Microsoft Entra Privileged Identity Management

解決する課題

• 管理者ロールを常時付与したまま放置しており、アカウント乗っ取り時の被害が大きい → 必要なときだけ昇格させたい
• 「誰が・いつ・なぜ特権を使ったか」を監査で説明できない → 申請・承認・理由・期間を記録に残したい
• 棚卸しのたびに過剰な特権保持者が大量に見つかる → 常時保持をやめて権限クリープを止めたい
• 高リスクな操作の前に承認や MFA を強制したい → 昇格のたびに条件を満たさせたい

主要概念と用語

• 対象（Eligible）割り当て: ロールを「使える資格」だけ与え、実際の権限は持たせない状態。必要時にアクティブ化（昇格）して初めて権限が有効になる
• アクティブ（Active）割り当て: 通常の常時付与。アクティブ化なしで権限が効く。PIM では有効期限を付けた時間制限付きアクティブ割り当ても作れる
• アクティブ化（Activation）: 対象割り当てを持つユーザーが、申請してロールを一時的に有効化する操作。理由入力・MFA・承認などの条件を満たすと、設定した時間だけ権限が付く
• PIM ポリシー（ロール設定）: ロールごとに、最大アクティブ化時間・MFA 必須・承認要否・承認者・理由入力要否などを定める設定
• 承認者（Approver）: アクティブ化申請を承認する役割。承認必須にすると、申請は承認されるまで権限が付かない
• アクセスレビュー: 対象／アクティブ割り当てを定期的に棚卸しし、不要な保持者を見直す仕組み
• 対象範囲: PIM は Entra ロール（ディレクトリ管理権限）、Azure RBAC ロール（Azure リソース）、**PIM for Groups（特権グループのメンバー／オーナー）**に適用できる

仕様・制限・クォータ

• Microsoft Entra ID P2 ライセンスが必要（PIM for Groups や Identity Protection も含む上位プラン）。Free / P1 では利用できない
• 適用対象は Entra ロール、Azure RBAC ロール、PIM for Groups の 3 系統。それぞれ別画面・別ポリシーで管理する
• 最大アクティブ化時間には上限がある（ロール設定で時間単位で指定）。期限が来ると権限は自動で失効する
• アクティブ化条件として MFA 必須・承認必須・理由入力必須・チケット番号入力などをロールごとに設定できる
• アクティブ化をスケジュール予約（将来の時間帯を指定して昇格）することも可能
• 対象割り当て自体にも有効期限を付けられ、恒久的な対象割り当てを禁止するポリシーも組める

内部の仕組み

PIM は「権限の付与」と「権限の有効化」を分離します。常時は対象（Eligible）として資格だけを持たせ、アクティブ化のときに初めて実際のロール割り当てを付け、期限が来たら自動で剥がす、という流れです。

1. 管理者がユーザーに対象（Eligible）割り当てを設定する。この時点で権限は付かない
2. ユーザーが特権を使いたいとき、PIM からアクティブ化を申請する。理由やチケット番号を入力する
3. ロール設定に応じて MFA 評価・承認待ちなどの条件が課される。承認必須なら承認者の承認を待つ
4. 条件を満たすと、設定された時間だけロール割り当てがアクティブ化され、権限が有効になる
5. 有効期限が来ると割り当ては自動で失効し、ユーザーは再び権限ゼロの対象状態に戻る
6. 申請・承認・アクティブ化・失効の各イベントは PIM の監査ログに記録される

• 認証は Entra ID、Azure リソースの認可は Azure RBAC という土台はそのままで、PIM は割り当てのライフサイクルを管理するレイヤーとして上に乗る
• アクティブ化された権限は通常のロール割り当てとして扱われ、対象サービス側はいつもどおりの認可評価を行う

