管理者ロールの付け方｜全体管理者を減らし、緊急用アカウントを用意する（Microsoft 365・Entra ID）

たとえば、Microsoft 365 を契約した社長、情報システムの担当、前の担当、導入を手伝った販売店の担当の4人が、全員グローバル管理者になっている会社があるとします。グローバル管理者は、組織の設定とほとんどのデータにほぼ無制限に触れられるロールです。使っていない前の担当のアカウントが乗っ取られれば、そのアカウントでほとんどの設定を変えられてしまいます。かといって外すと、パスワードを戻す人や請求を見る人がいなくなりそうで、手が止まります。

この記事では、グローバル管理者を何人にするか、いまのロールの割り当てを確かめる画面、グローバル管理者を外すときに代わりに渡すロール、緊急用アカウントの作り方と、作った後に何をいつ確かめるかを書きます。当社は Microsoft 365 の導入を支援している会社で、ライセンスの販売はしていません。

Microsoft の勧めは「5人未満」と「緊急用を2つ」

Microsoft Entra ID（Microsoft 365 のアカウントとサインインを管理する仕組み）のロールの勧めでは、グローバル管理者のロールを組織の5人未満に割り当てるよう書かれています。あわせて、グローバル管理者のロールをずっと割り当てたクラウド専用の緊急アクセス アカウントを2つ置くことを勧めています（Microsoft Learn「Microsoft Entra ロールのベスト プラクティス」）。この記事では、この緊急アクセス アカウント（ブレークグラス アカウントとも呼ばれます）を「緊急用アカウント」と書きます。ふだんの管理者のアカウントが使えなくなったときにだけ使う、特定の人に結び付けないアカウントです。

Microsoft 365 管理センターの画面にも数が出ています。［役割］>［役割の割り当て］でグローバル管理者を選ぶと、詳細の［全般］に「グローバル管理者の数を 2 人から 4 人までにすることをお勧めします」と書かれていました（当社の検証用の環境、2026年11月6日）。

当社は、300人以下の会社なら、ふだん使うグローバル管理者を1〜2人にし、緊急用2つと合わせて4つまでにすることをお勧めします。緊急用も数に入れるのは、Entra 管理センターの［概要］に出る知らせのカードが、グローバル管理者の割り当ての数が5つ以上になったときに出るからです（Microsoft Learn「Microsoft Entra ロールのベスト プラクティス」）。4つまでにしておけば、緊急用を置いてもこのカードは出ず、管理センターの画面の「2人から4人」にも収まります。この「ふだん1〜2人」「4つまで」は当社の判断です。Microsoft の数は、Learn の「5人未満」「緊急用2つ」と、管理センターの画面の「2人から4人」です。

ふだんのグローバル管理者を1人にしてよいのは、その人が締め出されたときに戻せる人を別に置く場合です（後の「残すグローバル管理者」の節）。どこから読むかは、いまの状態で決まります。

• グローバル管理者がだれかを、まだ一覧にしていない：次の「いまだれが何のロールを持っているかを見る」から。
• 緊急用アカウントがまだ無い：「緊急用アカウントを作る」の節。
• 緊急用アカウントはあるが、保管・見張り・確かめを決めていない：「作った後に守り続ける」の節。
• Entra ID のライセンスが Free・P1・P2 のどれかで、ログを見る間隔（「使われたら気づく」の項）と、PIM を使えるか（「P2 があれば」の節）が変わります。どれに当たるかはEntra ID の Free・P1・P2 の記事で確かめられます。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

まず、いまだれが何のロールを持っているかを見る

減らす前に、いまの割り当てを一覧にします。Microsoft 365 管理センターの［役割］>［役割の割り当て］を開くと、［Microsoft Entra ID］［Exchange］［Intune］［請求］のタブにロールが並びます。Learn の手順では［ロール］>［ロールの割り当て］、タブは［課金］と書かれていますが、当社が見た画面の表記は上のとおりでした。表示されるタブは、契約しているプランで変わります（Microsoft Learn「Microsoft 365 管理センターで管理者ロールを割り当てる」）。

