ID とアクセス管理 (IAM) は、クラウド アーキテクチャの基本要素です。 オンプレミス システムでは、内部ネットワークによってセキュリティ境界が確立されます。 クラウド環境では、境界ネットワークとファイアウォールだけでは、アプリやデータへのアクセスを管理するには十分ではありません。 代わりに、パブリック クラウド システムは境界セキュリティ向けの ID ソリューションに依存します。
ID ソリューションは、組織のアプリとデータへのアクセスを制御します。 ユーザー、デバイス、アプリケーションには ID があります。 IAM コンポーネントは、これらの ID の認証と承認をサポートします。 認証は、どのユーザーまたはシステムがアカウントを使用するかを決定します。 承認は、ユーザーがアプリケーションで実行できる操作を制御します。
ID 向け Azure サービス
Azureでは、ID に関するさまざまなサービスが提供されます。
Microsoft Entra IDは、ユーザー、デバイス、アプリ、リソースに対する認証、ポリシーの適用、保護を提供する、クラウドベースの主要な ID およびアクセス管理サービスです。
Microsoft Entra Domain Servicesはマネージド ドメイン サービス用です。
Microsoft Entra 外部 IDは、顧客とパートナーの ID シナリオを対象とします。
Microsoft Entra Private Accessは、セキュリティで保護されたプライベート ネットワーク アクセス用です。
Microsoft Entra Internet Accessは、セキュリティで保護されたインターネット アクセス用です。
Architecture
このアーキテクチャのVisio ファイルをダウンロードしてください。
前の図は、一般的な基本 ID またはベースライン ID の実装を示しています。 Azureで構築できる実際のソリューションについては、「ID アーキテクチャ」を参照してください。
ID ガイド、アーキテクチャ、ソリューションのアイデアを確認する
このセクションの記事には、Azureにデプロイして運用グレードのソリューションに拡張できるガイドと完全に開発されたアーキテクチャが含まれています。 ソリューションのアイデアは、ID の概念実証 (POC) 開発を計画するときに考慮する実装パターンと可能性を示しています。 これらの記事は、Azureで ID テクノロジを使用する方法を決定するのに役立ちます。
ID ソリューションのアイデア
次の ID ソリューションのアイデアは、実装パターンと探索する可能性を示しています。
- セキュリティ テナント間でクラウド ワークロードを移行する: テナント間のワークロード移行戦略を定義して実装し、取得や売却などのビジネス変革に対処します。
ID アーキテクチャ
次の運用対応アーキテクチャでは、デプロイおよびカスタマイズできるエンド ツー エンドの ID ソリューションを示します。
オンプレミスの Active Directory ドメインを Microsoft Entra ID と統合する: クラウドベースの ID 認証を提供するために、オンプレミスの Active Directory ドメインを Microsoft Entra ID と統合するためのベスト プラクティス。
Azureに AD DS リソース フォレストを作成する: オンプレミスの Active Directory フォレスト内のドメインによって信頼されている別のActive Directory ドメインをAzureに作成します。
AWS の ID 管理とアクセス管理のMicrosoft Entra: MICROSOFT ENTRA ID とアクセスのソリューションを AWS にデプロイして、一元化された ID 管理と強力なシングル サインオン認証を提供します。
Azure仮想ネットワークに AD DS をデプロイする: ハイブリッド クラウド環境で分散認証サービスを提供するために、オンプレミスの Active Directory ドメインをAzureに拡張します。
オンプレミスの AD FS を Azure に拡張する: オンプレミス ネットワークをAzureに拡張し、フェデレーション認証と承認に Active Directory フェデレーション サービス (AD FS) (AD FS) を使用します。
ID ガイド
自己管理Active Directory Domain Services、Microsoft Entra ID、およびマネージド Microsoft Entra Domain Servicesを比較する: 中央 ID へのアクセスを提供する 3 つのサービスを比較して、シナリオに最適かどうかを判断します。
