今回の結論はシンプルです。Microsoft Entra の「Microsoft Entra documentation update: Updated DEPRECATED message」は、Microsoft Entra ID のSSO機能全体が廃止される話ではありません。対象は Confluence SAML SSO by Microsoft プラグインであり、このプラグインが2026年5月1日に非推奨になったことを、Microsoft Learn のドキュメント上で明確に知らせる更新です。公開ページは2026年5月5日に更新され、Confluence のシングルサインオンを続ける場合は、サポートされる Atlassian SAML 統合、または Atlassian Cloud への移行検討を促しています。(Microsoft Learn)
管理者が最初にやるべきことは、Microsoft Entra 管理センターのエンタープライズアプリで Confluence SAML SSO by Microsoft を使っているか確認することです。使っている場合は、SAML設定、Confluence側のプラグイン、ユーザー割り当て、証明書、代替方式の候補を棚卸しし、検証環境で移行テストを始めるべきです。既存ログインが直ちに停止すると断定する更新ではありませんが、非推奨化されたプラグインを新規導入や長期運用の前提にするのは避けるべきです。
Microsoft Entra documentation update: Updated DEPRECATED messageの要点
GitHub の MicrosoftDocs/entra-docs にある PR #1959「Updated DEPRECATED message」は、docs/identity/saas-apps/confluencemicrosoft-tutorial.md を対象にした更新です。差分では、ドキュメントの日付が2026年5月5日に更新され、冒頭に「このプラグインは2026年5月1日に非推奨になった」という警告文が追加されています。(GitHub)
今回の更新で読むべきポイントは、次の3つです。
| 確認ポイント | 内容 | 管理者が取るべき判断 |
|---|---|---|
| 非推奨の対象 | Confluence SAML SSO by Microsoft プラグイン | Microsoft Entra ID全体の廃止と誤解しない |
| 対象日 | プラグインは2026年5月1日に非推奨、ドキュメントは2026年5月5日に更新 | 既存構成の棚卸しと移行計画を開始する |
| 今後の方向性 | サポートされる Atlassian SAML 統合、または Atlassian Cloud への移行を検討 | 新規構築では非推奨プラグインを選ばない |
注意したいのは、GitHubのPR差分では代替先として Atlassian Marketplace のサポート済み代替を示す文言が見えますが、公開中の Microsoft Learn ページでは「サポートされている Atlassian SAML 統合」または「Atlassian Cloud」への誘導が表示されている点です。PRと公開ページの文言が異なる場合、実運用の判断では公開中の Microsoft Learn ページを優先して確認してください。(GitHub)
影響を受けるのはどの環境か
影響を受ける可能性が高いのは、Confluence をオンプレミスまたはクラウドIaaS上のWindows 64ビットサーバーで運用し、Microsoft Entra ID と Confluence SAML SSO by Microsoft を使ってSSO連携している環境です。Microsoft Learn の手順では、Confluenceサーバー、HTTPS有効化、Microsoft Entraログインページへの接続、Confluence管理者資格情報、WebSudo無効化、テストユーザー作成などが前提条件として示されています。(Microsoft Learn)
特に、次のいずれかに当てはまる場合は優先度を上げて確認してください。
- Microsoft Entra 管理センターのエンタープライズアプリに Confluence SAML SSO by Microsoft が登録されている
- Confluence側に Microsoft 提供のSSOプラグインを手動アップロードしている
- サインオンURLや応答URLに
https://<DOMAIN:PORT>/plugins/servlet/saml/authを使っている - ユーザーのサインインを Microsoft Entra 資格情報に限定している
- リバースプロキシ、ロードバランサー、Microsoft Entra アプリケーションプロキシ経由でConfluenceを公開している
一方、すでに Atlassian Cloud 側のSSO機能や別のサポート済みSAMLアプリで運用しており、Entra 側にも Confluence SAML SSO by Microsoft が残っていない場合、直接的な影響は小さいと考えられます。ただし、古いエンタープライズアプリが放置されているケースもあるため、サインインログとアプリ一覧は確認しておくべきです。
