PIM（Privileged Identity Management）の目的は、管理者権限の常時保持によるリスクを最小化すること。強力な権限を持つアカウントが万が一乗っ取られた場合、テナント全体に甚大な被害が及ぶリスクがあります。PIM の割り当ての種類・期間、アクティブ化の運用フロー、ライセンス要件までを解説します。
「必要なときに、必要な期間だけ、最小限の特権を与える」というアプローチは、安全なゼロトラスト環境を実現するために重要とされています。PIM は、これを実現する機能です。本ページでは Microsoft Entra のロール（管理者権限）を対象とした運用を解説します。特権ロールを常時アクティブにするのではなく、使うときだけ有効化する申請ベースの運用に切り替えます。
割り当ては「対象」「アクティブ」の2種類。それぞれに「永続」「期限付き」の期間を設定できます。有効期限は「対象」「アクティブ」のどちらの割り当てにも設定できます（資格を保持する期間／権限を行使できる期間）。
ユーザーに「必要なときにロールを申請する資格」を与える割り当て。普段は権限を持たず、必要になったら自分で申請（アクティブ化）して一時的に権限を使える状態にします。アクティブ化の条件として Azure MFA・「理由が必要」・「承認が必要」を組み合わせて運用できます。
従来の割り当てと同じく、申請手順を踏むことなく権限が有効な状態になります。手動申請ができない自動ツールのサービスアカウントや、効率を重視したい非稼働環境（検証環境）の作業アカウントでの利用が想定されます。
期限なしでその状態が続きます。
開始日時と終了日時を指定し、その期間だけ状態が維持されます。アクティブ化した権限は終了日時を過ぎると自動的に無効化されて一覧から消え、ユーザーは再び「資格のある割り当て」だけを持つ状態に戻ります。権限を返却する操作は不要です。
Azure ポータルの [すべてのサービス] > [Microsoft Entra Privileged Identity Management] > [Microsoft Entra ロール] > [ロール] から対象ロールを選んで設定します（記事ではセキュリティ閲覧者ロールを例に、承認者の承認を必要とする構成で解説）。承認の要否はロールごとに変更できます。
対象ロールの [設定] > [編集] を開き、[アクティブ化] タブで「アクティブ化に理由が必要」にチェックが入っていることを確認。「アクティブにするには承認が必要です」にチェックを付け、承認者を選択します。
[割り当ての追加] で [メンバーシップ] タブからユーザーを追加し、[設定] タブの [割り当ての種類] で「対象」を選択。割り当ての有効期間もここで設定します（「永続的に有資格」も選択可能）。割り当て直後は「資格のある割り当て」タブにのみ表示され、「アクティブな割り当て」タブには現れません。
利用者は PIM の [自分のロール] > [資格のある割り当て] から [アクティブ化] をクリックし、理由を入力して申請します。翌日以降の作業に備えた事前申請は「カスタムアクティブ化の開始時刻」で設定できます。申請の状態は [保留中の要求] から確認できます。
承認者は [申請の承認] から対象の申請にチェックを付けて [承認] をクリックし、理由を入力して [Submit] で確定します。承認が完了すると申請者に結果が通知され、申請した期間だけロールがアクティブになります。申請が24時間以内に承認されなかった場合は自動的に却下されます（この承認時間枠はシステム固定で変更できません）。
該当ロールの [アクティブな割り当て] タブで、権限がアクティブ化されたことを確認します。
| 機能 | Entra ID P1 | Entra ID P2 | ID Governance / Suite |
|---|---|---|---|
| Privileged Identity Management (PIM) | — | ✔ | ✔ |
| PIM For Groups | — | ✔ | ✔ |
| PIM 条件付きアクセス制御 | — | ✔ | ✔ |
承認者を明示的に指定しない場合、テナントの「特権ロール管理者」または「グローバル管理者」が既定の承認者として機能します。
Microsoft のベストプラクティスとして、グローバル管理者は組織内で5人未満に割り当てることが推奨されています。
特権ロールの割り当てが10件を超えると、管理ポータルに警告が表示される仕様になっています。
本ページは当社ブログの解説記事をまとめたものです。画面キャプチャ付きの詳しい手順は記事をご覧ください。
※ 本ページに記載した画面名・設定項目・制限値（グローバル管理者「5人未満」、割り当て10件超の警告、承認の24時間枠）は、参考記事の検証時点（2026年7月）の仕様に基づいています。仕様変更やアップデートにより変更される可能性があるため、実際の設計・設定時には最新の公式ドキュメントをご確認ください。
Microsoft Entra ID をはじめとした高度なセキュリティシステムの導入・設計を、経験豊富なエンジニアがご支援します。
相談する →