2026年5月4日に公開・更新情報として確認すべき「Microsoft Entra documentation update: Add hybrid identity administrator as a possible role for config change」の要点は、フェデレーションからクラウド認証へ移行する一部の構成変更で、Global AdministratorだけでなくHybrid Identity Administratorも有効なロールとして扱われる可能性が明確になったことです。
これにより、AD FSなどのフェデレーション環境からPassword Hash Synchronization（PHS）やPass-through Authentication（PTA）へ移行する作業で、必要以上にGlobal Administratorを使わずに済む余地が広がります。ただし、これは「権限が不要になる」変更ではありません。Hybrid Identity Administratorも特権ロールであり、Microsoft Entra Connect、PHS、PTA、Seamless SSO、フェデレーション設定に影響する操作が可能です。実務では、既存の手順書、PIM設定、管理者ロール割り当て、PTAエージェント導入手順を見直すことが重要です。(GitHub)
Microsoft Entra documentation updateで何が変わるのか
今回のドキュメント更新は、Microsoft Entraの新機能追加というより、構成変更時に利用できる管理者ロールの記述を現実の権限設計に合わせて明確化する変更と捉えるべきです。
GitHubの該当PRでは、Hybrid Identity Administratorを「Global Adminと同じ前提条件を満たせる有効なロール」として追加する内容が説明されています。変更対象として示されているのは、主に次の2か所です。(GitHub)
| 対象箇所 | 従来の読み方 | 更新後に確認すべき点 |
|---|---|---|
| Microsoft Entra Connectウィザードの「Connect to Microsoft Entra ID」画面 | Global Administratorアカウントでサインインする | Global AdministratorまたはHybrid Identity Administratorが割り当てられたアカウントで進められるか確認する |
| Microsoft Graph PowerShell SDKでのドメイン変換前サインイン | Global AdministratorでConnect-MgGraphする | Hybrid Identity Administratorでも要件を満たせるか、テナントと手順書で検証する |
ポイントは、「Global Administrator or Hybrid Identity Administrator account」と読むよりも、Global AdministratorまたはHybrid Identity Administratorロールが割り当てられた管理用アカウントと理解することです。個人の通常アカウントに恒久的な権限を付けるのではなく、専用の管理アカウントやPIMによる一時的な有効化と組み合わせるのが現実的です。
影響を受ける管理者と環境
この変更の影響は、すべてのMicrosoft Entra利用者に及ぶものではありません。主に、オンプレミスActive DirectoryとMicrosoft Entra IDを連携しているハイブリッドID環境、特にAD FSなどのフェデレーション認証からクラウド認証へ移行する組織が対象です。
| 対象 | 影響度 | 確認すべきこと |
|---|---|---|
| AD FSからPHS/PTAへ移行する組織 | 高 | 移行作業者にGlobal Administratorが本当に必要か、Hybrid Identity Administratorで足りるか |
| Microsoft Entra Connectを運用しているID管理チーム | 高 | ウィザード実行時のサインイン権限、ローカル管理者権限、オンプレミス側権限の分担 |
| PIMで管理者ロールを運用している組織 | 中〜高 | Hybrid Identity Administratorの有資格割り当て、承認者、最大有効化時間 |
| セキュリティ監査・内部統制担当 | 中 | Global Administrator削減の根拠として手順書を更新できるか |
| 一般ユーザー | 低 | サインイン体験そのものには直接影響しない |
| PTAエージェント追加作業 | 要確認 | 現行ドキュメントでは別箇所にGlobal Administrator記述が残っているため、最新版の手順とテナントで確認する |
特に注意したいのは、PRレビュー上でも「別の手順ではGlobal Administratorが必要と書かれている箇所が残っている」と指摘されている点です。つまり、今回の変更だけを根拠に、すべてのハイブリッドID関連作業をHybrid Identity Administratorへ置き換えるのは危険です。(GitHub)
なぜHybrid Identity Administratorの追加が重要なのか
Global AdministratorはMicrosoft Entra IDと、Microsoft Entra IDを利用する多くのMicrosoftサービスに対して広範な管理権限を持つロールです。Microsoftは、Global Administratorの割り当てを5人未満に抑えることをベストプラクティスとして示しています。(Microsoft Learn)