設計パターン / ベストプラクティス

• 特権ロールは原則 Eligible 化: グローバル管理者・所有者・ユーザー管理者などの高権限は常時付与をやめ、対象割り当てに切り替える
• 高リスクロールは承認 + MFA を必須: グローバル管理者など影響の大きいロールは、アクティブ化に承認とフィッシング耐性のある MFA を課す
• アクティブ化時間を短く絞る: 作業に必要な最小限の時間に設定し、終わったら速やかに失効させる
• 恒久的な対象割り当てを禁止: 対象割り当てにも有効期限を付け、アクセスレビューで定期的に棚卸しする
• 緊急アクセスアカウント（Break-glass）は別管理: PIM や条件付きアクセスでロックアウトしたときの非常用アカウントを別途用意し、厳重に保管する
• PIM for Groups で複数特権をまとめる: 個別ロールでなく、特権グループのメンバーシップ自体を PIM で時間制限化して運用を集約する

運用・監視

• PIM の監査ログ / Entra 監査ログで、アクティブ化・承認・割り当て変更を追跡し、Log Analytics / Microsoft Sentinel に集約して相関分析する
• アクセスレビューを定期実行し、対象／アクティブ割り当ての保持者が今も妥当かを見直す
• アクティブ化の承認待ちキューを滞留させないよう、承認者を複数名にして不在時の昇格停止を防ぐ
• アラート設定を活用し、「承認なしで付与された」「短時間に多数のロールがアクティブ化された」などの異常を検知する
• 権限エラー時は、対象割り当ての有無 → アクティブ化済みか → 有効期限切れか、の順で切り分ける

コスト

PIM の利用には Microsoft Entra ID P2 ライセンスが必要で、対象ユーザー数に応じたユーザー単位の月額がかかります。PIM 機能そのものに別途のトランザクション課金が乗るわけではなく、特権を持つ／管理する利用者に P2 を割り当てる形が基本です。常時付与をやめることで侵害時の被害範囲と監査の手間を下げられる点が、実質的な投資対効果になります。具体的な金額やライセンス条件は変動するため、最新の価格ページで確認してください。

セキュリティ

• 常時特権を排除することで、管理者アカウントが乗っ取られてもその瞬間に使える権限が原則ゼロになり、被害範囲を大きく縮小できる
• アクティブ化に MFA・承認・理由入力を課し、特権利用に必ず説明責任を伴わせる
• 時間制限により、付けっぱなしの権限が放置されるリスクを構造的に排除する
• 申請から失効までを監査ログに残すため、インシデント調査と定期監査の両方を支える

関連サービス・比較

PIM は Entra ID + RBAC の上で割り当てのライフサイクルを管理する機能で、常時の権限保持を一時昇格に置き換える点が、AWS で一時資格情報を引き受ける仕組みと発想が近いです。

ハンズオン / CLI例

PIM の割り当て操作は主にポータルや Microsoft Graph で行います。以下は Azure RBAC ロールの PIM（対象割り当て）を Microsoft Graph 経由で作成する例です。

# Microsoft Graph を呼ぶための CLI 拡張（resource-graph 等）やトークン取得の準備
az login

# 対象ユーザーのオブジェクト ID を取得
PRINCIPAL_ID=$(az ad user show --id "admin@example.com" --query id -o tsv)

# Azure RBAC ロールの「対象(Eligible)割り当て」をスケジュール要求として作成
# （roleDefinitionId はロールの完全 ID、scope は割り当て先のスコープ）
az rest --method POST \
  --url "https://management.azure.com/subscriptions/<subscription-id>/providers/Microsoft.Authorization/roleEligibilityScheduleRequests/$(cat /proc/sys/kernel/random/uuid)?api-version=2020-10-01" \
  --body '{
    "properties": {
      "principalId": "'"$PRINCIPAL_ID"'",
      "roleDefinitionId": "/subscriptions/<subscription-id>/providers/Microsoft.Authorization/roleDefinitions/<role-id>",
      "requestType": "AdminAssign",
      "scheduleInfo": {
        "expiration": { "type": "AfterDuration", "duration": "P90D" }
      }
    }
  }'

# 既存の対象割り当てを一覧で確認
az rest --method GET \
  --url "https://management.azure.com/subscriptions/<subscription-id>/providers/Microsoft.Authorization/roleEligibilitySchedules?api-version=2020-10-01"