Microsoft 365 のグループの種類の違い｜セキュリティグループ・Microsoft 365 グループ・配布グループを用途で選ぶ

たとえば経理部なら、経理のサイトに経理部の人だけが入れるようにしたい、経理部あてのメールを配りたい、月次決算のチームを作りたい、とやりたいことははっきりしています。ところが、Microsoft 365 管理センターと Microsoft Entra 管理センターでグループを作る画面を開くと、並ぶ種類も選び方も違っていて、どの種類を選べば後で困らないかは、画面の名前だけでは決めにくいところです。

選び直しが利かない種類もあります。Entra 管理センターで管理するグループ（セキュリティ グループと Microsoft 365 グループ）は、作った後に種類を変えられず、変えるにはグループを削除して作り直す必要があります（グループの管理）。配布グループとメールが有効なセキュリティ グループはこの範囲の外で、配布リストには Microsoft 365 グループに移す方法があります（メールの節で案内します）。この記事では、4つの種類（セキュリティ グループ、メールが有効なセキュリティ グループ、Microsoft 365 グループ、配布グループ）を、用途・メールの宛先になるか・メンバーにできる人とデバイス・作る場所・部署などで自動にできるか、という同じ物差しで並べ、経理部の例で、権限を付けたい・メールを配りたい・チームを作りたいのそれぞれでどれを使うかを書きます。共通アドレスのメールの届き方はMicrosoft 365 グループ・配布リスト・共有メールボックスの選び方の記事にまとめているので、ここでは権限の側から見ます。

当社は Microsoft 365 の導入を支援していて、この記事は公式の説明（Microsoft Learn。以下 Learn）と、当社の検証用の環境の画面で確かめて書きました（グループは作っていません。確かめ方は末尾にまとめています）。

用途で絞った後は、Entra 管理センターで扱えるかと自動にできるかを確かめる

Microsoft 365 管理センターで作って管理できるグループは、この4つに共有メールボックスと動的配布グループを加えた6つです（グループの種類を比較する）。このうち共有メールボックスは1つの受信トレイを何人かで開く仕組みで、作り方と権限は共有メールボックスの作り方の記事に分けました。動的配布グループは、メールを送るたびに Exchange 管理センターで決めた条件で宛先を決める、メール専用の仕組みです。残る4つを並べたのが次の表です。

用途で種類を絞った後、どれにするかを決めるときに効いてくるのは、表の右の2列です。セキュリティ グループと Microsoft 365 グループは Entra 管理センターでも作れ、部署や役職などの属性でメンバーを自動で出し入れする動的メンバーシップに設定できます。配布グループとメールが有効なセキュリティ グループは、Entra 管理センターでは管理できず、Exchange 管理センターか Microsoft 365 管理センターで扱います。動的メンバーシップにもできません。

日本語版の「グループの種類を比較する」のページの表を読むときは、1つ気をつけることがあります。動的メンバーシップの列で、英語版が No（できない）としている行の一部が、日本語版では「不要」と訳されています（メールが有効なセキュリティ グループ、共有メールボックス、動的配布グループ）。同じページの本文では、メールが有効なセキュリティ グループは Entra ID で動的に管理できないと書かれているので、この「不要」は、できないという意味に読み替えてください（英語版の同じページ）。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

どこで作るか：作る場所で、並ぶ種類が違う

Microsoft 365 管理センター、Entra 管理センター、Exchange 管理センターのそれぞれで選べる種類を並べたのが次の図です。Exchange 管理センターは当社では開いておらず、公式の説明によります。

Microsoft 365 管理センターで作るときは：押すボタンで種類が決まる

［チームとグループ］＞［アクティブなチームとグループ］には、［Teams と Microsoft 365 のグループ］、［配布リスト］、［セキュリティ グループ］の3つのタブがあります。タブごとに追加のボタンが違い、［Teams と Microsoft 365 のグループ］には［チームを追加する］と［Microsoft 365 グループを追加する］、［配布リスト］には［配布リストを追加する］、［セキュリティ グループ］には［セキュリティ グループを追加］と［メールが有効なセキュリティ グループを追加］が並びます。メールが有効なセキュリティ グループは、配布リストのタブではなく、セキュリティ グループのタブから作ります。

