ユーザーの作成と管理

8 分

Azure リソースへのアクセスを必要とするすべてのユーザーには、Azure ユーザーアカウントが必要です。ユーザーアカウントには、サインインプロセス中の認証に必要なすべての情報が含まれます。認証が完了すると、Microsoft Entra ID では、アクセストークンを構築してユーザーを認可し、ユーザーがアクセスできるリソースとそれらのリソースに対して実行できる操作を決定します。

Microsoft Entra 管理センターは、Web ベースの Microsoft Entra 製品用 ID ポータルです。組織と管理者が Microsoft Entra ソリューションを一元化された場所で構成および管理するための統一された管理エクスペリエンスを提供します。

この演習では、Microsoft Entra 管理センターを使用してユーザーオブジェクトを操作します。一度に 1 つのディレクトリだけを操作できることに注意してください。ただし、[ディレクトリ + サブスクリプション] ペインを使用してディレクトリを切り替えることができます。

ユーザーを表示する

Microsoft Entra ユーザーを表示するには、左側のウィンドウで [ユーザー] を選択し、[すべてのユーザー] を選択します。 [すべてのユーザー] ペインが表示されます。次のスクリーンショットに示されている、[ユーザーの種類] と [ID] の列に注目してください。

[ユーザーの種類] と [ID] 列がある [すべてのユーザー] ペインを示すスクリーンショット。

通常、Microsoft Entra ID は次の 3 つの方法でユーザーを定義します。

クラウド ID:これらのユーザーは Microsoft Entra ID にのみ存在します。例として、自分で管理する管理者アカウントとユーザーがあります。別の Microsoft Entra ID インスタンスで定義されているユーザーが、このディレクトリによって制御されるサブスクリプションリソースにアクセスする必要がある場合、そのソースは Microsoft Entra ID または外部 Microsoft Entra ID です。これらのアカウントは、プライマリディレクトリからなくなると、削除されます。
ディレクトリ同期 ID: これらのユーザーはオンプレミスの Active Directory に存在します。 Microsoft Entra Connect を介して発生する同期アクティビティは、これらのユーザーを Azure に移動します。そのソースは、Windows Server AD です。
ゲストユーザー - これらのユーザーは Azure の外部に存在します。例として、他のクラウドプロバイダーのアカウントや Microsoft アカウント (Xbox LIVE アカウントなど) があります。そのソースは、招待されたユーザーです。この種類のアカウントは、外部ベンダーや請負業者が Azure リソースへのアクセスを必要とする場合に便利です。ヘルプが不要になったら、アカウントとすべてのアクセス権を削除できます。

ユーザーの追加

クラウド ID は、複数の方法で Microsoft Entra ID に追加できます。

オンプレミスの Windows Server Active Directory を同期する
Microsoft Entra 管理センターの使用
Azure ポータルの使用
コマンドラインの使用
その他のオプション

オンプレミスの Windows Server Active Directory を同期する

Microsoft Entra Connect は、従来の Active Directory を Microsoft Entra インスタンスと同期できるようにする別のサービスです。これは、ほとんどの企業ユーザーがディレクトリにユーザーを追加する際に使用する方法です。このアプローチの利点は、シングルサインオン (SSO) を使用してローカルおよびクラウドベースのリソースにアクセスできることです。

Microsoft Entra 管理センターを使用する

Microsoft Entra 管理センターを使用して、新しいユーザーを手動で追加できます。これは、少数のユーザーを追加する最も簡単な方法です。この機能を実行するには、ユーザー管理者ロールに属する必要があります。

新しいユーザーを追加するには、上部のメニューバーで [新しいユーザー] を選択し、[新規ユーザーの作成] を選択します。
[名前] および [ユーザー名] に加え、[役職]、[部署]、[プロパティ] などのプロファイル情報を追加できます。

既定の動作では、新しいユーザーが組織に作成されます。ユーザーは、alice@staracoustics.onmicrosoft.com のように、ディレクトリに割り当てられた既定のドメイン名を含むユーザー名を持つことになります。
また、ディレクトリにユーザーを "招待" することもできます。この場合は、ユーザーが招待に同意すると、既知のメールアドレスにメールが送信され、アカウントが作成されて、そのメールアドレスに関連付けられます。

招待されたユーザーは、特定のメールアドレスが関連付けられていない場合は、関連付けられた Microsoft アカウント (MSA) を作成する必要があります。このアカウントは、ゲストユーザーとして Microsoft Entra ID に追加されます。

コマンドラインを使用する

追加するユーザーが多い場合は、コマンドラインツールを使用することをお勧めします。 New-MgUser PowerShell コマンドを実行して、クラウドベースのユーザーを追加できます。

# Create a password profile value
$PasswordProfile = @{ Password = "<Password>" }

# Create the new user
New-MgUser -DisplayName "Abby Brown" -PasswordProfile $PasswordProfile -MailNickName "AbbyB" -UserPrincipalName "AbbyB@contoso.com" -AccountEnabled

このコマンドでは、作成した新しいユーザーオブジェクトが返されます。

DisplayName Id                                    UserPrincipalName
----------- --                                    -----------------
Abby Brown  f36634c8-8a93-4909-9248-0845548bc515  AbbyB@contoso.com

より標準的なコマンドラインインターフェイスを利用したい場合は、Azure CLI を使用できます。

az ad user create --display-name "Abby Brown" \
                  --password "<password>" \
                  --user-principal-name "AbbyB@contoso.com" \
                  --force-change-password-next-login true \
                  --mail-nickname "AbbyB"

コマンドラインツールを使用すると、スクリプトからユーザーを一括で追加できます。この場合の最も一般的なアプローチは、コンマ区切り値 (CSV) ファイルを使用することです。このファイルは手動で作成するか、既存のデータソースからファイルをエクスポートすることができます。

CSV の使用を計画している場合は、次の点を考慮する必要があります。

名前付け規則: ユーザー名、表示名、エイリアスの命名規則を確立または導入します。たとえば、ユーザー名は、姓、ピリオド (.)、名の順に連結して構成します (Smith.John@contoso.com など)。
パスワード: 新しく作成されたユーザーの初期パスワードの規則を実装します。新しいユーザーがセキュリティが強化された方法でパスワードを受信する方法を決定します。一般的に使用される方法は、ランダムなパスワードを生成し、新しいユーザーまたはその管理者にメールで送信します。

Azure PowerShell で CSV を使用するには、次のようにします。

Connect-MgGraph コマンドを実行して、ディレクトリへの PowerShell 接続を作成します。ディレクトリに対する権限を持つ管理者アカウントを使用して接続します。
新しいユーザーの新しいパスワードプロファイルを作成します。新しいユーザーのパスワードは、ディレクトリに設定したパスワードの複雑性の規則に準拠する必要があります。
Import-CSV を使用して、CSV をインポートします。 CSV のパスとファイル名を指定する必要があります。
ファイル内のユーザーをループし、各ユーザーに必要なユーザーパラメーターを構築します。パラメーターの例としては、ユーザープリンシパル名、表示名、名前、部署、役職などがあります。
New-MgUser コマンドを実行して、各ユーザーを作成します。各アカウントは必ず有効にしてください。

その他のオプション

また、Microsoft Graph API を使って、または同じディレクトリを共有している場合は Microsoft 365 管理センターと Microsoft Intune 管理コンソールを使って、Microsoft Entra ID にプログラムでユーザーを追加することもできます。