Microsoft Entra ハイブリッド ID ソリューションに適した認証方法を選択します。パスワード ハッシュ同期、パススルー認証、フェデレーションなど、認証オプションを評価します。
アプリへのテナント間のセキュリティで保護されたアクセス: Web アプリまたは関数アプリへの受信トラフィックを制限します。 Azureのプライベート エンドポイントを使用して、コンシューマー テナントにプロバイダー テナント アプリへのアクセスをセキュリティで保護します。
組織の準備
クラウド導入プロセスの開始時の組織は、クラウド導入フレームワークを使用してAzure、クラウド導入を加速させる実証済みのガイダンスにアクセスできます。
ID とアクセス管理の設計領域: 認証、承認、職務の分離、Microsoft Entra IDとのハイブリッド ID 同期など、ID とアクセス基盤のオプションを評価します。
Azure課金プランとMicrosoft Entraテナント: 課金プランがMicrosoft Entraテナントとどのように関連付けられているか、およびサブスクリプションがテナント構造とどのように関連しているかを理解します。
リソース編成: 名前付け、タグ付け、サブスクリプションの設計、管理グループ階層の一貫したパターンを確立して、クラウドにデプロイされた ID やその他のリソースを整理します。
Azureでの ID ソリューションの品質を確保するには、Azure Well-Architected フレームワークのガイダンスに従ってください。 Well-Architected Framework は、アーキテクチャの卓越性を求める組織に規範的なガイダンスを提供し、コスト最適化された Azure ソリューションを設計、プロビジョニング、監視する方法について説明します。 ID 固有のガイダンスについては、「 ID とアクセス管理のアーキテクチャ戦略」を参照してください。この戦略では、5 つの Well-Architected Framework の柱すべてに対する認証、承認、条件付きアクセス、ID ライフサイクル管理について説明します。
ベスト プラクティス
これらのベスト プラクティスに従って、Azureの ID ワークロードのセキュリティ、信頼性、パフォーマンス、運用品質を向上させます。
オンプレミスの Active Directory ドメインを Microsoft Entra ID と統合する: オンプレミスの Active Directory ドメインとMicrosoft Entra IDを統合するためのベスト プラクティスには、VPN またはAzure ExpressRoute接続のないリモート ユーザー アクセス、セルフサービス機能、ハイブリッド環境に関するガイダンスが含まれます。
ID インフラストラクチャをセキュリティで保護するための 5 つの手順: Microsoft Entra IDを使用して組織の ID セキュリティ体制を強化するためのチェックリスト。 資格情報のセキュリティ強化、攻撃面の縮小、脅威対応の自動化、監査、セルフサービスの有効化について説明します。
Microsoft Entraセキュリティ運用ガイド: Microsoft Entra ID環境に対するセキュリティの脅威を監視および検出するためのガイダンス。 ベースライン、アカウント、アプリケーション、デバイス、インフラストラクチャについて説明します。
セキュリティを強化するためにMicrosoft Entraを構成する: Microsoft Entra IDの包括的なセキュリティ構成チェックリスト。 ID 保護、テナントの分離、ネットワーク保護、脅威の検出など、ゼロ トラストテーマ別に編成されています。
Microsoft Entra展開計画: 多要素認証、条件付きアクセス、ユーザー プロビジョニング、シームレス SSO、セルフサービス パスワード リセットなど、主要なMicrosoft Entra機能のデプロイ 計画。
AD FS から Microsoft Entra ID へのアプリケーション認証の移行の段階を理解する: AD FS から Microsoft Entra ID へのアプリケーション認証の段階的な移行の計画と実装に関するガイダンス。
Microsoft Entra IDへのアプリケーションの移行を計画する: プロジェクト計画や利害関係者のコミュニケーションなど、AD FS からMicrosoft Entra IDにアプリケーション認証を移行するための 4 フェーズ移行プロセスの概要。