5つの追加のボタンのうち、当社が押したのは［セキュリティ グループを追加］だけです。開いた画面に種類を選ぶ段は無く、左の段が「基本／設定／完了」のセキュリティ グループ用の画面でした。ほかの4つのボタンの先は開いていません。

このほかに、4つの種類を説明つきで並べた［グループを追加］の画面もあります。左に「グループの種類／基本／所有者／メンバー／設定／完了」の段が並び、最初の［グループの種類の選択］で4つから選びます。最初から選ばれているのは「Microsoft 365 (推奨)」です。ただし当社は、この画面を5つの追加のボタンからではなく、管理センターのアドレスを直接開いて表示しました。メニューのどこから開く画面なのかは確かめていません。

選択肢の下の説明は短く、たとえば「メールが有効なセキュリティ」は「OneDrive と SharePoint へのアクセスの制御にも使用できる配布リストです。」、「セキュリティ」は「OneDrive と SharePoint へのアクセスを制御するもので、Microsoft 365 のモバイル デバイス管理に使用できます。」と書かれています。どちらも OneDrive と SharePoint のアクセスの制御に使えると読めますが、違いは前の表の右の2列と、次の節からの使える場所に出ます。

公式の手順と画面の表記は少し違います。Learn の管理センターでグループを作成する方法は［Teams & グループ］＞［アクティブなチーム & グループ］＞［Microsoft 365 グループの追加］と書きますが、当社が見たときは［チームとグループ］＞［アクティブなチームとグループ］＞［Microsoft 365 グループを追加する］でした。また、［セキュリティ グループを追加］の設定の段にあるチェックの名前は「Azure AD ロールをグループに割り当てることができます」で、Learn のセキュリティ グループの作成が書く Microsoft Entra ロールの、改称前の名前のままでした。

Entra 管理センターで作るときは：種類は2つ、代わりにメンバーシップの種類を選ぶ

Entra 管理センターの［新しいグループ］（公式の手順では Entra ID > Groups > All groups から開く）では、［グループの種類］の選択肢はセキュリティとMicrosoft 365の2つだけです。Entra 管理センターで管理できるのは、この2種類です（グループとメンバーシップの種類）。

その代わりに、［メンバーシップの種類］を選ぶ欄があり、選択肢は「割り当て済み」「動的ユーザー」「動的デバイス」の3つです。割り当て済みは管理者や所有者が手でメンバーを足し外しする方式、動的ユーザーと動的デバイスは、ルールに合う人やデバイスを自動で出し入れする方式です。1つの動的グループに人とデバイスを混ぜることはできません。

公式の手順では、Microsoft 365 を選ぶとグループのメール アドレスの欄が使えるようになります（グループの管理。選び直した後の欄は、当社では確かめていません）。［グループに Microsoft Entra ロールを割り当てることができる］の切り替えをオンにすると、メンバーシップの種類は割り当て済みに決まり、作った後も変えられません。この切り替えは P1 か P2 のライセンスがある場合だけ使えます。グループを作るには、少なくともグループ管理者かユーザー管理者のロールが要ります。

権限を付けたいときは：使える場所がいちばん広いセキュリティ グループ

経理のサイトに経理部の人だけが入れるようにする、のように、SharePoint のサイトやファイルの権限を人ではなくグループで付けたいときは、セキュリティ グループを選びます。リソースごとに人を足すのではなく、グループを管理するだけで済むのが、セキュリティ グループの利点です。次の表は、4つの種類を使い道ごとに並べたものです。