Microsoft Entra ID自体のSAML SSOが使えなくなるわけではない
今回の「DEPRECATED message」は、Microsoft Entra ID のSAML SSO機能そのものを終了する通知ではありません。公開ドキュメントでも、対象のConfluenceプラグインはSAML 2.0を使ってフェデレーションするものとして説明されています。つまり、影響の中心は Microsoft Entra ID ではなく、Confluence側で使う Microsoft提供プラグイン です。(Microsoft Learn)
この切り分けを誤ると、対応方針を間違えます。たとえば「Microsoft Entra ID が使えなくなる」と捉えてIdP全体を入れ替える必要はありません。実務上は、Microsoft Entra IDをIdPとして使い続けながら、Confluence側のSAML連携方式をサポート済みのものへ置き換える、という考え方が現実的です。
管理者が確認すべき設定項目
まずは、Microsoft Entra側とConfluence側を分けて確認します。片方だけを見ても、実際に非推奨プラグインへ依存しているか判断できません。
| 確認場所 | 確認項目 | 見るべきポイント |
|---|---|---|
| Microsoft Entra 管理センター | エンタープライズアプリ | Confluence SAML SSO by Microsoft が存在するか |
| Microsoft Entra 管理センター | シングルサインオン方式 | SAMLが選択されているか |
| Microsoft Entra 管理センター | 基本的なSAML構成 | 識別子、応答URL、サインオンURLがConfluenceプラグイン向けか |
| Microsoft Entra 管理センター | 証明書 | 署名証明書の有効期限、メタデータURL、ローテーション計画 |
| Microsoft Entra 管理センター | ユーザーとグループ | 誰がConfluenceへSSOできるか |
| Confluence | インストール済みアドオン | Microsoft提供のSSOプラグインが入っているか |
| Confluence | SAMLユーザーID設定 | NameIdentifierまたは属性値がConfluenceユーザーIDと一致するか |
| Confluence | 管理者ログイン経路 | SSO障害時にローカル管理者で入れるか |
| ネットワーク | リバースプロキシ、ロードバランサー | Base URL、プロキシ設定、HTTPS終端がSAML URLと一致するか |
Microsoft Learn の手順では、Microsoft Entra 管理センターで「エンタープライズアプリ」から対象アプリを追加し、対象アプリの「シングルサインオン」でSAMLを選ぶ流れが示されています。既存環境を確認するときも、この導線を逆にたどると棚卸ししやすくなります。(Microsoft Learn)
移行方針は「残す」「置き換える」「Cloudへ移す」で考える
今回の更新を見たら、いきなり設定変更をするのではなく、まず運用方針を決めます。おすすめは、次の3択で整理することです。
| 方針 | 向いている環境 | 注意点 |
|---|---|---|
| 既存構成を一時的に維持 | 短期的に移行できない、本番停止リスクが高い | 非推奨プラグインを長期利用しない前提で期限を決める |
| サポート済みSAML統合へ置き換え | Confluenceを自社管理環境で継続する | 互換性、サポート範囲、証明書更新、JITプロビジョニングを検証する |
| Atlassian Cloudへ移行 | Confluence基盤の保守負荷を下げたい | SSOだけでなく、ユーザー、権限、データ移行、運用設計を見直す |
公開ドキュメントは、Confluence のSSOを続ける場合の方向性として、サポートされる Atlassian SAML 統合または Atlassian Cloud を示しています。移行先を選ぶときは「Microsoft Entraと接続できるか」だけでなく、Confluenceの対象バージョン、サポート体制、証明書更新、障害時のログ取得、管理者の緊急ログイン手段まで確認してください。(Microsoft Learn)
現在のConfluenceバージョンも必ず確認する
今回のドキュメントでは、サポートされるConfluenceのバージョン一覧も確認すべきポイントです。公開ページでは、Confluence 5.0〜5.10、6.0.1〜6.15.9、7.0.1〜7.20.3、8.0.0〜8.9.8、9.0.1〜9.5.1が記載されています。また、Confluenceプラグインは現在Windowsのみをサポートすると説明されています。(Microsoft Learn)