アプリケーションをMicrosoft Entra IDに移行するためのリソース: アプリケーションアクセスと認証をMicrosoft Entra IDに移行するのに役立つ、移行プレイブック、準備スクリプト、デプロイ計画などのリソースのコレクション。
ID を最新の状態に保つ
Azure ID サービスは、最新のデータの課題に対処するために進化します。 最新の 更新プログラムと機能について常に情報を得る。
キー ID サービスを最新の状態に保つには、次の記事を参照してください。
Microsoft Entraリリースと発表: 新機能、変更計画のお知らせ、非推奨など、Microsoft Entra製品ファミリ全体の最近の開発を最新の状態に保ちます。
Azureの更新: Azure ID サービスの新しい主要な機能、更新プログラム、お知らせを示すロードマップ。
その他のリソース
次のリソースは、Azure ID サービスの詳細を確認するのに役立ちます。
教育環境でのMicrosoft Entra ID
これらのリソースは、教育機関でのMicrosoft Entra IDの設計と展開に関するガイダンスを提供します。 テナント アーキテクチャ、ID ガバナンス、学生と教職員の資格情報管理について説明します。
Microsoft Entra テナントの概要: テナントの作成、ID セキュリティ境界、ディレクトリ オブジェクト、管理など、教育環境のMicrosoft Entraテナントについて説明します。
大規模な機関向けのマルチテナント アーキテクチャを設計する: 100 万人を超えるユーザーを持ち、マルチテナント Microsoft Entra アーキテクチャを必要とする教育機関向けの原則とガイダンスを設計します。
テナント構成の設計: 外部 ID、条件付きアクセス、デバイス管理、セルフサービス オプションなど、Microsoft Entra テナント全体でセキュリティポリシーとアクセス ポリシーを構成します。
認証と資格情報の戦略を設計する: パスワードレス認証、SSPR、学生と教職員の MFA など、教育機関向けの認証方法と資格情報管理。
アカウント戦略を設計する: Microsoft Entra Connect と School データ同期を使用したプロビジョニングなど、大規模な教育機関向けのクラウド専用およびハイブリッド アカウント作成戦略を計画します。
ID ガバナンスの設計: ID ライフサイクル管理、エンタイトルメント管理、アクセス レビュー、教育機関向けのPrivileged Identity Management。
Microsoft教育ソリューション ガイド: Microsoft 365 Educationの展開ガイダンス。 テナントのセットアップ、ID、アプリケーション、セキュリティ、および A1、A3、および A5 ライセンス レベルのデバイス管理について説明します。
アマゾン ウェブ サービス (AWS) または Google Cloud の専門家
すぐに開始できるように、次の記事では、Azure ID オプションを他のクラウド サービスと比較し、移行ガイダンスを提供します。
サービスの比較
AWS と Azure ID 管理ソリューションの比較: コア ID、認証とアクセス制御、ID ガバナンス、特権アクセス管理、ハイブリッド ID、アプリケーション認証など、AWS とAzure ID サービスの包括的な比較。
AWS の ID 管理とアクセス管理のMicrosoft Entra: SSO 統合、ロール マッピング、条件付きアクセス、Privileged Identity Managementなど、AWS 用のMicrosoft Entra ID とアクセス ソリューションをデプロイするための詳細なガイダンス。
Google Cloud と Azure サービスの比較 - セキュリティと ID: 認証、承認、暗号化、脅威検出を含む、Google Cloud とAzureのセキュリティと ID サービスの比較。
移行ガイダンス
別のクラウド プラットフォームから移行する場合は、次の記事を参照してください。
AWS から Azure へのセキュリティ サービスの移行: MICROSOFT SENTINELへの SIEM の移行や、Microsoft Entra 外部 IDへの顧客 ID の移行など、AWS セキュリティ サービスをAzureに移行するためのガイダンス。
AWS から Azure へのワークロードの移行を計画する: AWS IAM ロールをMicrosoft Entra IDロール、マネージド ID、サービス プリンシパルにマッピングするなど、移行中の ID 管理の計画に関するガイダンスが含まれています。