ゲストユーザーの棚卸し｜Teams のチームを抜けても残る社外のアカウントを見つけて片付ける（Entra ID・アクセス レビュー）

取引先を Teams のチームに招くと、相手の会社の人は「ゲスト」として自社の Microsoft 365 に入り、そのときに Entra ID にゲストのアカウントが作られます。プロジェクトが終わってゲストがチームを抜けても、このアカウントはテナントに残ります。何年か使っていると、「この人はまだうちのファイルを見られるのか」が分からないアカウントがたまっていきます。

この記事では、残っているゲストを一覧で見つけ、最後のサインインと招待の状態で候補を出し、招いた社員に確かめてから止めて消すまでの順番と、その見直しを定期に回す方法を書きます。候補は、最後のサインインと招待の状態の列を足せる Entra 管理センターの一覧で出します。

読む順番は、プランで分かれます。Entra ID P2 か Microsoft Entra ID Governance を持つ会社は、定期の見直しをアクセス レビューで自動にできるので、見つけ方を読んだら「定期の見直しを自動にしたいときは」の節へ進んでください。Business Premium（Entra ID P1 まで）の会社は、手作業で見つけ、確かめ、片付ける手順を順に読み、最後の「Business Premium のままなら」の節で四半期の手順にまとめます。

当社は Microsoft 365 の導入を支援しており、この記事は公式の説明と当社の検証用の環境の画面で確かめて書いています（確かめた範囲は末尾の「この記事の確かめ方」に書きました）。

ゲストがチームを抜ければ済む？ 抜けても、アカウントは残る

ゲストが自分でチームから脱退しても、ゲストのアカウントは組織のディレクトリから削除されません。アカウントを削除するのは、Microsoft Entra の管理者です（Microsoft Teams でのゲスト アクセス）。

チームの所有者がメンバーからゲストを外した場合に、アカウントがどうなるかの説明は、当社が見た Learn のページにはありませんでした。チームから外す操作は、チーム（Microsoft 365 グループ）のメンバーから外す操作で、アカウントの削除はそれとは別に管理者が行う、というのが当社の理解です（グループのメンバーを外す手順は「Microsoft 365 グループのメンバーを追加または削除する」）。そのため当社は、チームから外したゲストも、この記事の一覧で残っているかを確かめることを勧めます。

アカウントが残っている間は、チームの所有者がそのゲストを自分のチームに追加し直せます。Entra B2B・Microsoft 365 グループ・SharePoint で追加済みのゲストは、チームの所有者が自分のチームに追加できるためです。Teams の外部アクセスとゲスト アクセスの違いはTeams の外部アクセスとゲストアクセスの違い、Teams 管理センターでのゲストの設定はTeams 管理センターとはで書いています。SharePoint・OneDrive で社外にファイルを共有したときにゲストが作られる動きと、共有の期限はSharePoint・OneDrive の外部共有は Entra B2B に切り替わるで書いています。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

一覧を開く前に、候補の日数・確かめる相手・止め方を決める

何を候補にし、だれに確かめ、どう止めるかを先に決めておくと、見直しのたびに迷いません。ゲストのアカウントは、取引先とのやり取りが終わってテナントに入らなくなると「古く」なる可能性があります。ただ、休みや取引の間があいているだけの人もいるので、日数だけで機械的に消すと、取引が続いている相手を締め出してしまいます。

候補の日数について、Learn は、組織でよく使われる目安として、非アクティブなユーザー アカウントの期間を90〜180日と挙げています（非アクティブなユーザー アカウントを検出して調査する方法）。当社は、最初は90日で候補を出し、招いた社員に確かめる手順で取りこぼしを拾うことを勧めます。

止め方は、当社はブロックしてから30日おいて削除することを勧めます。30日という間隔は、アクセス レビューの設定にある「拒否されたゲスト ユーザーに適用するアクション」の選択肢の一つ「ユーザーが 30 日間サインインできないようにしてから、テナントからユーザーを削除する」に合わせたものです（アクセス レビューを使用して古いゲスト アカウントを監視およびクリーンアップする）。手作業でも同じ間隔にしておけば、後でアクセス レビューに移ったときに運用が変わりません。

