Azure PIM (Privileged Identity Management) 完全ガイド｜JIT 特権管理・Access Review・運用ベストプラクティス

PIM (Privileged Identity Management) は、Microsoft Entra ID Premium P2 の特権 ID 管理機能で、ゼロトラスト戦略の特権アクセス管理 (PAM) の中核です。 管理者ロールを Permanent (常時アクティブ) ではなく Just-in-Time (JIT、必要時のみアクティブ化) で運用する仕組みで、内部不正・侵害アカウント悪用のリスクを大幅削減します。 本記事では、PIM の基本動作・Role Settings・Azure Resource ロール対応・Access Review 連携・運用ベストプラクティスを網羅的に整理します。

PIM の基本動作

標準パターン: 全管理者ロールを Eligible 化、必要時に MFA + 理由入力 + 上司承認で Activate。Active 期間は 1-8 時間で自動的に Eligible に戻る。Permanent Active は緊急アクセス用 Break Glass Account のみ (2 アカウント程度)、それ以外はすべて Eligible 化が PIM のベストプラクティスです。

必須ライセンス

• Microsoft Entra ID Premium P2 必須
• Microsoft 365 E5・Microsoft Entra ID Governance・Entra ID P2 単体 で取得可能
• 対象ユーザー全員に P2 ライセンス割り当てが必要
• Microsoft 365 E5 は P2 を含むため、E5 全社展開なら追加コスト不要
• E3 環境では Entra ID P2 単体追加 (ユーザーあたり月 9 USD)

Role Settings の重要項目

Role Settings で構成する重要項目:

1. Maximum activation duration: 1-24 時間、推奨 1-8 時間
2. Require MFA on activation: 必須に設定
3. Require justification on activation: 理由入力必須
4. Require ticket information: Service Now / Jira チケット番号入力、監査対応
5. Require approval to activate: 承認者指定 (Global Admin は CISO 承認など)
6. Activation alert: アクティベーション時に CISO / SOC に通知
7. Eligible assignment 期間設定: 最大 12 ヶ月、年次レビュー前に強制更新

ロール別推奨設定

Azure Resource ロールの PIM

PIM は Entra ID ロール (Global Admin など) だけでなく、Azure Resource ロール (Owner・Contributor・User Access Administrator・カスタムロール) も対象です。

適用シーン

• Subscription / Resource Group / Resource レベルで Eligible 割り当て可能
• 本番サブスクリプションへの Owner 権限を全エンジニアから剥奪 → Eligible 化
• 必要時に MFA + 理由入力で Activate (最大 4 時間)
• 操作完了後自動的に Eligible に戻る

これにより本番環境への永続的な高権限を排除、人的ミス・内部不正・侵害アカウント悪用のリスクを大幅削減。 Azure Resource ロールの PIM 対応は Subscription レベル以上で利用可能、Azure Lighthouse 経由のクロステナント管理にも対応します。

Access Review との連携

PIM + Access Review の組み合わせがゼロトラスト特権管理の完成形です。

定期棚卸しパターン

• 『過去 X ヶ月で Activate 履歴がないユーザーから Eligible 割り当てを剥奪』
• 『四半期に 1 回、すべての Eligible ロール保有者を上司レビュー』
• 『全 Eligible Assignment に 12 ヶ月期限設定 + 期限切れ前に Access Review で更新可否判定』

PIM 単独では Eligible 割り当てが Permanent に残り続けるが、Access Review で『使われていない権限の自動剥奪』が実現可能。 これにより組織の特権 ID が継続的に最小化されます。Access Review の詳細は Entra ID Governance 完全ガイド を参照。

運用ベストプラクティス

1. Permanent Active は Break Glass Account 2 つのみ、それ以外すべて Eligible 化
2. Global Admin に上司承認 + チケット番号入力を必須化
3. Maximum Activation Duration を 4 時間程度に短縮 (8 時間以上は緩い)
4. Activation Alert を CISO / SOC チームに送信
5. Eligible Assignment に 12 ヶ月期限、Access Review で更新判定
6. Microsoft Sentinel に PIM Audit Log を送信、異常 Activate を検知
7. Just Enough Administration (JEA) と組み合わせて最小権限化
8. Privileged Access Workstation (PAW) からのみ Activate 許可 (Conditional Access で制御)
9. 四半期に 1 回 PIM Insights レビュー (使われていないロール特定)
10. On-call Engineer 向け短期 Eligible 割り当て (1 週間など)

Privileged Access Workstation (PAW) との統合

高セキュリティ環境では PIM + PAW の組み合わせが推奨。PAW は特権作業専用の隔離デバイスで、通常業務には使わない構成。

• Intune で PAW デバイス Compliance Policy を設定
• Conditional Access で『PIM Activate は Compliant Device からのみ』を強制
• PAW から特権操作後、通常 PC に戻って業務継続
• Microsoft Defender for Endpoint で PAW を厳重監視

Microsoft Sentinel での監視

PIM のすべての操作は Audit Log に記録され、Microsoft Sentinel で異常検知可能です。

AuditLogs
| where TimeGenerated > ago(7d)
| where OperationName == "Add member to role completed (PIM activation)"
| extend ActivatedUser = tostring(InitiatedBy.user.userPrincipalName)
| extend RoleName = tostring(TargetResources[0].displayName)
| summarize ActivateCount = count() by ActivatedUser, RoleName
| order by ActivateCount desc

異常 Activate (深夜・休日・通常頻度を大きく超える) を Sentinel Analytics Rule で検知、Logic App Playbook で CISO 通知が定石パターン。

関連認定試験

• SC-300 (Identity and Access Administrator Associate): ドメイン 4 で深く問われる本領域の本命認定
• SC-100 (Cybersecurity Architect Expert): ゼロトラスト戦略の特権アクセス管理
• MS-102 (Microsoft 365 Administrator Expert): ドメイン 2 (Identity and Access)
• AZ-104 (Administrator): Azure Resource ロールの PIM
• AZ-305 (Solutions Architect Expert): アーキテクト視点での RBAC 戦略

よくある質問

本記事の技術情報は Microsoft Entra Privileged Identity Management Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Entra は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。