使える場所SharePoint の権限のほか、ライセンスの配布と Intune の割り当てに使えます。違いがはっきり出るのは Intune で、ポリシーやアプリを割り当てるグループはセキュリティが有効である必要があり、既定の作り方の Microsoft 365 グループはセキュリティが有効でないため使えません（Intune のグループ）。セキュリティ グループならユーザーもデバイスも入れられるので、パソコンの設定を配るグループにもそのまま使えます。Intune のグループの説明でも、条件付きアクセスやライセンスのように Intune 以外の仕組みにまたがる割り当てには、動的グループが向くとされています。ライセンスをグループで配る仕組みは、セキュリティ グループ、メールが有効なグループ、Microsoft 365 グループで使えます（グループへのライセンスの割り当て）。ライセンスの配布ではこの3つに差が出ないので、選ぶ決め手は Intune と、部署などで自動にできるかの側です。

向かないことメールの宛先にはなりません。入れ子にも限りがあります。セキュリティ グループはほかのセキュリティ グループのメンバーにできますが、入れ子にしたグループが使えるのはメンバーシップの範囲と条件付きアクセスの範囲で、親のグループに割り当てた共有リソースやアプリケーションには、入れ子にしたグループからはアクセスできません（グループの管理）。また、Microsoft 365 グループやメールが有効なセキュリティ グループのメンバーにはセキュリティ グループを入れられず、ロールを割り当てられるグループにはグループ自体を入れられません。入れ子のグループにライセンスを配っても、付くのは1段目のメンバーだけです。

SharePoint の側で権限をどの段に付けるかはSharePoint の権限の仕組みの記事に、ライセンスをグループで配る手順と、部署の情報から動的グループを通してライセンスを付ける組み合わせはユーザーの追加とライセンスの割り当ての記事に書いています。なお、SharePoint で作成したセキュリティ グループは、そのサイト コレクションでしか認識されません。管理センターで作るセキュリティ グループは、SharePoint、Exchange、Windows などと共に使えます（セキュリティ グループの作成）。サイトの権限をほかの仕組みと同じグループでそろえたいなら、SharePoint の中で作るより、管理センターで作るほうが使い回せます。

当社の考え権限のためのグループは、メールやチームの用途とは別にセキュリティ グループで作り、権限を付けたい人を入れ子に頼らず直接入れることを勧めます。チームのメンバーは所有者が足し外しでき、Microsoft 365 グループは既定では誰でも作れるので（Microsoft 365 グループの概要）、チームの出入りがそのまま権限の出入りになるのを避けられます。その代わり、チームとは別に権限のグループを持つので、異動のときに直すグループが1つ増えます。

メールを配りたいときは：配布グループ。権限は別のグループで付ける

経理部あての知らせを配るだけなら、配布グループです。管理センターの画面では「配布リスト」「配布」と表示され、公式の説明でも、配布グループは配布リストとも呼ばれます（配布グループの作成）。比較の説明では、建物ごとや全員あてのように、決まった人たちに知らせを広く届ける場面に最適とされています（グループの種類を比較する）。

使える場所Teams のチームに加えることはできますが、チームに入るのはグループそのものではなく、メンバーだけです。組織の外からのメールを受けるには、作るときの設定で「organization以外のユーザーがこの配布グループにメールを送信することを許可する」を選びます。配布グループのメンバーには、人のほかに、ほかの配布グループやメールが有効なセキュリティ グループも入れられます。入れられないのは Microsoft 365 グループと、メールが有効でない Entra のユーザーです（Exchange Online で配布グループを作成して管理する）。経理部の配布グループを全社あての配布グループに入れる、のようにメールの宛先を束ねる組み方は、配布グループの中でできます。

向かないこと権限の仕組みには向きません。前の表のとおり Entra 管理センターで扱えず自動にもできないうえ、配布グループをライセンスの配布や Intune、SharePoint の権限に使う話は、この記事で見た公式のページには出てきません。Entra 管理センターでグループを入れ子にする仕組み（権限の節）にも、配布グループは今のところ加えられません（グループの管理）。経理のサイトの権限は、前の節のセキュリティ グループで付けます。

届いたメールがどこに残るか、Microsoft 365 グループや共有メールボックスとどう違うか、今ある配布リストを Microsoft 365 グループに移す方法は、Microsoft 365 グループ・配布リスト・共有メールボックスの記事に書いています。