残っているゲストを見つける：Entra 管理センターの［ユーザー］をゲストで絞る

ゲスト（B2B コラボレーションで招いた社外の人のアカウント）は、社員と同じディレクトリに作られ、「ユーザーの種類」がゲストになります。アカウントは、招待を最初に送った時点で作られます。つまり、相手が招待を受けていなくても、アカウントは残っています。

Entra 管理センターの左のメニューの［Entra ID］>［ユーザー］で［フィルターを追加する］を押し、「ユーザーの種類」を選ぶと、「フィルターの追加」のパネルが開きます。値は「メンバー」「ゲスト」「なし」から選べるので、「ゲスト」を選んで［適用］を押します。

絞り込むと、一覧の上に「ユーザーの種類 == Guest」と出ます（値は英語の Guest で表示されました）。写真の環境にはゲストがいないので、「0 人のユーザーが見つかりました」「結果がありません。」と出ています。ゲストがいれば、ここに一覧が並びます。

Microsoft 365 管理センターの［ユーザー］>［ゲスト ユーザー］にも、ゲストの一覧があります。Teams・SharePoint・Entra のどこで招いたゲストも、この一覧に入り、ここからそのゲストのアクセス権を削除できます（Microsoft 365 管理センターのゲスト）。ただ、次の節で書くように、当社が見たときは、ここに最後のサインインの列はありませんでした。候補を出すのは Entra の一覧で行います。

最終サインインと招待の状態の列で、候補を出す

一覧に並んだゲストのうち、どれを候補にするかは、列を足して決めます。Entra 管理センターに、レポート閲覧者以上のロールでサインインします。ユーザーの一覧はだれでも見られますが、一部の列と詳細は、適切なアクセス許可を持つ人だけが使えます（非アクティブなユーザー アカウントを検出して調査する方法）。［ユーザー］の一覧の上の［…］>［ビューの管理］>［列の編集］を開き、［列の追加］で列を足します。

足す列は「最後の対話型サインイン時刻」です。Learn の手順では「前回の対話型サインイン時間」と書かれていますが、画面の表記はこちらでした（非アクティブなユーザー アカウントを検出して調査する方法）。この日時は、その人が最後に対話型サインインを試みた時刻で、失敗したサインインも含みます。反映には最大24時間かかることがあります。空欄になるのは、そのアカウントで一度もサインインしていない場合と、最後のサインインの試みが2020年4月より前の場合です。

同じ一覧から、「招待の状態」と「作成日時」も足せます。招待を受けていないゲストは、プロファイルの招待の状態が「承諾待ち」と表示されます（B2B ゲスト ユーザーのプロパティを理解して管理する）。

候補は、「承諾待ちのまま、決めた日数がたった人」と「最後のサインインが決めた日数より古い人」の2つです。最近招いたばかりの人は、まだ一度もサインインしていないことがあるので、「作成日時」で外します。

スクリプトで書き出す場合は条件が変わります。最後に成功したサインインの日時（lastSuccessfulSignInDateTime）を Microsoft Graph で取り出すには、Entra ID の P1 か P2 が要ります（非アクティブなユーザー アカウントを検出して調査する方法）。なお、Microsoft 365 管理センターの［ゲスト ユーザー］の［列の選択］には、最終サインインの列はありませんでした（「サインイン状態」の列はあります）。

要らないゲストを片付けるときは：招いた社員に聞く→ブロック→30日おいて削除

だれに確かめるかは、ゲストのアカウントの「スポンサー」が手がかりになります。招待を送った人は、ゲストのアカウントのスポンサーに既定で入ります。当社は、候補の一覧をスポンサーごとにまとめて、取引が続いているかを聞くことを勧めます。スポンサーが異動や退職でいないか、返事が無ければ、そのゲストが入っているチームの所有者に聞きます。