この情報は、単なるバージョン表ではありません。たとえば、Confluence本体のアップグレードを予定している場合、非推奨プラグインを前提にアップグレード計画を組むと、検証段階でSSOだけが動かない可能性があります。移行計画では、次の順番で判断すると手戻りを減らせます。
| 判断順 | 確認すること | 判断基準 |
|---|---|---|
| 1 | 現在のConfluenceバージョン | ドキュメント上の対象範囲に入っているか |
| 2 | OSと配置方式 | Windows上のConfluenceか、IaaSやプロキシ構成があるか |
| 3 | SSOプラグイン | Microsoft提供プラグインに依存しているか |
| 4 | 今後のConfluence計画 | 自社管理を続けるか、Cloudへ移すか |
| 5 | Microsoft Entra連携方式 | 既存アプリを残すか、新しいSAMLアプリを作るか |
移行前にやるべき手順
移行作業は、設定を触る前の棚卸しで成否が決まります。特にSSOは、少しの属性不一致やURL不一致で全ユーザーがログインできなくなるため、本番環境でいきなり変更しないことが重要です。Microsoft Learn でも、手順のテストに本番Confluence環境を使うことは推奨されていません。(Microsoft Learn)
現状をエクスポート・記録する
まず、以下を記録します。
| 記録する項目 | 具体例 |
|---|---|
| Microsoft Entraアプリ名 | Confluence SAML SSO by Microsoft |
| SAML構成値 | 識別子、応答URL、サインオンURL |
| 証明書情報 | 有効期限、拇印、メタデータURL |
| 割り当て | ユーザー、グループ、管理者 |
| 条件付きアクセス | MFA、場所、デバイス条件 |
| Confluence側設定 | Metadata URL、ログインボタン名、既定グループ |
| ユーザー識別子 | NameID、メールアドレス、ユーザー名属性 |
| 緊急ログイン | ローカル管理者、SSO回避URL、復旧手順 |
スクリーンショットだけでなく、変更前後を比較できるように設定値を表形式で残すのがおすすめです。後から「どの値が変わったのか」を追えるだけで、復旧時間を大幅に短縮できます。
検証環境で代替SAML連携を作る
次に、検証環境で代替のSAML連携を作ります。Microsoft Entra側では、新しいエンタープライズアプリまたは代替アプリのSAML設定に、Confluence側から取得した識別子、応答URL、サインオンURLを設定します。
検証では、少なくとも次を確認してください。
| テスト項目 | 合格条件 |
|---|---|
| SP initiated SSO | Confluenceのログイン画面からMicrosoft Entra認証へ遷移できる |
| IdP initiated SSO | Microsoft My AppsなどからConfluenceへ遷移できる |
| 属性マッピング | NameIDまたは指定属性がConfluenceユーザーと一致する |
| JITまたは手動プロビジョニング | 新規ユーザーの扱いが想定通り |
| グループ・権限 | 既定グループや管理権限が過不足なく付与される |
| 証明書更新 | メタデータ更新時の影響を把握できる |
| 障害時ログイン | SSO失敗時に管理者が復旧できる |
Microsoft Learn の手順では、Confluence SAML SSO by Microsoft はSP initiated SSOをサポートすると説明されています。また、Microsoft My Appsから対象アプリに遷移してテストする方法も示されています。移行先でも同じログイン経路を検証しておくと、利用者への案内がしやすくなります。(Microsoft Learn)
失敗しやすいポイント
非推奨の意味を「まだ使えるから問題ない」と軽く見る
非推奨は、必ずしも即停止を意味しません。しかし、将来のConfluenceアップグレード、Microsoft Entra証明書更新、ブラウザーやSAML仕様まわりの変更で不具合が出たとき、サポートや修正を期待しにくくなります。特に認証基盤は、障害時の影響が大きいため、「今ログインできる」だけで判断しないことが大切です。
Entra側だけを見てConfluence側を確認しない
Microsoft Entraのエンタープライズアプリだけを見ても、実際にどのプラグインがConfluence側で動いているかは分かりません。Confluence側のアドオン管理画面で、Microsoft提供のプラグインがインストールされているか、どのメタデータURLや属性を使っているかを確認してください。
証明書が複数ありメタデータ解決で失敗する
Microsoft Learn の手順では、アプリに対してマップされている証明書を1つにするよう注意が示されています。複数の証明書がある場合、メタデータ解決時に管理者へエラーが表示される可能性があります。移行時は、古い証明書を残したまま検証するのではなく、証明書ローテーションの設計も含めて確認しましょう。(Microsoft Learn)
SAMLユーザーIDがConfluenceユーザーと一致しない
