この記事では、Microsoft Entra IDのカスタム ロールによって付与されたアクセス許可を使用して、アプリケーションとエージェントの管理のニーズに対処する方法について説明します。 Microsoft Entra IDでは、次の方法でアプリケーションとエージェントの作成と管理のアクセス許可を委任できます。
- アプリケーションを作成できるユーザーを制限し、作成したアプリケーションを管理する。 Microsoft Entra ID の既定では、すべてのユーザーがアプリケーションを登録し、ユーザーが作成したアプリケーションのすべての側面を管理できます。 これは、選択されたユーザーのみにその権限を許可するよう制限できます。
- アプリケーションに 1 人以上の所有者を割り当てる。 これは、特定のアプリケーションについての Microsoft Entra 構成のすべての側面を管理する能力をユーザーに付与するための簡単な方法です。
- すべてのアプリケーションに対する Microsoft Entra ID での構成を管理するためのアクセス権を付与する、組み込みの管理ロールを割り当てる。 これは、IT エキスパートに、幅広いアプリケーション構成を管理するためのアクセス権を付与しつつ、アプリケーション構成に関連しない Microsoft Entra の他の部分を管理するためのアクセス権を付与しないようにするための推奨される方法です。
- カスタム ロールを作成して非常に限定されたアクセス許可を定義し、それを特定のユーザーに、1 つのアプリケーションのスコープでは限定された所有者として、またはディレクトリ スコープ (すべてのアプリケーション) では制限付き管理者として割り当てます。
上記の方法のいずれかを使用してアクセス権を付与することを検討することは、2 つの理由から重要です。 まず、管理タスクを実行する機能を委任すると、高い特権を持つ管理者のオーバーヘッドが削減されます。 第二に、制限付きアクセス許可を使用することでセキュリティ体制が改善され、未承認アクセスの可能性が減少します。 ロール セキュリティの計画のガイドラインについては、「Microsoft Entra ID でのハイブリッドおよびクラウド デプロイ用の特権アクセスをセキュリティで保護する」を参照してください。
アプリケーションとエージェントを作成できるユーザーを制限する
Microsoft Entra ID の既定では、すべてのユーザーがアプリケーションを登録し、ユーザーが作成したアプリケーションのすべての側面を管理できます。 また、エージェント ID ブループリントを作成し、それらのエージェントのエージェント ID を作成し、作成したエージェントに関するあらゆる項目を管理することもできます。 また、すべての人が、自分の代わりに会社のデータにアクセスするアプリやエージェントに同意することもできます。 グローバル スイッチを [いいえ] に設定し、選択したユーザーをアプリケーション開発者ロールに追加することで、これらのアクセス許可を選択的に付与することができます。
アプリケーション登録を作成したり、アプリケーションへの同意を行ったりする既定の機能を無効にするには
アプリケーション登録を作成したり、アプリケーションに同意したりする既定の機能を無効にするには、次の手順に従って、組織に対してこれらの設定の一方または両方を設定してください。
Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。
Entra ID>ユーザー>ユーザー設定に移動します。
[ユーザーはアプリケーションを登録できます] の設定を [いいえ] に設定してください。
これにより、ユーザーがアプリケーション登録を作成する既定の機能が無効になります。
Entra ID>エンタープライズ アプリ>同意とアクセス許可に移動します。
[ユーザーの同意を許可しない] オプションを選択してください。
これにより、アプリケーションがユーザーに代わって会社のデータにアクセスすることに、ユーザーが既定で同意できる状態が無効になります。
新しいエージェントを作成する既定の権限を無効にするには (エージェント ID ブループリント)
既定では、組織内のユーザーはエージェント ID ブループリントを作成できます。 エージェント ID 開発者ロールが割り当てられている管理者とユーザーに作成を制限するには、[ ユーザーはエージェント ブループリントを作成できます] をオフにします。
Microsoft Entra 管理センターに、少なくとも クラウド アプリケーション管理者 としてサインインします。
Entra ID>ユーザー>ユーザー設定に移動します。
ユーザーはエージェント ブループリントを作成できます 設定を いいえ に設定します。
これにより、ユーザーが Entra 内で新しいエージェントを作成する既定の機能が無効になります。
既定の権限が無効になっている場合に、アプリケーションを作成して同意するための個々のアクセス許可を付与する
アプリケーション開発者ロールを割り当てると、[ユーザーはアプリケーションを登録できる] 設定が [いいえ] に設定されている場合でも、アプリケーション登録を作成できるようになります。 さらにこのロールでは、[ユーザーはアプリが自身の代わりに会社のデータにアクセスすることを許可できます] 設定が [いいえ] に設定されている場合に、自分自身の代理で同意する権限を付与します。
アプリケーションの所有者を割り当てる
所有者を割り当てることは、特定のアプリケーション登録またはエンタープライズ アプリケーションについての Microsoft Entra 構成のすべての側面を管理する能力を付与するための簡単な方法です。 詳細については、「エンタープライズ アプリケーション所有者を割り当てる」をご覧ください。
