Microsoft Entra 管理者がまず押さえるべき点は、今回の公式情報が「Microsoft Entra単体の機能変更」ではなく、Dynamics 365 Business Central の認定試験・学習ガイド更新を通じて、ID、権限、セキュリティ監査、API連携の理解がより重要になったことです。特に Business Central を Microsoft Entra ID、Microsoft 365、Power Platform、外部API連携と組み合わせて運用している組織では、セキュリティグループ、権限セット、アプリ登録、OAuth/S2S認証の棚卸しを進めるべきタイミングです。
Microsoft Learn の日本語版 MB-800 学習ガイドは 2026年5月30日に更新され、2026年6月30日時点で測定されるスキルとして「セキュリティの管理」「Copilotとエージェント機能の有効化」「Business Central操作の実行」などが整理されています。英語版の試験が先に更新され、ローカライズ版はおおむね後追いで更新されるため、受験者だけでなく、導入・運用を担当する管理者や開発者も、現在の環境設定と学習範囲のズレを確認しておきましょう。(Microsoft Learn)
Microsoft Entraの観点で見る今回の更新ポイント
Microsoft Certified: Dynamics 365 Business Central Functional Consultant Associate は、Business Central のコアアプリケーション設定、会社作成、データ移行、財務・販売・購買・在庫・固定資産などの構成スキルを対象にした認定資格です。公式ページでは、この認定が中級レベルで、対象製品に Dynamics 365、Business Central、Microsoft Power Platform が含まれること、更新頻度が12か月であることが示されています。(Microsoft Learn)
一方で、Microsoft Entra 管理者にとって重要なのは「認定資格そのもの」よりも、評価範囲に含まれるセキュリティ運用の変化です。Business Central は Microsoft Entra ID と連携してユーザー認証、セキュリティグループ、OAuth、サービス間認証を扱うため、試験範囲の更新は実務上の確認項目としても使えます。
| 確認領域 | 公式更新で注目すべき内容 | 管理者・開発者への実務影響 |
|---|---|---|
| セキュリティ管理 | ユーザープロファイル、権限、権限セット、セキュリティフィルター、セキュリティグループ、監査が評価対象 | Microsoft Entra グループと Business Central 権限設計の整合性を確認する |
| コア機能設定 | 重要な機能設定が大きな変更領域として扱われる | ジョブキュー、レポート、番号系列、Copilot/エージェント機能の有効化を確認する |
| 操作領域 | Business Central操作の比重が増加 | 管理設定だけでなく、現場ユーザーが使う画面・Excel連携・分析モードまで確認する |
| 統合領域 | 「他製品との統合を説明する」は独立項目として削除 | 統合が不要になったわけではなく、Microsoft 365、Power Platform、Dynamics 365連携の中に組み込まれたと見るべき |
| 在庫処理 | 在庫トランザクション処理が新規項目 | 財務・販売購買だけでなく、在庫データの権限と操作監査も対象に含める |
学習ガイドの変更ログでは、「重要な機能を設定する」「Business Centralで基本的なタスクを実行する」「仕訳帳と支払いを処理する」が大きな変更として示され、「在庫トランザクションを処理する」が新規項目として追加されています。(Microsoft Learn)
変更点の中心は「IDと権限をどう設計するか」
今回の更新を Microsoft Entra の文脈で読むと、最も重要なのは「誰が、どの環境に、どの権限で入れるのか」を説明・設定できることです。学習ガイドでは、セキュリティ管理として、ユーザープロファイルの作成と割り当て、新規ユーザー設定、権限と権限セットの作成、セキュリティフィルター、セキュリティグループと権限セットによる権限割り当て、Business Centralでのセキュリティ監査が明記されています。(Microsoft Learn)
ここで注意したいのは、Business Central のセキュリティは「Microsoft Entraでユーザーを作ったら終わり」ではないことです。Microsoft Entra 側のユーザー・グループ管理、Business Central 側の環境アクセス、アプリ内の権限セット、監査ログの運用がそろって初めて、実務上のアクセス制御になります。
Microsoft Entraグループによる環境アクセスを確認する
Business Central では、環境レベルのアクセス制御に Microsoft Entra グループを割り当てることができます。Microsoftのドキュメントでは、環境に Microsoft Entra グループを割り当てると、そのグループの直接メンバーまたは間接メンバーだけがサインインできると説明されています。ただし、管理者にはこの制限が適用されない点にも注意が必要です。(Microsoft Learn)