一方、Hybrid Identity Administratorは、ハイブリッドID運用に必要な領域に絞った特権ロールです。Microsoft Entraの組み込みロール説明では、Active DirectoryからMicrosoft Entra IDへのクラウドプロビジョニング、Microsoft Entra Connect、PTA、PHS、Seamless SSO、フェデレーション設定を管理できるロールとされています。ただし、Microsoft Entra Connect Healthの管理権限は含まれません。(Microsoft Learn)
実務上のメリットは、次の3つです。
| 観点 | Global Administratorを使い続ける場合 | Hybrid Identity Administratorを使う場合 |
|---|---|---|
| 最小権限 | 権限範囲が広すぎる可能性がある | ハイブリッドID運用に近い権限へ絞れる |
| 監査 | 「なぜGlobal Administratorが必要だったのか」を説明しにくい | フェデレーション移行・Entra Connect操作のためと説明しやすい |
| 運用分離 | テナント全体管理者とID基盤担当が混ざりやすい | ID基盤担当へ役割を委任しやすい |
ただし、Hybrid Identity Administratorも軽い権限ではありません。フェデレーション設定や認証方式の変更は、失敗するとユーザーのサインイン障害につながります。「Global Administratorより狭いから安全」と短絡的に判断せず、PIM、承認フロー、作業記録、変更管理とセットで扱うべきです。
まず確認すべき変更点
今回のMicrosoft Entra documentation updateを受けて、管理者が最初に確認すべきなのは、実際の製品画面よりも自社の手順書と権限設計です。
既存手順書の「Global Administrator必須」を洗い出す
フェデレーションからクラウド認証へ移行する手順書に、次のような記載がないか確認してください。
| 古い記載例 | 見直し後の記載例 |
|---|---|
| Global AdministratorでMicrosoft Entra Connectにサインインする | Global AdministratorまたはHybrid Identity Administratorが割り当てられた管理用アカウントでサインインする |
| ドメイン変換はGlobal Administratorで実行する | Microsoft Graph PowerShellの必要スコープと、Hybrid Identity Administratorでの実行可否を事前検証する |
| 作業者に一時的にGlobal Administratorを付与する | PIMでHybrid Identity Administratorを有効化し、必要な時間だけ作業する |
特に、手順書に「管理者アカウント」とだけ書かれている場合は危険です。誰が、どのロールを、どの期間、どの端末から使うのかまで明記してください。
現行Microsoft Learnの記述差分を確認する
Microsoft Learnの「Migrate from federation to cloud authentication」ページでは、ステージングロールアウトの必要ロールとしてHybrid Identity Administratorが示されています。一方で、Microsoft Entra Connectの接続手順やGraph PowerShellのサインイン手順では、Global Administratorと記載されている箇所が確認できます。(Microsoft Learn)
そのため、更新情報を見た直後に本番作業へ反映するのではなく、次の順で確認するのが安全です。
| 確認順 | 作業 | 判断基準 |
|---|---|---|
| 1 | Microsoft Learnの最新版を確認 | 該当手順がHybrid Identity Administratorに更新されているか |
| 2 | GitHub PRや差分を確認 | どの行が変更対象か、レビュー指摘が残っていないか |
| 3 | 検証テナントまたは低リスクな作業で確認 | Hybrid Identity Administratorでウィザード・PowerShell操作が通るか |
| 4 | 本番手順書へ反映 | 例外条件、ロール有効化手順、ロールバック手順を追記 |
移行・設定確認で見るべき実務ポイント
フェデレーションからクラウド認証へ移行する場合、ロールの変更だけを見ても不十分です。認証方式の切り替えは、ユーザーのサインイン、MFA、条件付きアクセス、AD FS依存アプリ、PTAエージェントの可用性に影響します。
移行前のチェックリスト
| 確認項目 | 具体的な確認内容 |
|---|---|
| 現在のフェデレーション設定 | Get-MgDomainFederationConfigurationで対象ドメインの設定を確認する |
| カスタム設定 | PreferredAuthenticationProtocol、federatedIdpMfaBehavior、SupportsMfa、PromptLoginBehaviorなどを記録する |
| バックアップ | AD FS Rapid Restore ToolやRelying Party Trustのエクスポートを準備する |
| Microsoft Entra Connect | 最新版への更新、同期状態、サインイン方式の現在値を確認する |
| PTAを使う場合 | エージェントがActiveか、複数台構成か、ドメインコントローラーに近い場所へ配置されているか |
| 変更時間帯 | ドメイン変換時の反映遅延や切り戻しを考慮し、メンテナンス時間を確保する |