組み込みのアプリケーション管理者ロールを割り当てる
Microsoft Entra ID には、すべてのアプリケーションに対する Microsoft Entra ID での構成を管理するためのアクセス権を付与する、一連の組み込みの管理者ロールがあります。 これらのロールは、IT エキスパートに、幅広いアプリケーション構成を管理するためのアクセス権を付与しつつ、アプリケーション構成に関連しない Microsoft Entra の他の部分を管理するためのアクセス権を付与しないようにするために推奨される方法です。
- アプリケーション管理者: このロールのユーザーは、エンタープライズ アプリケーション、アプリケーション登録、アプリケーション プロキシ設定のあらゆる側面を作成および管理できます。 さらに、このロールは、委任済みアクセス許可とアプリケーション アクセス許可 (Microsoft Graph を除く) に同意する権限も付与します。 このロールに割り当てられたユーザーは、新しいアプリケーション登録またはエンタープライズ アプリケーションを作成する際に、所有者として追加されません。
- クラウド アプリケーション管理者:このロールのユーザーは、(アプリケーション プロキシを管理する権限を除き) アプリケーション管理者ロールと同じアクセス許可を持ちます。 このロールに割り当てられたユーザーは、新しいアプリケーション登録またはエンタープライズ アプリケーションを作成する際に、所有者として追加されません。
詳細およびこれらのロールの説明については、「Microsoft Entra の組み込みロール」を参照してください。
Microsoft Entra ID を使用してユーザーにロールを割り当てることに関するハウツーガイドに記載されている手順に従って、アプリケーション管理者またはクラウド アプリケーション管理者のロールを割り当てます。
重要
アプリケーション管理者およびクラウド アプリケーション管理者は、アプリケーションに資格情報を追加し、その資格情報を使用してアプリケーションとしてなりすますことができます。 アプリケーションは、管理者ロールのアクセス許可を超えるアクセス許可を持つことがあります。 このロールの管理者は、アプリケーションのアクセス許可に応じて、アプリケーションになりすましてユーザーや他のオブジェクトを作成または更新する可能性があります。 いずれのロールでも、条件付きアクセスの設定の管理権限は付与されません。
カスタム ロールの作成と割り当て (プレビュー)
カスタム ロールの作成とカスタム ロールの割り当ては別々の手順です。
- カスタムのロール定義を作成し、あらかじめ設定されている一覧からアクセス許可をその定義に追加します。 これらは、組み込みロールで使用されるものと同じアクセス許可です。
- ロールの割り当てを作成し、カスタム ロールを割り当てます。
この分離により、1 つのロール定義を作成し、それを異なるスコープで何度も割り当てることができます。 カスタム ロールは、組織全体のスコープで割り当てることも、単一の Microsoft Entra オブジェクトのスコープで割り当てることもできます。 オブジェクト スコープの例としては、単一のアプリ登録があります。 異なるスコープを使用すると、組織内のすべてのアプリ登録に対して同じロール定義を Sally に割り当て、次に Contoso Expense Reports アプリ登録に対してのみ Naveen に割り当てることができます。
アプリケーション管理の委任のためにカスタム ロールを作成して使用する場合のヒント:
- カスタム役割は、Microsoft Entra 管理センターの最新の [アプリ登録] ブレードでのみアクセス権を付与します。 レガシ アプリ登録ブレードではアクセス権は付与されません。
- [Microsoft Entra 管理ポータルへのアクセスを制限する] ユーザー設定が [はい] に設定されている場合、カスタム役割は、Microsoft Entra 管理センターへのアクセス権を付与しません。
- ロールの割り当てを使用してユーザーがアクセス権を持っているアプリ登録は、アプリの登録ページの [すべてのアプリケーション] タブにのみ表示されます。 「所有済みのアプリ」タブには表示されません。
カスタム ロールの基本の詳細については、カスタム ロールの概要に関するページと、カスタム ロールの作成方法とロールの割り当て方法に関するページを参照してください。
トラブルシューティング
症状 - アプリケーションを登録しようとするとアクセスが拒否される
Microsoft Entra ID にアプリケーションを登録しようとすると、次のようなメッセージが表示されます。
Access denied
You do not have access
You don't have permission to register applications in the <directoryName> directory. To request access, contact your administrator.
原因
アプリケーションをディレクトリに登録できないのは、ディレクトリ管理者がアプリケーションを作成できる人を制限しているためです。
ソリューション
管理者に連絡して次のいずれかを行ってもらってください。
- あなたにアプリケーション開発者ロールを割り当てることで、アプリケーションを作成して同意するためのアクセス許可を付与する。
- あなたのためにアプリケーション登録を作成し、あなたをアプリケーション所有者として割り当てます。