実務では、次のような確認が必要です。
| 確認項目 | 見落としやすいポイント | 推奨対応 |
|---|---|---|
| 環境にセキュリティグループが設定されているか | 未設定だと、ライセンスを持つユーザーのアクセス範囲が広がりやすい | 本番・検証・開発環境ごとに割り当てグループを分ける |
| グループの直接・間接メンバー | 入れ子グループ経由で意図しないユーザーが入る | Microsoft Entraでメンバーシップを定期レビューする |
| 管理者アカウント | 環境グループ制限の対象外になる場合がある | 管理者ロールを最小化し、緊急用アカウントを別管理する |
| グループ削除・名前変更 | Business Central側で「Not available」相当の状態になる可能性 | オブジェクトID単位で変更履歴を残す |
| 反映タイミング | グループ変更や削除の反映に時間がかかる場合がある | 権限変更後にサインインテストと監査確認を行う |
特に本番環境とサンドボックス環境を同じ Microsoft Entra グループで管理している場合、開発者や外部パートナーに本番データへのアクセス余地が残ることがあります。環境ごとに「業務利用者」「管理者」「開発者」「外部支援者」を分け、棚卸しできる名前を付けるのが実用的です。
管理者が確認すべきMicrosoft Entra設定
Microsoft Entra 管理者は、Business Central の更新情報を「試験対策」としてではなく、IDガバナンスのチェックリストとして扱うと効果的です。
ユーザー・グループ・権限セットの対応関係
Business Central の権限管理では、権限セットとセキュリティグループの組み合わせが重要です。Microsoftは、Business Central 2023 release wave 1以降でユーザーグループが非推奨になり、権限セットやセキュリティグループへの移行が必要であることを示しています。また、セキュリティグループは Business Central online では Microsoft Entra ID のグループを基盤にします。(Microsoft Learn)
確認すべきポイントは次のとおりです。
- 旧来のユーザーグループ前提の運用や拡張機能が残っていないか
- Microsoft Entra グループ名と Business Central の権限セット名が対応付けられているか
- 退職者、異動者、外部委託先のメンバーシップが残っていないか
- 管理者権限を日常業務用アカウントに付与していないか
- セキュリティ監査を確認する担当者と頻度が決まっているか
よくある失敗は、Microsoft Entra側ではグループをきれいに整理しているのに、Business Central側で個別ユーザーに直接権限を追加してしまうケースです。トラブル時の一時対応として直接付与した権限が残ると、後から「なぜこのユーザーが承認や転記を実行できるのか」を説明できなくなります。
アプリ登録とAPI権限の棚卸し
Business Central と外部システムを連携している場合、Microsoft Entra のアプリ登録も重要です。サービス間認証では、Microsoft Entra テナントにアプリを登録し、Business Central側でそのアプリにアクセスを付与します。公式ドキュメントでは、Business Central APIやAutomation APIに対して API.ReadWrite.All や Automation.ReadWrite.All などのアプリケーション権限を付与する手順が示されています。(Microsoft Learn)
ただし、権限を付ければよいわけではありません。Business Central側の Microsoft Entra アプリケーション設定では、アプリに必要なオブジェクト権限を割り当てる必要があり、アプリケーションに SUPER 権限セットは割り当てられません。Microsoftは最小権限の原則に従うよう注意しています。(Microsoft Learn)
| 対象 | 確認すべきこと | 判断基準 |
|---|---|---|
| アプリ登録 | 所有者、用途、対象環境、利用システムが明記されているか | 説明を読んで用途が分からないアプリは要確認 |
| API権限 | API.ReadWrite.All や Automation.ReadWrite.All が本当に必要か | 読み取りだけで足りる連携に書き込み権限を与えない |
| クライアントシークレット | 期限、保管場所、ローテーション手順があるか | 長期・無期限に近い秘密情報を放置しない |
| 同意 | 管理者同意を誰が、いつ、何のために行ったか | 変更履歴と承認記録を残す |
| Business Central側権限 | アプリに必要最小限の権限セットが割り当てられているか | SUPER 相当の包括権限を避ける |
特に外部ベンダーが作成したアプリ登録は、導入時には正しくても、運用後に用途が分からなくなりがちです。アプリ名にベンダー名、連携先、環境名、用途を含めるだけでも、監査時の負担を大きく減らせます。
