Microsoft Entra ID をセットアップする

教育機関向けの Microsoft プラットフォームは、Intune と Microsoft 365 Education を使用して Windows デバイスの管理を簡素化します。最初の基本的な手順は、学校のユーザーアクセスとアクセス許可を管理するように ID インフラストラクチャを構成することです。

Microsoft 365 Education サブスクリプションに含まれている Microsoft Entra ID は、あらゆる Microsoft クラウドサービスに認証と承認を提供します。 ID オブジェクトは Microsoft Entra ID の中で定義され、人間の ID (学生、教師など) と人間以外の ID (デバイス、サービス、アプリケーションなど) の両方を表します。 Microsoft 365 ライセンスを使用すると、ユーザーはテナント内のサービスを利用し、リソースにアクセスできます。 Microsoft 365 Education では、教師と生徒の ID の管理、デバイスとユーザーにライセンスの割り当て、教室用のグループの作成を行うことができます。

Microsoft 365 テナントの作成

Microsoft 365 テナントをまだお持ちでない場合は、作成する必要があります。

詳細については、「Office 365 テナントの作成」を参照してください。

Microsoft 365 管理センターを確認する

Microsoft 365 管理センターは、Microsoft 365 クラウドのすべての管理コンソールのハブです。 Microsoft 365 管理センターにアクセスするには、Microsoft 365 テナントを作成したときと同じアカウントでサインインします。

Microsoft 365 管理センターから、さまざまな管理ダッシュボードにアクセスできます: Microsoft Entra ID、Microsoft Intune、Intune for Education など:

詳細については、「Microsoft 365 管理センターの概要」を参照してください。

注:

学校の基本的なクラウドインフラストラクチャのセットアップでは、Microsoft 365 セットアップの残りを完了する必要はありません。このため、Microsoft 365 テナントに学生と教師をユーザーとして追加することには直接スキップします。

ドメインを設定する

organization固有のメールを使用してユーザーとグループを作成できるように、カスタムドメインを構成できます。詳細については、次のリンクを参照してください。

Microsoft 365 にドメインを追加する
[設定]>[ドメイン名]>カスタムドメインで既定のドメイン名を設定する

ユーザーの追加、グループの作成、ライセンスの割り当て

Microsoft 365 テナントを配置したら、ユーザーの追加、グループの作成、ライセンスの割り当てを行います。すべての学生と教師は、サインインしてさまざまな Microsoft 365 サービスにアクセスする前に、ユーザーアカウントが必要です。これを行うには、学校データ同期 (SDS) の使用、オンプレミスの Active Directory の手動同期、またはその両方など、複数の方法があります。

注:

学生情報システム (SIS) と学校データの同期同期は、Microsoft 365 Education テナントで学生と教師をユーザーとして作成するための推奨される方法です。ただし、オンプレミスのディレクトリを統合し、アカウントをクラウドに同期する場合は、「Microsoft Entra Connect 同期」に進みます。

School データ同期

SIS データを使用してユーザーとグループをプロビジョニングする

School データ同期 (SDS) は SIS データをインポートおよび同期して、Microsoft 365 グループや Microsoft Teams のクラスチームなど、Microsoft 365 でクラスを作成します。 SDS を使用して、クラウド専用の新しい ID を作成したり、既存の ID を進化させたりすることができます。ユーザーは学生または教師に進化し、成績、学校、その他の教育固有の属性に関連付けられます。

詳細については、「学校データ同期の概要」を参照してください。

ヒント

学校データ同期の詳細と実践については、Microsoft 365 Education テナントで学校データ同期にアクセスし、構成、展開する詳細な手順を提供する Microsoft 学校データ同期のデモに従ってください。

注:

O365-EDU-Tools GitHub サイトからサンプルの SDS CSV 学校データを複製またはダウンロードすることで、テスト展開を実行できます。

通常、テスト SDS データ (ユーザー、グループなど) は、学校の運用環境ではなく、別のテストテナントに展開する必要があることに注意してください。

Microsoft Entra Connect 同期

Active Directory と Microsoft Entra ID の間の同期を構成する

オンプレミスのディレクトリを Microsoft Entra ID と統合するには、Microsoft Entra Connect を使用してユーザー、グループ、その他のオブジェクトを同期できます。 Microsoft Entra Connect を使用すると、次のような学校に適した認証方法を構成できます:

