PIM（Privileged Identity Management）の目的は、管理者権限の常時保持によるリスクを最小化すること。強力な権限を持つアカウントが万が一乗っ取られた場合、テナント全体に甚大な被害が及ぶリスクがあります。PIM の割り当ての種類・期間、アクティブ化の運用フロー、ライセンス要件までを解説します。
PIM は「必要なときに、必要な期間だけ、最小限の特権を与える」というアプローチで、Microsoft Entra のロール（管理者権限）を統制する機能です。管理者権限を常時持たせず、使うときだけ有効化する Just-in-Time の運用に切り替えることで、常時特権という最大のセキュリティリスクを排除しつつ、管理者の実務を阻害しない運用を確立できます。
割り当ては「対象」「アクティブ」の2種類。それぞれに「永続」「期限付き」の期間を設定できます。
ユーザーに「必要なときにロールを申請する資格」を与える割り当て。普段は権限を持たず、必要になったら自分で申請（アクティブ化）して一時的に権限を使える状態にします。アクティブ化の条件として Azure MFA・「理由が必要」・「承認が必要」を組み合わせて運用できます。
従来の割り当てと同じく、申請手順を踏むことなく権限が有効な状態になります。手動申請ができない自動ツールのサービスアカウントや、効率を重視したい非稼働環境（検証環境）の作業アカウントでの利用が想定されます。
期限なしでその状態が続きます。「対象」「アクティブ」のどちらにも設定できます。
開始日時と終了日時を指定し、その期間だけ状態が維持されます。アクティブ化した権限は終了日時を過ぎると自動的に無効化され、権限を返却する操作は不要です。
Azure ポータルの「Microsoft Entra Privileged Identity Management」から設定します（記事ではセキュリティ閲覧者ロールを例に解説）。
対象ロールの [設定] > [編集] を開き、[アクティブ化] タブで「アクティブ化に理由が必要」にチェックが入っていることを確認。「アクティブにするには承認が必要です」にチェックを付け、承認者を選択します。
[割り当ての追加] からユーザーを追加し、[設定] タブの [割り当ての種類] で「対象」を選択。割り当ての有効期間もここで設定します（「永続的に有資格」も選択可能）。
利用者は PIM の [自分のロール] > [資格のある割り当て] から [アクティブ化] をクリックし、理由を入力して申請します。翌日以降の作業に備えた事前申請は「カスタムアクティブ化の開始時刻」で設定できます。
承認者は [申請の承認] から対象の申請を選んで承認し、理由を入力して確定します。申請が24時間以内に承認されなかった場合は自動的に却下されます（この承認時間枠はシステム固定で変更できません）。
該当ロールの [アクティブな割り当て] タブで、権限がアクティブ化されたことを確認します。
| 機能 | Entra ID P1 | Entra ID P2 | ID Governance / Suite |
|---|---|---|---|
| Privileged Identity Management (PIM) | — | ✔ | ✔ |
| PIM For Groups | — | ✔ | ✔ |
| PIM 条件付きアクセス制御 | — | ✔ | ✔ |
承認者を明示的に指定しない場合、テナントの「特権ロール管理者」または「グローバル管理者」が既定の承認者として機能します。
Microsoft のベストプラクティスとして、グローバル管理者は組織内で5人未満に割り当てることが推奨されています。
特権ロールの割り当てが10件を超えると、管理ポータルに警告が表示される仕様になっています。
本ページは当社エンジニアによる解説記事をまとめたものです。画面キャプチャ付きの詳しい手順は記事をご覧ください。
Microsoft Entra ID をはじめとした高度なセキュリティシステムの導入・設計を、経験豊富なエンジニアがご支援します。
相談する →