ロールを選ぶと詳細が開き、［全般］［割り当て済み］［アクセス許可］のタブで、そのロールの説明・割り当てられている人・できることを確かめられます。最大3つのロールを選んで、できることを並べて比べることもできます（同じ Learn のページ）。ロールごとに［割り当て済み］を開き、1人ずつ「この人が実際にしている管理の仕事は何か」を横に書き出していきます。

Microsoft 365 管理センターで扱えるのは、Entra のロールと Intune のロールの一部です（Microsoft Learn「Microsoft 365 管理センターの管理者ロールについて」）。すべてのロールを見るときは、Microsoft Entra 管理センターの［役割と管理者］を開きます（Learn の表記は［ロールと管理者］、ページの題は［すべてのロール］）。一覧の上の［割り当てのダウンロード］で、割り当てをファイルに書き出せます（当社はボタンを確かめただけで、書き出してはいません）。

この一覧には［特権］の列があります。ほかの人に管理を任せる、資格情報・認証・認可のポリシーを変える、制限付きのデータを読む、といったことに使えるロールに「特権」のラベルが付きます（Learn の英語の表記では PRIVILEGED。このラベルは、いまはプレビュー段階とされています。Microsoft Learn「Microsoft Entra ID の特権ロールとアクセス許可 (プレビュー)」）。Microsoft は、このラベルの付いたロールの割り当てを組織で10未満にするよう勧めていて、10を超えると一覧のページに警告が出ます（Microsoft Learn「Microsoft Entra ロールのベスト プラクティス」）。

冒頭の例の販売店の担当が、Microsoft パートナーの「代理管理者」として加わっていることもあります。Learn では、代理管理者として加わったパートナーの側の人は、管理エージェント（グローバル管理者と同等。パートナー センターでの多要素認証の管理は除く）やヘルプデスク エージェントのロールを持てると書かれています（Microsoft Learn「Microsoft 365 管理センターの管理者ロールについて」）。この形の権限が［役割の割り当て］の一覧にどう出るかは、当社は確かめていません。販売店にどの形で入っているかを聞き、一覧の人と合わせて書き出しておきます。

グローバル管理者を外す前に、その人の仕事に合うロールを渡す

Microsoft 365 の管理者ロールのページは、仕事に必要なだけのロールを渡すよう勧め、例として、パスワードを戻す人にはグローバル管理者ではなく、パスワード管理者やヘルプデスク管理者を渡すと書いています（同じページ）。仕事ごとにどのロールで足りるかは、このページとMicrosoft Learn「Microsoft Entra ID のタスク別の最小特権ロール」に書かれています。2つのページから、300人以下の会社で頼むことが多い仕事を選んだのが次の図です。

表の3列目は、当社の検証用の環境の Entra 管理センターで見た「特権」のラベルです。パスワード管理者・ヘルプデスク管理者・ユーザー管理者・条件付きアクセス管理者にはラベルが付いていて、設定を見るだけのグローバル閲覧者にも付いていました。ライセンス管理者・課金管理者・レポート閲覧者・Teams 管理者・Exchange 管理者・SharePoint 管理者には付いていませんでした。グローバル管理者を外して代わりのロールを渡しても、ラベルの付いたロールなら、上の「10未満」の数には入ったままです。同じ仕事をこなせるなら、ラベルの付かないロールを選ぶと、その数を増やさずに済みます。

冒頭の4人の例で当てはめると、情報システムの担当はふだんのグローバル管理者に残し、前の担当はロールを外します。Teams の設定だけを頼んでいる人がいれば Teams 管理者で足ります。契約した社長は自動でグローバル管理者になっていますが、契約と請求を見るだけなら課金管理者で足ります。画面の注にも、サインアップしたユーザーがそのまま上位の権限を必要としているかを評価する必要がある、とあります。販売店の担当には、頼んでいる仕事に合うロールを渡します。ただし、販売店を通して買った契約を見て管理できるのはグローバル管理者だけで、グローバル閲覧者はその契約には使えません（同じページ）。契約の画面を誰が見るかは、Microsoft 365 の契約とライセンスの確認方法の記事に書いています。

