディレクトリおよびID管理サービスです。コアディレクトリサービス、IDガバナンス、セキュリティ機能、アプリケーションアクセス管理といった重要な機能を提供し、組織がAzure、Microsoft 365、その他のSaaSアプリケーションにおけるユーザーIDの管理やリソースへの安全なアクセスを可能にします。
のメリット Entra ID
Entra ID 組織にとっていくつかの利点を提供する。
強化されたセキュリティ
Entra ID 多要素認証、条件付きアクセス、ID保護など、堅牢なセキュリティ機能を提供します。MFAは、ユーザーサインインにセキュリティ層を追加します。条件付きアクセスにより、組織はユーザーの位置情報やデバイスの状態などの要素に基づいてアクセス制御を実装できます。ID保護は、ユーザーアカウントに対する潜在的な脆弱性やリスクを検出します。
合理化されたアクセス管理
Entra ID ユーザーアカウントとアクセス権限の管理を簡素化します。ユーザーとグループの管理、アクセスポリシーの設定、ライセンスや権限の割り当てを一元的に行うことができます。これにより、管理業務の負担を軽減し、組織全体で一貫したポリシー適用を確保できます。
シームレスなシングルサインオン
自律的AI Entra IDユーザーは組織アカウントを使用して一度サインインするだけで、クラウドおよびオンプレミスのすべてのアプリケーションにアクセスできます。このシングルサインオンにより、生産性が向上し、ユーザーのパスワード管理の負担が軽減されます。 Entra ID 数千もの事前統合済みアプリケーションに加え、カスタムアプリケーションに対してもシングルサインオンをサポートします。
生産性の向上
シングルサインオンを可能にし、アクセス管理を効率化することで、 Entra ID エンドユーザーの生産性向上に役立ちます。ユーザーは、異なる認証情報で繰り返しログインすることなく、すべてのアプリケーションとリソースにすばやくアクセスできます。複数のログイン情報やパスワードの管理に費やす時間が減り、必要なアプリケーションやリソースの利用に集中できるようになります。
コスト削減
多くの組織にとって、 Entra ID オンプレミス型のID管理ソリューションに関連するコスト削減に役立つ可能性があります。ID管理のためのハードウェアとソフトウェアの購入および保守が不要になります。また、アクセス管理を簡素化し、シングルサインオンを可能にすることで、パスワードのリセットやアクセスに関する問題に対応するヘルプデスクのコスト削減にもつながります。
一般的な攻撃 Entra ID
一般的な攻撃 Entra ID 次のとおりです。
パスワードスプレー攻撃
パスワードスプレー攻撃とは、共通の認証情報を推測して複数のアカウントにアクセスしようとする攻撃です。攻撃者は「Password1」や「1234」といったパスワードを試して、組織内のアカウントと一致することを期待します。多要素認証とパスワードポリシーを有効にすることで、このような総当たり攻撃を防ぐことができます。
フィッシング攻撃
フィッシング攻撃は、ユーザーの認証情報を盗み出したり、マルウェアをインストールしたり、ユーザーを騙してアカウントへのアクセスを許可させたりすることを目的としています。攻撃者は、不正なメールを送信したり、正規のウェブサイトの外観や操作感を模倣した悪意のあるウェブサイトにユーザーを誘導したりします。 Entra ID ログインページ。フィッシングの手口についてユーザーに周知徹底し、多要素認証を有効にすることで、フィッシングによる情報漏洩のリスクを軽減できます。
トークンの盗難とリプレイ
発行されたアクセストークン Entra ID アクセストークンは盗まれ、再利用されることでリソースへのアクセス権を取得する可能性があります。攻撃者は、ユーザーやアプリケーションをだましてアクセストークンを漏洩させ、そのトークンを使ってデータやシステムにアクセスしようとします。多要素認証を有効にし、有効期限の短いアクセストークンのみを発行することで、トークンの盗難やリプレイ攻撃を防ぐことができます。
不正アカウントの作成
攻撃者はアカウントを作成します Entra ID 偵察に利用し、出発点として 横移動 ネットワーク内で不正にアカウントを作成したり、正規のアカウントに紛れ込ませたりする行為です。アカウント作成ポリシーの強化、多要素認証の有効化、異常なアカウント活動の監視は、不正アカウントの作成を検出するのに役立ちます。
マルウェアおよび悪意のあるアプリケーション
マルウェア、悪意のあるアプリケーション、侵害されたソフトウェアは、以下のデータを抽出するために使用される可能性があります。 Entra ID他のアカウントやシステムに拡散したり、ネットワーク内で永続性を維持したりすることはありません。サードパーティアプリケーションがあなたの Entra ID データとアカウントの保護、侵害の兆候の監視、安全なアプリケーション使用方法に関するユーザー教育は、悪意のあるソフトウェアによるリスクを軽減するのに役立ちます。
結論
Entra ID 多要素認証、条件付きアクセス、ID保護、特権ID管理など、重要なIDおよびアクセス管理機能を提供します。クラウドでセキュリティを向上させ、IDを効率的に管理したいと考えている組織にとって、 Entra ID これは、堅牢で信頼できるソリューションとして検討されるべきである。