「グローバル管理者」は何人が正解？権限分散でリスクを減らす

2026年2月16日

Microsoft 365やMicrosoft Entra ID（旧Azure AD）を利用している組織で、「グローバル管理者」の権限を多くの担当者に付与していませんか？

実は「何でもできる権限」を複数の担当者が使い回していることが、誤操作やセキュリティ事故の大きな原因になっているのです。

グローバル管理者を適切に絞り、役割に応じた権限を割り振ることで、安全かつ効率的な管理体制を構築します。

グローバル管理者とは？その強力すぎる権限

グローバル管理者（Global Administrator）は、Microsoft Entra ID（旧Azure AD）において最も強力な管理者ロールです。

このロールを持つユーザーは、テナント内のすべてのリソース、設定、ユーザー、サービスに対して無制限のアクセス権を持ちます。

この「何でもできる」という強力な権限が、セキュリティリスクの源泉となります。

グローバル管理者の権限を持つアカウントが増えれば増えるほど、重大な誤操作が発生するリスクも高まります。

たとえば

グローバル管理者アカウントが侵害されると、攻撃者はテナント全体を掌握できます。
アカウント数が多いほど、攻撃の標的となる可能性も高まります。

複数の担当者で同じグローバル管理者アカウントを使い回すと、「誰がいつ何を実行したか」の監査が困難になります。
これは、コンプライアンスやインシデント調査の観点から重大な問題となります。

グローバル管理者を5人未満に制限することが推奨されています。
理想的には、2～4人程度が適切です。

Japan Azure Identity Support Blogの「グローバル管理者ロールを持つユーザーでサインインできない！」という記事では、以下のように明記されています：

「グローバル管理者のロールを持つユーザーの数は、テナント全体で5人未満がおすすめです。」

参考：グローバル管理者ロールを持つユーザーでサインインできない！

冗長性の確保：最低2人は必要です。
1人だけだと、その担当者が不在や退職した際にテナントにアクセスできなくなる危険性があります。
この状況はとってもよくあります。
複数名は作成しましょうー！
リスク管理：あまりに多くの担当者に付与すると、前述のようなリスクが高まります。
監査の実効性：少数に絞ることで、誰が何を実行したかの監査がしやすくなります。

一つの管理者アカウント（Azure AD ユーザー）を複数名で使いまわすことはやめましょう。
これは、アカウントが使いまわされることで、どの管理者がいつサインインし、どのような操作を行ったかの監査が困難となるためです。

グローバル管理者は、個人ごとに別々のアカウントを発行し、それぞれ異なるUPNとパスワードで管理する必要があります。

すべての管理タスクにグローバル管理者権限は必要ありません。
Microsoftは、最小権限の原則に基づいて、各担当者の業務に必要な最小限の権限のみを付与することを推奨しています。

Microsoft Entra IDには、グローバル管理者以外にも、特定の業務に必要な権限だけを持つ様々な組み込みロールが用意されています：

ユーザー管理者（User Administrator）：ユーザーアカウントの作成、削除、パスワードリセットなどを行えますが、他の管理者ロールには影響を与えられません。
Teams管理者（Teams Administrator）：Microsoft Teamsの設定やポリシー管理に特化したロールです。
Exchange管理者（Exchange Administrator）：メールボックスやメール設定の管理を行えます。
SharePoint管理者（SharePoint Administrator）：SharePointサイトやOneDriveの管理に必要な権限を持ちます。
ヘルプデスク管理者（Helpdesk Administrator）：一般ユーザーのパスワードリセットやサインイン問題のトラブルシューティングを行えます。
セキュリティ管理者（Security Administrator）：セキュリティポリシーや条件付きアクセスの管理を行えます。
コンプライアンス管理者（Compliance Administrator）：コンプライアンス設定やデータガバナンスに関する権限を持ちます。