入社・異動・退職の作業ごとのロールの分け方は、Microsoft 365 管理センターの日々の運用の記事の表に書いています。Teams 管理者でできることはTeams 管理センターの記事にあります。

外す順番：代わりのロールを付けてから、ほかのグローバル管理者が外す

グローバル管理者は、自分のグローバル管理者の割り当てを自分では外せません。組織にグローバル管理者が1人もいない状態を防ぐための決まりです（Microsoft Learn「Microsoft 365 管理センターの管理者ロールについて」）。外すのは、残るグローバル管理者の側です。外す前に代わりのロールを付け、その人が仕事を続けられることを確かめてから、グローバル管理者を外します。

Purview の権限は、［役割の割り当て］とは別の画面で付ける

Microsoft Purview（情報保護・監査・データ損失防止の機能）の権限は、多くが Purview ポータルの［ロールとスコープ］で役割グループとして付けます。Microsoft 365 管理センターの［役割の割り当て］だけを見ても、Purview の権限の全体は分かりません（Microsoft Learn「Microsoft Purview ポータルのアクセス許可」）。監査を頼む人に Purview の権限を渡すときも、グローバル管理者ではなく、この画面の役割グループで渡します。

残すグローバル管理者は、管理専用のアカウントにし、戻せる人を置く

Microsoft は、管理者がメールを読んだり資料を作ったりするときは管理者ではない通常のアカウントを使い、管理者のアカウントは必要なときだけ使うよう勧めています。通常のアカウントには Microsoft 365 のライセンスが要りますが、管理者専用のアカウントにはライセンスは要らないとされています（Microsoft Learn「ビジネス向け Microsoft 365 のアカウント セキュリティを管理する」）。また、社内の Active Directory から同期しているアカウントには Entra のロールを付けず、クラウドだけのアカウントを使うよう勧められています（Microsoft Learn「Microsoft Entra ロールのベスト プラクティス」）。残すグローバル管理者は、名前の付いた人の、管理専用でクラウドだけのアカウントにします。

グローバル管理者を減らすと、そのグローバル管理者がスマホをなくすなどして締め出されたときに、戻せる人がいなくなるおそれがあります。Microsoft 365 の管理者ロールのページは、グローバル管理者のパスワードを戻せるのは別のグローバル管理者か特権認証管理者だとし、少なくとも特権認証管理者を置いておくよう勧めています（Microsoft Learn「Microsoft 365 管理センターの管理者ロールについて」）。ふだんのグローバル管理者を1人にする会社は、もう1人に特権認証管理者を付けておきます。多要素認証の方法を戻す手順と、戻せる人の範囲は多要素認証のリセットの記事に書いています。

緊急用アカウントを作る

Entra の緊急用アカウントのページには、作る流れが次のようにまとめられています（Microsoft Learn「Microsoft Entra ID で緊急アクセス用アカウントを管理する」）。当社はこの記事のために緊急用アカウントを作ってはいないため、ここでは Learn の流れを短くまとめます。

1. オンプレミスから同期・フェデレーションしていない、.onmicrosoft.com のドメインのクラウド専用ユーザーを作り（もう有れば、それを見つけ）、グローバル管理者のロールを割り当てる。
2. パスワードを使わない認証方法を選ぶ。Learn の推奨はパスキー（FIDO2）で、公開キー基盤（PKI）がすでにある組織は証明書ベースの認証も選べる。どちらも必須の多要素認証を満たす。
3. 選んだ方法の資格情報を登録する（パスキーは、組織でパスキー（FIDO2）を有効にしてから登録する）。
4. サインインを止める・制限する条件付きアクセスのポリシーから、緊急用アカウントが外れていることを確かめる。レポート専用のポリシーは止めないので、外さなくてよい。
5. 資格情報を安全に保管し、サインイン ログと監査ログを見張り、定期的に確かめる（次の節）。