| ロール | 作業者にHybrid Identity Administratorを割り当てるか、PIMで一時有効化するかを決める |
Microsoft Learnでは、フェデレーション設定の確認、バックアップ、メンテナンス時間、PTAエージェントの状態確認などが移行前の重要事項として説明されています。特にPTAでは、エージェントがActiveでない状態でドメイン変換すると認証停止のリスクがあります。(Microsoft Learn)
PowerShell作業で確認するコマンド例
移行手順では、Microsoft Graph PowerShell SDKを使ってドメインの認証方式を確認・変更します。実行前に、ロールだけでなくスコープ、対象ドメイン、ロールバック手順を確認してください。
Connect-MgGraph -Scopes "Domain.ReadWrite.All", "Directory.AccessAsUser.All"
Get-MgDomainFederationConfiguration -DomainId yourdomain.com
Update-MgDomain -DomainId yourdomain.com -AuthenticationType "Managed"
Get-MgDomain -DomainId yourdomain.comここで重要なのは、Connect-MgGraphできることと、変更操作が成功することは別問題だという点です。認可エラーが出る場合は、ロール割り当て、PIMの有効化状態、管理者同意、条件付きアクセス、管理端末の制限を順番に確認します。
ロール割り当てをどう見直すべきか
今回の更新をきっかけに、Global Administratorの棚卸しを行うのがおすすめです。単にGlobal Administratorを減らすのではなく、作業内容ごとに適切なロールへ分けます。
推奨される見直し方
| 作業内容 | 推奨ロールの考え方 |
|---|---|
| Entra Connect、PHS、PTA、Seamless SSO、フェデレーション設定 | Hybrid Identity Administratorを第一候補にする |
| 他の管理者ロールの割り当て管理 | Privileged Role AdministratorまたはGlobal Administratorで制御する |
| Microsoft Entra Connect Healthの管理 | Hybrid Identity Administratorには含まれないため、別途必要ロールを確認する |
| 緊急時のテナント復旧 | クラウド専用の緊急アクセスアカウントを維持する |
| 日常的なID運用 | 可能な限り業務別の限定ロールに分ける |
Microsoft Entra管理センターでは、ユーザー単位、グループ単位、ロール単位でロール割り当てを確認できます。PIMを使っている場合は、有資格、アクティブ、期限切れの割り当てを分けて確認できます。(Microsoft Learn)
PIMを使う場合の確認ポイント
Microsoft Entra Privileged Identity Management（PIM）を利用している場合、Hybrid Identity Administratorを常時付与するのではなく、有資格ロールとして割り当て、作業時だけ有効化する設計が現実的です。PIMでは、対象となるMicrosoft Entraロールを選び、期間や理由を指定してアクティブ化できます。(Microsoft Learn)
| PIM設定 | 推奨される確認 |
|---|---|
| 有効化時間 | 移行作業に必要な最小時間にする |
| 承認者 | 作業当日に承認できる担当者を設定する |
| MFA | 特権ロール有効化時に必須化する |
| 理由入力 | チケット番号や変更申請番号を入力させる |
| 通知 | セキュリティ担当・ID基盤担当へ通知する |
| 監査ログ | 作業後に有効化履歴と実行操作を確認する |
失敗しやすいポイント
Hybrid Identity Administratorだけではオンプレミス権限は付与されない
Microsoft Entraのロールは、Microsoft Entra側の権限です。オンプレミスのWindows Server、Active Directory Domain Services、AD FSサーバー、Microsoft Entra Connectサーバーのローカル管理者権限を自動的に付与するものではありません。
たとえば、Seamless SSOを有効化する場面では、オンプレミスActive Directory側でコンピューターアカウントやSPNに関わる操作が発生します。Microsoft Learnでも、Seamless SSOの有効化ではDomain Administrator資格情報が必要と説明されています。(Microsoft Learn)
PTAエージェントの手順を読み替えない
今回のPRでは、Microsoft Entra ConnectウィザードとGraph PowerShellのサインイン手順が主な変更対象です。一方、PTAエージェントのインストール手順にはGlobal Administratorが必要と記載されている箇所が残っており、レビューでも一貫性確認が指摘されています。(GitHub)
そのため、PTAエージェント追加作業まで自動的にHybrid Identity Administratorで代替できると判断しないでください。実際の作業前に、Microsoft Learn最新版、テナントでの検証、社内変更手順を確認する必要があります。
緊急アクセスアカウントまで削減しない
Global Administratorを減らすことは重要ですが、ゼロに近づければよいわけではありません。Microsoftは、通常の管理アカウントが使えない緊急時に備え、クラウド専用の緊急アクセスアカウントを維持することを推奨しています。(Microsoft Learn)
