この単元は用語がとにかく似ています。認証、認可、SSO、MFA、条件付きアクセス、RBAC……。でも整理の軸は1つだけです。「あなたは誰か」と「何をしてよいか」は別の話——ここから始めれば、すべて位置づけられます。
- 認証＝あなたは誰か（SSO・多要素認証・パスワードレス）。認可＝何をしてよいか（RBAC）。まずここを分けます。
- Microsoft Entra ID は、以前 Azure Active Directory（Azure AD） と呼ばれていたものです。古い教材は旧名称のままです。
- 条件付きアクセスは「そのときの状況を見て通すか決める」しくみ。RBAC（持っている権限）とは別の軸です。
- 多要素認証は「知っているもの・持っているもの・自分自身」から2つ以上。パスワードを長くすることではありません。
Microsoft Entra ID：Azureの「利用者名簿」
Microsoft Entra IDは、誰がこの組織のメンバーかを管理するサービスです。ユーザーを登録し、サインインを受け付け、本人かどうかを確かめます。
このサービスは以前Azure Active Directory（Azure AD）という名前でした。現在はMicrosoft Entra IDです。公式の出題範囲（2026年7月20日現在のスキル）も新しい名前で書かれています。手元の教材が「Azure AD」表記なら、その時点で更新が止まっています。
もう1つ、名前が似ていて紛らわしいものがあります。
| サービス | 役割 |
|---|---|
| Microsoft Entra ID | クラウド向けのID管理。サインインを受け付ける |
| Microsoft Entra Domain Services | 従来の社内システムで使われてきたドメイン参加やグループポリシーといったしくみを、Azure上で使えるようにする |
試験対策としては、「古いしくみをそのまま使いたいときに Domain Services」と覚えておけば十分です。
認証：あなたが本人だと確かめる
シングルサインオン（SSO）：サインインの回数を減らす
シングルサインオン（SSO）は、一度サインインすれば、複数のサービスをそのまま使えるしくみです。
利便性の話に見えますが、セキュリティの話でもあります。サービスごとにパスワードを覚える必要がなくなるので、使い回しや弱いパスワードが減ります。
多要素認証（MFA）：確からしさを上げる
多要素認証は、種類の異なる要素を2つ以上組み合わせて本人確認をするしくみです。要素は3種類あります。
| 要素 | 例 |
|---|---|
| 知っているもの | パスワード、暗証番号 |
| 持っているもの | スマートフォン、ICカード |
| 自分自身 | 指紋、顔 |
「パスワードを長く複雑にする」は多要素認証ではありません。それは「知っているもの」1つを強くしただけです。また「パスワード＋秘密の質問」も、どちらも『知っているもの』なので多要素にはなりません。ここは試験で狙われます。
パスワードレス：そもそもパスワードを使わない
パスワードレス認証は、パスワードの代わりにスマートフォンのアプリ・生体認証・セキュリティキーなどでサインインする方法です。パスワードを使わないので、盗まれる・使い回されるという問題自体がなくなります。
外部ID：社外の人を招く
外部IDは、社外の取引先や顧客に、自社のリソースを使ってもらうためのしくみです。相手側のアカウントをそのまま使ってもらえるので、こちらでアカウントを作り直す必要がありません。
条件付きアクセス：そのときの状況で判断する
Microsoft Entra 条件付きアクセスは、「もし〜なら、〜する」というルールを作るしくみです。
- 社内ネットワークの外からのアクセスなら、追加で多要素認証を求める
- 管理されていない端末からなら、アクセスをブロックする
- いつもと違う国からのサインインなら、確認を求める
ポイントは「持っている権限」ではなく「そのときの状況」を見るという点です。同じ人でも、会社にいるときと外にいるときで扱いを変えられます。
認可：何をしてよいかを決める（RBAC）
Azureロールベースのアクセス制御（RBAC）は、役割（ロール）を割り当てることで、できることの範囲を決めるしくみです。
「読み取りだけ」「作成もできる」「すべて操作できる」といった役割を、ユーザーやグループに割り当てます。1人ずつ個別に設定するのではなく、役割で管理するのが特徴です。
RBACはどの階層に割り当てるかで、効く範囲が決まります。管理グループに割り当てれば配下のサブスクリプションすべてに、リソースグループに割り当てればその中のリソースすべてに継承されます。階層の話は リージョンと階層の全体像 にまとめました。
【比較】似ている4つの整理
| しくみ | 答えている問い | ひとことで |
|---|---|---|
| SSO | あなたは誰か | サインインの回数を減らす |
| 多要素認証 | あなたは誰か | 本人確認の確からしさを上げる |
| 条件付きアクセス | いま通してよいか | 状況を見て判断する |
| RBAC | 何をしてよいか | 権限を役割で割り当てる |
試験ではこう問われる
| 問われ方 | 判断のしかた |
|---|---|
| 「見られるが変更はできない権限を与えたい」 | RBAC |
| 「社外からのときだけ追加認証を求めたい」 | 条件付きアクセス |
| 「パスワード＋秘密の質問」は多要素認証か | 違う（どちらも「知っているもの」） |
| 「一度のサインインで複数サービスを使いたい」 | SSO |
| 「社外の取引先にアクセスしてもらいたい」 | 外部ID |
| 「ドメイン参加やグループポリシーを使いたい」 | Microsoft Entra Domain Services |
| Azure AD という名前が出てきたら | 現在の名称はMicrosoft Entra ID |
確認クイズ
読んだ直後に3問だけ。
ある利用者に、リソースの内容は見られるが、変更や削除はできない権限を与えたい。使うしくみはどれですか。
1つ選んでください
Microsoft Entra ID と認証について、次の各文が正しいかどうかを判定してください。
各文について「はい」か「いいえ」を選んでください（文ごとに1点）
1. シングルサインオン（SSO）を使うと、一度サインインするだけで複数のサービスを利用できる。
2. 多要素認証とは、長くて複雑なパスワードを設定することである。
3. 外部ID（External ID）を使うと、社外の取引先のユーザーを招いて自社のリソースを使ってもらえる。
「社内ネットワークの外からアクセスしている場合にだけ、追加で認証を求めたい」。この設定を行うしくみはどれですか。
1つ選んでください
まとめ
- 認証＝あなたは誰か／認可＝何をしてよいか。まずこの2つを分ける
- Microsoft Entra ID（旧 Azure Active Directory）がID管理の中心
- SSO＝回数を減らす／多要素認証＝確からしさを上げる（3要素から2つ以上）／パスワードレス＝そもそも使わない
- 外部ID＝社外の人を招く
- 条件付きアクセス＝そのときの状況で判断する（RBACとは別の軸）
- RBAC＝役割で権限を割り当てる。どの階層に付けるかで効く範囲が決まる
※本記事は、Microsoft公式のAZ-900学習ガイド（2026年7月20日現在のスキル）および Microsoft Learn の各サービス公式ドキュメントの記載（2026年8月6日確認）にもとづき、エンジニアKが作成しています。引用は公式の日本語表記のままです。仕様は変更されることがあります。最新情報は必ずMicrosoft公式サイトでご確認ください。本サイトはMicrosoft Corporationの公式サイトではありません。Microsoft、Azure、Microsoft Entra ID等は同社の商標です。