チームを作りたいときは：Microsoft 365 グループには受信トレイとサイトが付いてくる

月次決算のチームを Teams で作ると、チームのメンバーを管理するための Microsoft 365 グループが作られ、SharePoint のサイトやメールボックスも同時に作られます（Microsoft 365 グループと Teams）。Microsoft 365 グループを作ると、メンバーは共有の受信トレイ、共有の予定表、SharePoint のドキュメント ライブラリなどを自動で使えるようになります（Microsoft 365 グループの概要）。公式の手順では、設定のページでメール アドレス、プライバシー、Teams を加えるかを選びます（管理センターでグループを作成する方法）。

使える場所サイトの所有者・メンバー・訪問者のどれかの SharePoint グループに入れて権限を付けられ、ライセンスの配布にも使えます。部署などで自動にもでき、管理者が許していれば組織の外の人もメンバーにできます。

向かないこと権限を付けるためだけに作ると、使わない受信トレイやサイトも一緒にできます。公式の説明でも、メールと共同作業に使うなら Microsoft 365 グループを作ることが勧められていて、権限だけの用途とは分けられています（セキュリティ グループの作成）。また、Microsoft 365 グループは、セキュリティ グループのメンバーにも配布グループのメンバーにも、直接は入れられません。部署のチームを全社の権限のグループにメンバーとして直接入れる、といった組み方はできません。Entra ID の動的グループを介した入れ子には対応するとされていますが（グループの種類を比較する）、当社はこの組み方を試していません。

もう1つ、チームのメンバーを Teams の外（管理センターや Entra 管理センター）で足し外しすると、Teams に反映されるまで最大24時間かかることがあります。ほかのグループにつながる仕組みの権限も早く更新されるよう、チームのメンバーは Teams の側で足し外しするのが勧められています（Microsoft 365 グループと Teams）。

権限とメールの両方を持たせたいときは：1つにまとめるか、2つに分けるか

経理部の人だけが経理のサイトに入れて、経理部あてのメールも同じ人たちに届くようにしたい。権限とメールの宛先を1つのグループで持たせたいときは、メールが有効なセキュリティ グループが使えます。通常のセキュリティ グループと同じように働き、メンバー全員にメールを送れます。

使える場所SharePoint の権限、ライセンスの配布、Teams のチームに加えることに使えます（使い道の表）。1つのグループで済むので、経理部の人の出入りを直すのも1か所です。

向かないこと前の表のとおり部署などで自動にできず、デバイスも入れられません。ほかのセキュリティ グループをメンバーとして入れることもできません。Exchange 管理センターで作った場合、編集は Exchange 管理センターで行います（セキュリティ グループの作成）。作った場所によって直す場所が変わるので、どこで作ったかを控えておくと迷いません。

当社の考えメンバーを部署で自動にしたい、パソコンの設定にも使いたい、という先の予定があるなら、権限は動的のセキュリティ グループ、メールは配布グループと、最初から2つに分けて作ることを勧めます。1つにまとめると、上の［向かないこと］のとおり自動にもデバイスにも対応しないので、予定ができたときに権限の側を別に作ることになる、と当社は考えています。この分け方は、当社が組んで試したものではなく、この記事で見た公式のページの範囲から考えた勧めです。

代わりに払うもの分けると、経理部のグループが2つに増えます。同じ人たちを2つのグループで持つので、異動のたびに直す場所も2か所になります。権限の側を動的にすれば手で直すのは配布グループの側だけになりますが、入る人の数だけ Entra ID P1 が要ります（次の節）。配布グループには所有者が少なくとも1人要るので（Exchange Online で配布グループを作成して管理する）、所有者も配布グループの側で別に決めます。配布グループの側を直し忘れれば、サイトに入れる人とメールが届く人がずれます。先の予定が無く、経理部の人の出入りを1か所で直したいなら、メールが有効なセキュリティ グループ1つで足ります。