開発者が注意すべきOAuth・S2S認証のポイント
開発者にとって今回の更新は、Business Central の操作知識だけでなく、Microsoft Entra を使った認証・認可設計を説明できる必要が高まったことを意味します。
Business Central は OData や SOAP Webサービスで OAuth をサポートしており、Microsoft Entra 認証が構成されている環境では、Microsoft 365 または Microsoft Entra の資格情報で Webサービスにサインインできます。OAuth ではトークンを使って認証・認可が行われ、従来型のユーザー名・パスワードやWebアクセスキーに依存しない構成にできます。(Microsoft Learn)
S2S認証は「無人処理向け」だが、権限設計が甘いと危険
S2S認証は、ユーザー操作なしで連携を動かしたい場合に使われます。公式ドキュメントでは、会社セットアップの自動化や、外部ユーザー・非対話ユーザーによるAPI/Webサービスアクセスが主なシナリオとして挙げられています。(Microsoft Learn)
便利な一方で、S2S認証は「人の操作がない」ため、設定ミスが見つかりにくいのが弱点です。次の点を開発標準に入れておきましょう。
- トークンやシークレットをログ、例外メッセージ、画面、デバッグ出力に出さない
- 本番用アプリ登録と開発用アプリ登録を分ける
- スコープは
https://api.businesscentral.dynamics.com/.defaultなど、公式手順に沿って明示する - API呼び出し元の処理ごとに必要権限を分解する
- 連携アプリの所有者を個人ではなく運用チームにする
- シークレットよりも証明書ベースの認証を優先できないか検討する
Microsoftの管理センターAPIドキュメントでは、サンプルコードでクライアントシークレットを使う例が示されていますが、本番環境ではクライアントシークレットによる認証は推奨されないと説明されています。また、Business Central管理センターAPIでは、Microsoft Entraアプリを使った認証や AdminCenter.ReadWrite.All 権限、管理者同意が関係します。(Microsoft Learn)
オンプレミス環境ではOpenID Connect移行も確認する
Business Central on-premises を運用している場合は、Microsoft Entra 認証の方式も確認対象です。Microsoftのドキュメントでは、Business Central 2022 release wave 1以降で OpenID Connect による Microsoft Entra 認証が説明されており、証明書の準備、Microsoft Entra テナント、アプリ登録、Business Centralユーザーとの関連付けなどが必要になります。(Microsoft Learn)
また、Business Central では WS-Federation から OpenID Connect への移行が示されており、WS-Federation は非推奨となり、Business Central 2023 release wave 1以降では削除されています。古いオンプレミス環境では、認証方式がそのまま残っていないか確認が必要です。(Microsoft Learn)
オンプレミスで特に失敗しやすいのは、次の3つです。
| 失敗しやすい箇所 | 起きる問題 | 対策 |
|---|---|---|
| リダイレクトURI | WebクライアントのURLとアプリ登録のURIが一致せずサインインに失敗する | 大文字小文字、インスタンス名、ポート表記まで確認する |
| 証明書 | テスト用の自己署名証明書を本番に持ち込む | 本番は信頼された証明機関の証明書を使う |
| ValidAudiences | API要求やシンボル取得で認証エラーが出る | Business Central APIエンドポイントを含めて設定を確認する |
「動いているから変更しない」ではなく、次回アップグレード時に認証方式が障害になるかどうかを先に確認しておくことが大切です。
Copilotとエージェント機能の有効化で確認すべきこと
2026年6月30日時点のスキルには、「Copilotとエージェントの機能を有効にする」が含まれています。これは単にAI機能をオンにする話ではありません。Business Central 内でCopilotやエージェントが利用される場合、ユーザーが参照できるデータ、実行できる操作、監査できるログが適切に管理されている必要があります。(Microsoft Learn)
管理者は、少なくとも次の観点を確認してください。
- Copilot/エージェント機能を有効にする対象環境は本番か、検証か
- 利用対象ユーザーを Microsoft Entra グループで制御できているか
- AI機能が参照するデータに過剰な権限が含まれていないか
- 財務、購買、販売、在庫など機密度の高いデータに対する操作監査が残るか
- 外部連携や自動化処理と組み合わせたときに、承認フローを迂回しないか
AI機能の展開では、機能の有無だけで判断すると失敗します。先に権限設計を見直し、「そのユーザーが通常画面でできないことを、AI経由でできてしまわないか」を検証するのが安全です。