今回の更新は、日常的なハイブリッドID作業でGlobal Administratorを使いすぎないための材料です。緊急時の復旧経路まで削ってしまうと、条件付きアクセスの誤設定、フェデレーション障害、PIM承認者不在などでテナントから締め出されるリスクがあります。
実務での対応手順
今回のMicrosoft Entra documentation updateを受けて、ID管理チームは次の順番で対応すると安全です。
| 手順 | 作業 | 成果物 |
|---|---|---|
| 1 | 対象手順を特定する | AD FS移行、PHS/PTA切り替え、Entra Connect変更手順の一覧 |
| 2 | Global Administrator前提の記述を洗い出す | 手順書・チェックリスト・変更申請テンプレートの修正対象 |
| 3 | Hybrid Identity Administratorで代替できる作業を分類する | ロール対応表 |
| 4 | PIMまたは一時割り当ての運用を決める | 有効化時間、承認者、通知先 |
| 5 | 検証環境または低リスクな対象で試す | 実行ログ、エラー、必要な追加権限 |
| 6 | 本番手順書へ反映する | 更新済みランブック |
| 7 | 作業後に監査する | ロール有効化履歴、サインインログ、変更ログ |
特に本番移行では、「Hybrid Identity Administratorで実行できるか」だけでなく、「失敗した場合に誰がどの権限で切り戻すか」まで決めておきます。認証方式の変更は、成功時よりも失敗時の備えが重要です。
既存の移行計画に入れるべき確認項目
フェデレーションからクラウド認証へ移行する計画がすでにある場合は、次の項目を変更管理のチェックリストに追加してください。
| タイミング | 確認項目 |
|---|---|
| 移行前 | 作業者がHybrid Identity Administratorで足りるか検証したか |
| 移行前 | Global Administratorを使う場合、その理由と期間を記録したか |
| 移行前 | PIMの承認者が作業時間帯に対応できるか |
| 移行中 | Microsoft Entra Connectウィザードのサインインが成功したか |
| 移行中 | Connect-MgGraph後、必要なコマンドが実行できるか |
| 移行中 | PTAエージェントがActiveであることを確認したか |
| 移行後 | ドメインのAuthenticationTypeがManagedになっているか |
| 移行後 | ユーザーがAD FSへリダイレクトされずMicrosoft Entraサインインできるか |
| 移行後 | 不要になった一時ロールを削除または無効化したか |
よくある疑問
Hybrid Identity Administratorに変えればGlobal Administratorは不要になりますか？
日常的なハイブリッドID作業では、Global Administratorを使わずに済む場面が増える可能性があります。ただし、すべての作業を代替できるとは限りません。ロール割り当て、緊急復旧、他サービスの管理、Connect Healthなどは別途確認が必要です。
すぐに手順書を書き換えてよいですか？
まずは該当するMicrosoft LearnページとGitHub上の変更状況を確認してください。PRベースの変更情報と公開済みドキュメントの記述に差がある場合は、手順書に「最新版確認」と「検証済み条件」を明記してから反映するのが安全です。
Hybrid Identity Administratorは安全なロールですか？
Global Administratorより対象範囲は絞られますが、Microsoft Entra Connect、PHS、PTA、Seamless SSO、フェデレーション設定を扱える特権ロールです。安全なロールというより、ハイブリッドID管理に特化した高権限ロールと考えてください。
PIMは必須ですか？
PIMが必須とは限りませんが、特権ロールを常時付与しないための有効な手段です。Microsoft Entra ID P2やMicrosoft Entra ID Governanceを利用している組織では、Hybrid Identity Administratorを有資格割り当てにして、作業時のみ有効化する設計を検討すべきです。
まとめ：次に取るべき行動
今回のMicrosoft Entra documentation updateで確認すべき本質は、Global Administratorに頼りすぎたハイブリッドID運用を見直す機会だという点です。Hybrid Identity Administratorが構成変更時の有効なロールとして追加されることで、フェデレーションからクラウド認証への移行やMicrosoft Entra Connectの設定変更を、より最小権限に近い形で運用できる可能性があります。
一方で、Hybrid Identity Administratorも特権ロールであり、オンプレミスの管理者権限やPTAエージェント導入手順まで自動的に置き換えるものではありません。まずは、自社の移行手順書にあるGlobal Administrator前提の記述を洗い出し、Hybrid Identity Administratorで代替できる作業、代替できない作業、検証が必要な作業に分けてください。
次にやるべきことは明確です。Microsoft Learnの最新版を確認し、PIMとロール割り当てを棚卸しし、検証環境でHybrid Identity Administratorによる実行可否を確認したうえで、本番の変更手順へ反映しましょう。
コメント