部署で自動にしたいときは：P1 は入る人の数だけ要る

異動のたびに経理部のグループを手で直すのをやめたいときは、動的メンバーシップです。Entra 管理センターの［メンバーシップの種類］で「動的ユーザー」を選び、部署や役職などの属性でルールを書きます。

使える場所使えるのは、セキュリティ グループと Microsoft 365 グループです。「動的デバイス」を選べば、人ではなくデバイスを条件で集めることもできます。

動的メンバーシップには、動的グループのどれかに入っている人の数だけ、Microsoft Entra ID P1 のライセンス（または Intune for Education）が要ります。その人にライセンスを割り当てる必要は無く、組織として人数分を持っていれば足ります。公式の例では、動的グループに入る人が合わせて1,000人なら、P1 が少なくとも1,000個要ります。デバイスの動的グループには、ライセンスは要りません（動的メンバーシップのルール）。P1 は Microsoft 365 Business Premium と Microsoft 365 E3 に含まれています（Microsoft Entra のライセンス）。動的にする前に、契約しているプランに P1 が含まれているか、入る人の数に足りるかを確かめてください。

向かないことロールを割り当てられるグループは割り当て済みに決まるので、動的にはできません。メールの宛先として部署ごとに配るだけなら、最初の節で触れた動的配布グループが別にあり、条件は Entra ID ではなく Exchange 管理センターで決めます。どちらの自動化も、条件に使う部署などの欄がユーザーの情報に正しく入っていることが前提です。入社のときにその欄を埋める手順はユーザーの追加の記事に書いています。

次にやること：グループの一覧を、用途の列を足して見直す

当社は、グループが少ないうちに一度、今あるグループを用途の側から見直すことを勧めます。［アクティブなチームとグループ］の3つのタブを順に開き、グループを書き出します。［Teams と Microsoft 365 のグループ］のタブには［メンバーシップの種類］の列があり、割り当て済みかどうかが分かります（当社が見たときは、どの行も「割り当て済み」でした）。グループごとに、権限・メール・チームのどれに使っているかを書き出すと、用途と種類のずれが見つかります。権限のためだけに作った Microsoft 365 グループには、権限用のセキュリティ グループを別に作って付け直すことを当社は勧めます（当社はこの付け直しを試していません）。予定表やファイルも一緒に使いたくなった配布リストには、Microsoft 365 グループに移す方法があります（メールの節）。グループの所有者は、少なくとも2人にすることも勧められています（グループとメンバーシップの種類）。見直しのついでに、所有者が1人のグループも拾っておくと、担当が替わったときに困りません。

管理センターの日々の仕事の中でグループをいつ触るかは、Microsoft 365 管理センターの日々の運用の記事にまとめています。グループの設計を、権限・ライセンス・端末の管理まで含めて自社の決まりとして整えたい場合は、Microsoft 365 の導入支援でお手伝いしています。

この記事の確かめ方

画面の名前は、当社の検証用の環境で確かめました。Microsoft 365 管理センターではグループの一覧とグループを作る画面を、Microsoft Entra 管理センターでは［新しいグループ］の画面を、2026年10月30日に開いています。見ただけで、グループは作っていません。写真もこの日の画面です。Microsoft 365 管理センターの追加のボタンで押したのは［セキュリティ グループを追加］だけで、ほかの4つのボタンの先と、Exchange 管理センターは開いていません。

公式の説明は、Learn の Microsoft 365 管理センターの側のグループの種類を比較すると、Entra の側のグループとメンバーシップの種類に分かれていて、当社が読んだ範囲では、両方を同じ物差しで並べたページは見当たりませんでした。この記事は、その2つを1つの物差しで並べ直すために書いています。使い道の表は、この記事で見た Learn のページの範囲で並べたもので（「―」はそのページで扱っていない所）、権限とメールを2つに分ける勧めと権限用のグループへの付け直しは、当社は組んで試していません。

管理センターの画面は更新が続いているため、作業の前に各ページの最新を確かめてください。