確かめて要らないと分かったら、まずサインインを止めます。ユーザー管理者以上のロールでサインインし、［Entra ID］>［ユーザー］でそのゲストを開き、上の［プロパティの編集］を選びます。プロファイルの［設定］は、ユーザーがテナントにサインインできるかを決める欄です（ユーザー プロファイル情報を管理する方法）。ここで［アカウントが有効］のチェックを外して保存すると、その人はサインインできなくなります。この設定はユーザーを作った後でも変えられ、以前のユーザー作成の手順では「サインインのブロック」と呼ばれていました（ユーザーを作成、招待、削除する方法）。この画面は撮っていないため、画面の名前は Learn の表記です。アカウントは消えないので、取引先から「入れなくなった」と連絡があれば、チェックを入れ直すだけで戻せます。

ブロックから30日たって問い合わせが無ければ、ユーザーを開いて［ユーザーの削除］を選びます。削除にはユーザー管理者以上のロールが要ります。削除したユーザーは、次の30日間［削除済みのユーザー］に残り、その間はアカウントとそのすべてのプロパティを戻せます。30日を過ぎると完全な削除が自動で始まり、止められません（最近削除したユーザーを復元または削除する）。それより後に同じ人とまた仕事をするなら、改めて招待します。

退職した社員のアカウントを止める順番はMicrosoft 365 の退職者のアカウントの処理で書いています。

定期の見直しを自動にしたいときは：アクセス レビューとライセンスを確かめる

アクセス レビューは、グループのメンバー、アプリへのアクセス、ロールの割り当てを定期的に見直し、適切な人だけがアクセスを持ち続けているかを確かめる Entra の機能です。毎週・毎月・毎四半期・毎年などの周期で繰り返せます。ゲストについては、ゲスト自身に「まだ必要か」を答えてもらう形や、グループの所有者に確かめてもらう形があり、すべての Microsoft 365 グループのゲストを対象にした連続のレビューを自動で有効にすることもできます。ゲスト向けの設定のしかたは「アクセス レビューを使用してゲスト アクセスを管理する」にあります。

ただし、ライセンスの条件があります。この機能を使うには Microsoft Entra ID Governance か Microsoft Entra Suite のサブスクリプションが要り、一部の機能は Entra ID P2 で動く場合があります（アクセス レビューとは）。ライセンスの基礎のページの表では、P2 で使えていた基本のアクセス レビューは P2 と ID Governance に、非アクティブなユーザーだけを対象にしたレビューと、非アクティブなゲストのレポートは ID Governance にあり、P1 の列にはどれもありません（Microsoft Entra ID ガバナンス ライセンスの基礎）。

同じページの「ライセンスの種類」では、P1 は Microsoft 365 Business Premium に含まれ、P2 は Microsoft 365 E5・E7 に含まれます。Business Premium だけの会社では、アクセス レビューは使えません。

アクセス レビューの画面は、Entra 管理センターの左のメニューの［ID ガバナンス］の下にあり、開くと画面の題は「Identity Governance」になります。当社の検証用の環境で、その中の［アクセス レビュー］>［概要］を開くと、「アクセス レビューに必要な有効なライセンスがテナントにありません。」と表示されました。同じ画面には「エラー コード 401」の表示も出ていました。

［ID ガバナンス］の［ダッシュボード］にある［ゲスト アクセス ガバナンス］のカードには、［非アクティブなゲストを表示する］のボタンがあります。このレポートは、既定で90日活動していないゲストを出し、日数は変えられます（アクセス レビューを使用して古いゲスト アカウントを監視およびクリーンアップする）。当社が見たときは、このカードに「ID ガバナンスのゲスト ライセンスを管理するアクセス許可がありません。」と表示されました。