Confluence側では、SAMLユーザーIDの場所として NameIdentifier か属性要素を選べます。ここで返す値がConfluenceのユーザーIDと一致しないと、ユーザーはサインインできません。メールアドレスを使うのか、ユーザー名を使うのか、移行前に現行設定と利用者データを照合してください。(Microsoft Learn)
Force Azure Loginで管理者が締め出される
Microsoft Entra資格情報だけでログインさせる設定は便利ですが、SSO設定に失敗したとき管理者もログインできなくなる恐れがあります。ドキュメントでは、Azureログイン強制時に既定の管理者ログインフォームを有効にするためのクエリパラメーターとして https://<DOMAIN:PORT>/login.action?force_azure_login=false が示されています。移行作業前に、緊急時のログイン手順を必ず確認してください。(Microsoft Learn)
リバースプロキシやBase URLの不一致を見落とす
Confluenceをリバースプロキシやロードバランサー配下で運用している場合、ConfluenceのBase URL、SAMLの応答URL、外部公開URLがずれると認証に失敗します。Microsoft Learn でも、プロキシやロードバランサー環境では server.xml の属性追加やBase URL変更が説明されています。移行時は、社内URLと外部URLの両方でログインテストを行ってください。(Microsoft Learn)
今週中に進めたい実務チェックリスト
今回の更新を受けて、管理者は次の順番で動くと効率的です。
| 優先度 | 作業 | 完了条件 |
|---|---|---|
| 高 | Entraのエンタープライズアプリを確認 | Confluence SAML SSO by Microsoft の有無が分かる |
| 高 | Confluenceのアドオンを確認 | Microsoft提供プラグインの利用有無が分かる |
| 高 | 現行SAML設定を記録 | 識別子、応答URL、サインオンURL、証明書を保存 |
| 高 | 影響ユーザーを把握 | 割り当てグループ、管理者、重要部門を特定 |
| 中 | 代替方式を選定 | サポート済みSAML統合かCloud移行かを決める |
| 中 | 検証環境でSSOをテスト | 通常ユーザー、管理者、障害時ログインを確認 |
| 中 | 移行日とロールバック手順を決める | 本番変更の判断基準と戻し方が明文化される |
| 低 | 利用者向け案内を作成 | ログイン画面やボタン名の変更を周知できる |
新規構築では非推奨プラグインを選ばない
これからConfluenceとMicrosoft Entra IDのSSOを構成する場合、ドキュメントに手順が残っていても、Confluence SAML SSO by Microsoft プラグインを新規採用するのは避けるべきです。非推奨と明記されたプラグインを新しい認証基盤に組み込むと、後から移行作業をやり直すことになります。
新規構築では、次の基準で選ぶと失敗しにくくなります。
| 選定基準 | 確認する内容 |
|---|---|
| サポート状況 | 現在も提供元がサポートしているか |
| Confluence対応バージョン | 自社のConfluenceバージョンに対応しているか |
| Microsoft Entra対応 | SAMLメタデータ、証明書、属性マッピングを扱えるか |
| 管理者ログイン | SSO障害時の回避手段があるか |
| ユーザー管理 | JIT、手動プロビジョニング、グループ連携の要件を満たすか |
| 運用ログ | 認証失敗時に原因調査できるログが取れるか |
| 移行容易性 | 現行ユーザーIDやメール属性を引き継げるか |
まとめ：まず「使っているか」を確認し、移行の期限を決める
今回の Microsoft Entra documentation update: Updated DEPRECATED message は、Microsoft Entra ID全体の廃止通知ではなく、Confluence SAML SSO by Microsoft プラグインの非推奨を明確化する更新です。公開ドキュメントでは、プラグインが2026年5月1日に非推奨になったこと、そしてConfluenceのSSO継続にはサポート済みのAtlassian SAML統合またはAtlassian Cloudの検討が必要であることが示されています。(Microsoft Learn)
次に取るべき行動は明確です。Microsoft Entra 管理センターで Confluence SAML SSO by Microsoft が登録されているか確認し、Confluence側のプラグイン利用状況と照合してください。該当する場合は、現行設定を記録し、検証環境で代替SAML連携をテストし、移行期限を決めます。認証基盤の移行は後回しにするほどリスクが高くなるため、「非推奨を把握したら棚卸し、棚卸ししたら検証」という順番で着実に進めることが重要です。
コメント