2つ目の認証方法について、Learn は、緊急用アカウントを社員のスマホなどの端末につながず、ふだんの管理者と同じ方法を使わないよう求め、ふだんの管理者が Microsoft Authenticator アプリなら緊急用は FIDO2 のセキュリティ キーを使う例を挙げています（同じページ）。そのためこの記事では、緊急用アカウントに登録するものを「セキュリティ キー」（USB などで挿す、物のキー）と書きます。組織でパスキーを有効にする手順はMicrosoft Learn「Microsoft Entra ID で FIDO2 パスキーを有効にする方法」にあります。当社のパスキーの記事は社員が自分のアカウントに登録する流れで、人に結び付けない緊急用アカウントへの登録は書いていません。

4つ目について、Learn は、緊急用アカウント専用のセキュリティ グループを作り、そのグループをポリシーの対象外にする形を挙げています。この手順は条件付きアクセスの設定方法の記事に書いています。全員に多要素認証をかけるときに緊急用アカウントをどう扱うかは多要素認証を全員に有効にする記事に、契約した直後の設定の中での位置づけはBusiness Premium の最初の設定の記事にあります。

パスワードだけのアカウントにはしない

Microsoft のページの間で、書き方が違うところがあります。ビジネス向け Microsoft 365 の管理者のページには、緊急用アカウントを多要素認証の要件から外し、16文字以上の長く複雑なパスワードにする、とあります（Microsoft Learn「ビジネス向け Microsoft 365 のアカウント セキュリティを管理する」）。一方、Entra の緊急用アカウントのページは、上の流れのとおり、パスワードを使わない方法を登録するよう求めています（Microsoft Learn「Microsoft Entra ID で緊急アクセス用アカウントを管理する」）。Microsoft は Entra 管理センターなどへのサインインに2024年10月から順に多要素認証を必須にしていて、Microsoft 365 管理センターにも2025年2月から順に適用しています。この必須の多要素認証は、緊急用アカウントにもかかります（Microsoft Learn「Azure と管理ポータルの必須の多要素認証」）。そのため当社は、Entra のページに合わせ、緊急用アカウントにはセキュリティ キーを登録することをお勧めします。

緊急用アカウントは、作った後に守り続ける

セキュリティ キーの保管と、取り出せる人

Entra のページは、緊急用アカウントを組織の中の個人に結び付けず、資格情報を、使うことを認められた人だけが取り出せる、別々の安全な場所に置くよう勧めています。管理チームの複数の人が使えるようにしておくことも求めています。ふだんの管理者と同じ認証方法を使わないこと、緊急用アカウントの多要素認証やパスワードのリセットの登録が個人の端末や連絡先になっていないかを確かめること、保管場所の暗証番号などを定期的に替え、取り出せる人が辞めたときにも替えることも挙げています（同じページ）。当社は、これに加えて、どのアカウントが緊急用か、キーの保管場所、取り出せる人の名前を社内の管理台帳に書き、90日ごとの確かめのときに台帳も見直すことをお勧めします。台帳が無いと、取り出せる人が辞めたときに、だれの分を替えるのかが分からなくなるからです。

使われたら気づく：通知の仕組みが無い会社は、ログが消える前に見る

Entra のページは、緊急用アカウントのサインインと監査ログを見張り、使われるたびにほかの管理者に知らせるよう勧めています。手順として載っているのは Azure Monitor（Azure のサービス）でアラートを作る方法です。その流れでは、Entra のサインイン ログを Azure Monitor に送る設定を先にしておき、Azure portal でアラート ルールを作るときに、ログを受ける Log Analytics ワークスペースと、それがあるサブスクリプションを選びます（同じページ）。当社の読みでは、Azure をまだ使っていない会社は、この見張りのために Azure のサブスクリプションとワークスペースから用意することになります。ログを Azure Monitor に送るときのライセンスの条件と費用は、当社は確かめていません。