詳細については、「 Microsoft 365 のディレクトリ同期を設定する」を参照してください。

ユーザーを手動で作成する

ユーザーを 1 人ずつ作成する

上記の方法に加えて、Microsoft 365 管理センターを通じてユーザーとグループを手動で追加し、ライセンスを割り当てることができます。

ユーザーを手動で個別に追加する場合、または一括で追加する場合の 2 つのオプションがあります。

学生と教師を Microsoft 365 Education のユーザーとして個別に追加するには:
- Microsoft Entra 管理センターにサインインします。
- [Microsoft Entra ID>ユーザー>すべてのユーザー>新しいユーザー>新しいユーザーの作成] を選択します。詳細については、「ユーザーの追加とライセンスの割り当てを同時に行う」を参照してください。
Microsoft 365 Education に複数のユーザーを追加するには:
- Microsoft Entra 管理センターにサインインします。
- [Microsoft Entra ID>ユーザー]>すべてのユーザー>一括操作>一括作成] を選択します。

詳細については、「Microsoft 365 管理センターで複数のユーザーを追加する」を参照してください。

グループを作成する

ユーザーとデバイスの整理

グループの作成は、ライセンスの割り当て、管理の委任、設定やアプリケーションの展開、学生への課題の配布など、複数のタスクを簡略化するために重要です。グループを作成するには:

Microsoft Entra 管理センターにサインインします。
[Microsoft Entra ID>グループ]>すべてのグループ>新しいグループ] を選択します。
[ 新しいグループ ] ページで、[ グループの種類>セキュリティ] を選択します。
グループ名を指定し、必要に応じてメンバーを追加します。
[次へ] を選択します。

詳細については、「Microsoft 365 管理センターでグループを作成する」を参照してください。

ライセンスを割り当てる

ユーザーにライセンスを割り当てる

ライセンスを割り当てるお勧めの方法は、グループベースのライセンスを使用することです。この方法を使用すると、Microsoft Entra ID は、ライセンスがグループのすべてのメンバーに割り当てられるようにします。グループに参加したすべての新しいメンバーには適切なライセンスが割り当てられ、メンバーが脱退するとライセンスは削除されます。

グループにライセンスを割り当てるには:

Microsoft Entra 管理センターにサインインします。
[Microsoft Entra ID>詳細を表示]>[請求>ライセンス] を選択します。
> Assign のライセンスを割り当てる必要な製品を選択します。
ライセンスを割り当てるグループを追加します。

詳細については、「Microsoft Entra 管理センターを使用したグループベースのライセンス」を参照してください。

学校のブランドを構成する

テナントブランドをカスタマイズする

学校のブランドを構成すると、学生と教師がより使い慣れた Windows Autopilot エクスペリエンスを利用できるようになります。カスタムスクールブランドを使用して、カスタムロゴとウェルカムメッセージを定義できます。これは、Windows の out-of-box experience (OOBE) 中に表示されます。

学校のブランドを設定するには:

Microsoft Entra 管理センターにサインインします。
Microsoft Entra ID>さらに表示>ユーザーエクスペリエンス>会社のブランド] を選択します。
背景画像、ロゴ、ユーザー名のヒント、サインインページのテキストなどのブランド設定を指定できます。
OOBE 中に表示される学校のテナントの名前を調整するには、[Microsoft Entra ID>概要>プロパティ] を選択します。
[名前] フィールドに、学区またはorganizationの名前を入力します >保存。

詳細については、「ディレクトリにブランドを追加する」を参照してください。

デバイス設定を構成する

このセクションでは、Microsoft Entra デバイス設定を構成します。

Microsoft Entra 参加を有効にする

Microsoft Entra 参加とデバイスの制限を有効にする

Microsoft Entra の参加を許可するには:

Microsoft Entra 管理センターにサインインします。
[Microsoft Entra ID>デバイス>デバイス設定] を選択します。
[ユーザーはデバイスを Microsoft Entra ID に参加させることができます] で、[すべて] を選択します。

注:

特定のユーザーのみがデバイスを Microsoft Entra ID に参加させることができるようにする必要がある場合は、[選択済み] を選択します。プロビジョニングパッケージを使用している場合は、プロビジョニングパッケージを作成するユーザーアカウントがユーザーの一覧に含まれていることを確認します。
また、このページでは、 ユーザーあたりの最大デバイス数 の値を確認することもできます。この値は、教育機関のお客様は一般的に [無制限] に設定されています。
[保存] を選択します

注:

一括登録トークン (プロビジョニングパッケージが Entra 参加を実行するために使用) を作成するには、サポートされている Microsoft Entra ロールの割り当てが必要であり、Microsoft Entra ID の管理単位にスコープを設定してはなりません。サポートされているロールは次のとおりです。

クラウドデバイス管理者
Intune 管理者
パスワード管理者

詳細については、「Microsoft Intune 管理センターで管理者アクセス許可を付与する」を参照してください。

ローカル管理者パスワードの保存を有効にする (オプション)

Microsoft Entra を有効にしてローカル管理者のパスワードを保存する

Microsoft Entra は、デバイスのローカル管理者パスワードを保存できます。 Entra にパスワードを保存するには、Intune を使用してデバイスを構成する必要があります。これにより、Entra はデバイスからのパスワードを受け入れることができます。

Entra がローカル管理者パスワードを保存できるようにするには:

ブレード	構成グループ	設定	値
すべてのデバイス\デバイス設定	ローカル管理者の設定	Microsoft Entra ローカル管理者パスワードソリューション (LAPS) を有効にする (プレビュー)	はい
すべてのデバイス\デバイス設定	その他の設定	ユーザーが所有するデバイスの BitLocker キーを回復できないようにする	いいえ

詳細については、「Microsoft Entra ID の Windows ローカル管理者パスワードソリューション」を参照してください。

Enterprise State ローミングの構成 (省略可能)

Enterprise State Roaming を無効にする

ブレード	構成グループ	設定	値
すべてのデバイス\Enterprise State Roaming	デバイス間での設定とアプリデータの同期をユーザーに許可する	デバイス間での設定とアプリデータの同期をユーザーに許可する	なし

詳細については、「Microsoft Entra ID で Enterprise State ローミングを有効にする」を参照してください。

管理操作へのアクセスを制限する (省略可能)

ユーザーアクセスを減らすようにテナントを構成する

Microsoft Entra には、Microsoft Entra で管理者の役割を持たないユーザーの管理機能を制限できるいくつかのコントロールがあります。

構成されることが多い設定の一覧を以下の表に示します。

ブレード	構成グループ	設定	値
User settings	既定のユーザーロールのアクセス許可	ユーザーはアプリケーションを登録できる	いいえ
User settings	既定のユーザーロールのアクセス許可	管理者以外のユーザーによるテナント作成の制限	はい
User settings	既定のユーザーロールのアクセス許可	ユーザーはセキュリティグループを作成できる	いいえ
User settings	ゲストユーザーアクセス	ゲストユーザーのアクセス制限	ゲストユーザーアクセスは、自分のディレクトリオブジェクトのプロパティとメンバーシップに制限される (最も制限が厳しい)
User settings	管理ポータル	Microsoft Entra ID 管理ポータルへのアクセスを制限する	はい
User settings	LinkedIn アカウント接続	ユーザーが自分の職場または学校アカウントを LinkedIn に接続することを許可する	いいえ
User settings	サインインしたままにする設定を表示する	サインインしたままにする設定を表示する	はい

次の記事では、ディレクトリへのアクセスを管理するための追加の制御を適用できます。

グループへのアクセスを制限する (オプション)

テナントを構成してグループ管理機能を削減する

Microsoft Entra には、ユーザーのグループ機能を制限できるいくつかのコントロールがあります。