ID Governance を入れる場合も、ゲストの扱いには別の条件があります。ID Governance のライセンスは、アクセス権を確認している従業員やレビューしている従業員も含めて、組織のメンバーに要ります。ゲストを対象にしたガバナンスは、従業員のライセンスとは別に、Azure サブスクリプションでのゲストの月間アクティブ ユーザー（MAU）の課金になります（Microsoft Entra ID ガバナンス ライセンスの基礎）。当社は、ゲストの見直しのためだけに上位のライセンスを足す前に、次の節の手作業の見直しを1回行い、候補になったゲストの人数と、スポンサーに確かめ終えるまでにかかった日数を記録して、それを見てから決めることを勧めます。プランごとの違いはBusiness Standard と Business Premium の違いで書いています。

Business Premium のままなら、見直しを四半期の手順にする

アクセス レビューが使えなくても、一覧の見方と間隔を決めておけば、手作業で同じ見直しが回せます。当社が勧めるのは、最初に一度だけ招待の入り口と一覧の見方を決め、そのあとは四半期に一度、同じ担当が候補を出して確かめ、ブロックと削除を記録する形です。

最初に決めるのは、ゲストを増やす入り口です。既定では、ゲストを含む組織の全員が外部のユーザーを招待できます。外部コラボレーションの設定の［ゲスト招待の設定］で、招待できるのを特定の管理者ロールの人だけにすることもでき、その場合は「ゲスト招待元」のロールを付けた人も招待できます（B2B 外部コラボレーションの設定を構成する）。当社は、部署ごとに招待の窓口を決めてゲスト招待元のロールを付け、招いた人をスポンサーとして辿れるようにすることを勧めます。招待を絞ると、Teams で外部の人を加えられないことがあるので、その場合の画面と設定はTeams で外部と共有できないときを見てください。

見直しの記録には、いつ、だれを、なぜブロックし、いつ削除したかを残します。ブロックから30日後に削除する日を決めておくためと、削除の後30日以内に取引先から問い合わせがあったときに、だれのアカウントを戻すかをすぐ辿るためです。Teams にゲストを追加した操作は、Microsoft Entra のグループ管理の操作として、監査ログに「グループにメンバーを追加しました」と記録されます（Microsoft Teams でのゲスト アクセス）。監査ログの検索のしかたと、どれだけ前まで遡れるかはMicrosoft 365 の監査ログの検索と保持期間で書いています。

残すか止めるかを決めるのは、画面ではなくスポンサーの答え

ここまでの一覧と列が教えてくれるのは、「いつから入っていないか」と「招待を受けたか」までです。そのゲストを残すか止めるかは、招いた社員が「まだ取引がある」と答えられるかで決まります。アクセス レビューの説明でも、グループを通じてゲストに業務の重要な内容へのアクセスを与えている場合、ゲストにまだ正当な業務上の必要があるかを確かめるのはグループの所有者の責任だ、とされています（アクセス レビューとは）。アプリに社外の人が入れるかは、アプリごとの「割り当てが必要」の設定でも変わるので、Entra ID で SaaS にシングル サインオンするも合わせて見てください。

ライセンスを決めるより先に、招待の窓口を決めて、どのゲストもスポンサーまで辿れる形にしておくことを当社は勧めます。

ゲストの見直しの手順づくりや、招待の窓口の決め方から一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。

この記事の確かめ方

画面は当社の検証用の環境で、公式の説明は Microsoft Learn で、どちらも2026年11月2日に確かめました。この環境にはゲストがいないため、ゲストを招待・ブロック・削除した後の画面は撮っておらず、その部分は Learn の手順の言葉で書いています。ブロックの手順の［プロパティの編集］>［設定］>［アカウントが有効］は、「ユーザー プロファイル情報を管理する方法」と「ユーザーを作成、招待、削除する方法」の2つのページの説明を合わせたもので、この並びは画面では確かめていません。

チームの所有者がゲストを外した場合の扱いは、当社が見た Learn のページ（Teams のゲスト アクセス、Microsoft 365 グループのメンバーの追加と削除など）には説明が無く、本文では当社の理解として分けて書いています。Learn の名前と画面の表記が違うところは、画面の表記を正にしました。写真は、組織の名前・一覧の名前と件数・セッション ID を伏せています。

Entra 管理センターの画面と Microsoft Learn の説明は更新が続いているため、設定の前に各ページの最新を確かめてください。