影響範囲はどこまで及ぶか
今回の公式更新は、Business Central を利用しているすべての組織に即時の設定変更を強制するものではありません。しかし、次のいずれかに該当する場合は、影響が大きくなります。
| 対象者・組織 | 影響 | 取るべき対応 |
|---|---|---|
| MB-800受験予定者 | 2026年6月30日以降の英語版試験では新しいスキル範囲を意識する必要がある | 最新の学習ガイドで比率と変更ログを確認する |
| 日本語で受験する人 | ローカライズ版の更新時期に差が出る可能性がある | 受験日・言語・試験範囲を予約前に確認する |
| Microsoft Entra管理者 | グループ、アプリ登録、同意、MFA、監査の確認範囲が広がる | Business Central環境ごとのアクセス制御を棚卸しする |
| Business Central管理者 | 権限セット、セキュリティフィルター、監査、ジョブキューなどの説明責任が増す | 直接付与された権限や古いユーザーグループを整理する |
| 開発者・SIer | OAuth、S2S認証、拡張機能の権限設計が問われる | アプリ登録、トークン管理、権限セット移行を確認する |
| 外部パートナー | 顧客テナントへのアクセス管理が厳しく見られる | GDAP、管理者権限、アプリ同意の記録を残す |
Microsoft Learn では、英語版試験が先に更新され、ローカライズ版は英語版更新後おおむね約8週間後に更新されるものの、予定通りにならない場合があると説明されています。希望言語で試験が利用できない場合、追加時間を要求できる案内もあります。(Microsoft Learn)
試験登録時のアカウントにも注意する
認定資格の管理では、Microsoft Entra 管理者でも見落としやすい注意点があります。公式ページでは、試験登録には個人の Microsoft アカウントを使うことが強く推奨されています。組織の職場または学校アカウントで登録した場合、組織を離れると試験記録が失われ、復旧できない可能性があるためです。(Microsoft Learn)
企業として社員の資格取得を支援する場合でも、受験者本人の認定履歴を会社アカウントに閉じ込めない運用が重要です。管理者は、社内の受験案内に「学習は会社アカウントでもよいが、試験登録と認定プロファイル管理は個人アカウントで行う」などのルールを明記しておくと、退職・転職時のトラブルを避けられます。
管理者・開発者向けの実務チェックリスト
今回の更新を受けて、まず行うべき確認は次のとおりです。
| 担当 | 確認すること | 完了の目安 |
|---|---|---|
| Microsoft Entra管理者 | Business Central関連のアプリ登録、所有者、API権限、シークレット期限を一覧化する | 用途不明なアプリが残っていない |
| Microsoft Entra管理者 | 本番・検証・開発環境ごとのアクセスグループを確認する | 環境ごとにメンバーと承認者が分かる |
| Business Central管理者 | 権限セット、セキュリティフィルター、監査設定を確認する | 直接付与の権限が最小限になっている |
| Business Central管理者 | Copilot/エージェント機能の有効化範囲を確認する | 検証環境で権限と監査を確認済み |
| 開発者 | OAuth/S2S認証の実装、トークン保護、ログ出力を確認する | シークレットやトークンがコード・ログに出ない |
| 開発者 | 旧ユーザーグループ依存の拡張機能を確認する | 権限セットまたはセキュリティグループに移行方針がある |
| プロジェクト管理者 | MB-800の学習範囲と社内教育資料を更新する | 2026年6月30日以降の範囲を反映済み |
最初に取り組むなら、Microsoft Entra の「エンタープライズアプリケーション」と「アプリの登録」から、Business Central関連のアプリを洗い出してください。次に、Business Central管理センターで環境ごとのセキュリティグループとパートナーアクセスを確認します。最後に、Business Central内の権限セットと監査設定を照合すると、IDからアプリ内権限まで一貫して確認できます。
今回の更新をどう活用すべきか
今回の Microsoft Learn 更新は、Microsoft Entra に対する緊急の仕様変更というより、Business Central を安全に運用するためのスキル定義が現実の運用に近づいたものと捉えるのが適切です。セキュリティグループ、権限セット、OAuth、S2S認証、Copilot/エージェント、監査は、いずれも「資格試験の知識」ではなく、日々の運用で事故を防ぐための確認項目です。
次に行うべきことは明確です。まず、Business Centralに関連する Microsoft Entra グループとアプリ登録を棚卸しします。次に、Business Central側の権限セット、セキュリティフィルター、監査、環境アクセスを確認します。最後に、開発・運用・受験予定者向けの社内資料を、2026年6月30日以降のスキル範囲に合わせて更新しましょう。
コメント