その場合、当社は、Entra 管理センターのサインイン ログを緊急用アカウントで絞って見ることを、P1・P2 の会社は4週に1回、Free の会社は週に1回お勧めします。P1（Business Premium に入っている版）・P2 のサインイン ログと監査ログは30日、Free は7日しか残らないからです（Microsoft Learn「Microsoft Entra のデータ保持」）。「月に1回」にすると、31日ある月は残る日数からはみ出す日が出るので、曜日で決めておきます。間を空けると、使われた記録が消えてから気づくことになります。ログを読むだけなら、グローバル管理者でなくレポート閲覧者のロールで足ります（Microsoft Learn「タスク別の最小特権ロール」）。

Entra のページは、少なくとも90日ごとに、緊急用アカウントでサインインして管理の作業ができるかを確かめ、使える人の一覧と手順を見直すよう勧めています。IT の担当が退職・異動したときと、組織の Entra のサブスクリプションが変わったときにも、同じ確かめを行うよう挙げています（同じページ）。当社は、緊急用アカウントを作った日に、次の確かめの日を予定表に入れ、担当の退職の手順書にも「緊急用アカウントの確かめ」を1行足すことをお勧めします。

P2 があれば、ロールを「必要なときだけ有効」にできる

Privileged Identity Management（PIM）は、管理者のロールをずっと有効にしておかず、必要なときに申請して決まった時間だけ有効にする仕組みです。Microsoft は PIM の利用を勧めていますが、PIM には Microsoft Entra ID P2 か ID ガバナンスのライセンスが要ります（Microsoft Learn「Microsoft Entra ID ガバナンス ライセンスの基礎」）。Business Premium に入っているのは P1 で、P2 は入っていません。P1・P2 の違いと P2 を足す方法は、Entra ID の Free・P1・P2 の記事に書いています。

当社の検証用の環境（Business Premium、P2 なし）でも、Entra 管理センターの Privileged Identity Management の画面は開き、［Microsoft Entra ロール］のクイック スタートには「継続的な管理者アクセスを特権ロールなどに限定することを可能にするプレミアム機能です」と書かれていました。メニューが見えても、ライセンスが無ければ使えない機能です。当社は中の［ロール］［割り当て］は開いておらず、P2 が無いときにどこで止まるかは確かめていません。

PIM を使うときも、緊急用アカウントのグローバル管理者は「申請して有効にする」形にせず、ずっと有効な割り当てのままにするよう、Entra のページは勧めています（Microsoft Learn「Microsoft Entra ID で緊急アクセス用アカウントを管理する」）。同じページは、グローバル管理者と特権ロール管理者の割り当てがすべて申請して有効にする形で、有効にするのに承認が要り、承認する人がいないと、だれもロールを有効にできず組織の管理が止まる例を挙げています。P2 を足さない会社では、ロールは付けたらずっと有効です。人数を絞り、［役割の割り当て］か［すべてのロール］を月に1回見て、増えていないかを確かめます。

次にすること

まず、Microsoft 365 管理センターの［役割］>［役割の割り当て］か、Entra 管理センターの［すべてのロール］で、グローバル管理者と「特権」のラベルの付いたロールにだれが入っているかを書き出してください。販売店が入っていれば、どの形で入っているかも聞いておきます。1人ずつに実際の仕事を書き足し、グローバル管理者が緊急用を含めて4つを超えていれば、仕事に合うロールに付け替えます。緊急用アカウントがまだ無ければ上の流れで作り、あれば、セキュリティ キーを取り出せる人と、次に入れるかを確かめる日を決めます。

ロールの分け方や緊急用アカウントの運用を、社内の決まりとして一緒に整えたい場合は、Microsoft 365 の導入支援でお受けしています。

この記事の確かめ方

ロールの勧め・人数・緊急用アカウントの作り方と勧め・ライセンスの条件は、2026年11月6日に Microsoft Learn の各ページ（日本語版と英語版）で確かめました。Learn は更新が続いているため、作業の前に最新の内容を確かめてください。

写真と画面の表記は、当社の検証用の環境（Microsoft 365 Business Premium）で2026年11月6日に見たものです。見るだけで、ロールの割り当て・解除、アカウントの作成、PIM の設定はしていません。組織名・テナント ID・名前・割り当ての人数は塗るか切り落としています。