Microsoft Entra ID のテナント

Microsoft Entra ID は、ユーザーやアプリなどのオブジェクトを、テナントと呼ばれるグループに整理します。テナントを使用すると、管理者は組織内のユーザーと、組織が所有するアプリに対してポリシーを設定して、セキュリティポリシーと運用ポリシーを満たせるようにすることができます。

アプリの開発に関しては、開発者は、アプリの登録時にアプリをシングルテナントまたはマルチテナントに構成することを選択できます。

アプリケーションを登録するときは、次のように対象ユーザーを設定することで、アプリケーションをシングルテナントまたはマルチテナントに構成できます。

聴衆	シングル/マルチテナント	サインインできるユーザー
このディレクトリ内のアカウントのみ	シングルテナント	ディレクトリ内のすべてのユーザーアカウントとゲストアカウントは、アプリケーションまたは API を使用できます。対象ユーザーが組織の内部にある場合は、このオプションを使用します。
任意の Microsoft Entra ディレクトリ内のアカウント	マルチテナント	Microsoft の職場または学校アカウントを持つすべてのユーザーとゲストは、アプリケーションまたは API を使用できます。これには、Microsoft 365 を使用する学校や企業が含まれます。対象ユーザーがビジネスまたは教育機関の顧客である場合は、このオプションを使用します。
Microsoft Entra ディレクトリ内のアカウントと個人の Microsoft アカウント (Skype、Xbox、Outlook.com など)	マルチテナント	職場または学校、または個人の Microsoft アカウントを持つすべてのユーザーは、アプリケーションまたは API を使用できます。これには、Microsoft 365 を使用する学校や企業、および Xbox や Skype などのサービスへのサインインに使用される個人アカウントが含まれます。このオプションを使用して、最も幅広い Microsoft アカウントのセットを対象とします。

マルチテナントアプリのベストプラクティス

IT 管理者がテナントで設定できるさまざまなポリシーの数のため、優れたマルチテナントアプリの構築は困難な場合があります。マルチテナントアプリを構築する場合は、次のベストプラクティスに従います。

条件付きアクセスポリシーを構成したテナントで、アプリをテストします。
最小限のユーザーアクセスの原則に従って、アプリが実際に必要とするアクセス許可のみを要求するようにします。
アプリの一部として公開するすべてのアクセス許可の適切な名前と説明を指定します。これにより、ユーザーと管理者は、アプリの API を使用しようとしたときに同意する内容を把握できます。詳細については、アクセス許可ガイドのベストプラクティスに関するセクションを参照してください。

手記

マルチテナントアプリケーションは、同じ国内クラウドインスタンスにデプロイできますが、Azure National Cloud にデプロイすることはできません。例：

Microsoft Entra ID のテナントの詳細については、次を参照してください。