Microsoft 365 ブレークグラスアカウントの設定と監査

要点：ブレークグラスアカウント（Microsoft の用語では「緊急アクセスアカウント」）は、通常の管理者がサインインできなくなった日のために持っておく、クラウド専用のグローバル管理者アカウントです。2026年6月4日更新の Microsoft のガイダンスでは、最低2つ用意し、電話ではなくパスキー（FIDO2）または証明書でサインインさせ、サインインをブロックまたは制限する条件付きアクセスポリシーから除外し、使用のたびにアラートを出し、少なくとも90日ごとにテストします。

Microsoft 365 テナントでは、いつかは管理者全員がサインインできない午後が来ます。条件付きアクセスのポリシーを誤って有効にした、携帯電話網が止まって MFA の通知が届かない、唯一のグローバル管理者が退職した、といった場面です。緊急アカウントがなければ、Microsoft サポートへの連絡と長い待ち時間が待っています。あっても誰も場所を知らない、または整理の際に無効化されていた場合も同じ結果です。

本記事では、何個必要か、管理ポータルで MFA が必須となった2026年にどう設定するか、どのポリシーから除外するか、どうアラートを出すか、そして30分程度で全体をどう監査するかを説明します。内容は Microsoft Learn の Manage emergency access admin accounts に基づき、2026年11月10日に確認しました。

Microsoft 365 のブレークグラスアカウントとは？

Microsoft Entra ID のグローバル管理者ロールを持つユーザーアカウントで、通常の管理アカウントが使えないときにだけ使います。利便性のための予備管理者ではなく、IT チームが日常業務で共有するログインでもありません。誤ったポリシー、ID プロバイダーの障害、管理者の退職といった一つの障害で、組織が自分のテナントから締め出されないようにするためのものです。

Microsoft が挙げる想定場面は、フェデレーションが使えない、管理者の MFA デバイスや MFA サービスが使えない、最後のグローバル管理者が退職した、災害で携帯電話網が使えない、特権ロールの割り当てがすべて「対象」で「アクティブ」ではなく承認者もいない、などです。

緊急アクセスアカウントは何個必要？

2つ以上です。Microsoft は「2つ以上作成する」と述べ、ガードレールにも「冗長性のため最低2つ」と記載しています。小規模から中規模のテナントでは2つが適切で、1つが使えなくなっても（鍵の紛失、誤った無効化）もう1つが残ります。4つ以上にしても、守る資格情報が増えるだけで耐障害性は上がりません。

グローバル管理者の総数は別の問題です。小さなテナントなら、緊急アカウントに加えて2、3人で足ります。レビューで常時有効なグローバル管理者が10人以上見つかれば、それ自体が指摘事項です。

2026年にどう設定する？

管理ポータルで MFA が必須になったため、現在の手順は以前の助言と異なります。概要は次のとおりです。

*.onmicrosoft.com ドメインのクラウド専用ユーザーとして作成します。フェデレーションやオンプレミス Active Directory からの同期は不可です。
グローバル管理者ロールを割り当て、Privileged Identity Management では「対象」ではなく永続的にアクティブにします。
フィッシング耐性のある方式を選びます。Microsoft はパスキー（FIDO2）を推奨し、PKI がある場合は証明書ベース認証も使えます。どちらも必須 MFA の要件を満たします。
日常の管理者アカウントとは別の方式にします。通常 Authenticator アプリを使うなら、緊急アカウントにはハードウェアセキュリティキーを使います。
個人や個人の携帯電話に紐づけません。資格情報は、権限のある複数の管理者が取り出せる場所（別の拠点の金庫など）に保管します。
資格情報が期限切れにならず、未使用アカウントの自動クリーンアップの対象にもならないようにします。

長いパスワードではだめなのか？

以前は、非常に長いパスワードを設定し MFA から除外する方法が勧められていました。この助言は古くなっています。Microsoft のページは現在、アカウントを守るのは登録したフィッシング耐性のある方式だとしており、挙げられている方式は必須 MFA を満たすものです。MFA を除外したパスワードだけのアカウントは、監査人も攻撃者も真っ先に探す対象です。

緊急アカウントは条件付きアクセスから除外すべき？

サインインをブロックまたは制限するポリシーからは除外します。MFA、準拠デバイス、場所を要求するポリシーが有効だと、緊急時にまさに使えなくなる可能性があるためです。実務上の要点は2つです。

EmergencyAccess のような専用セキュリティグループを作り、個々のユーザーではなくそのグループを除外します。新しいポリシーを作る際に追加すべき除外が一つで済みます。
同じページによると、レポート専用ポリシーはアクセスをブロックしないため除外は不要です。

多くのテナントは二方向のどちらかで失敗します。「全ユーザーに MFA を要求」のポリシーの対象のままで本当の締め出しの際にサインインできないか、すべてから除外されているのに誰も監視していないかです。除外が安全なのは、資格情報が強く、監視されている場合だけです。ポリシー設計を検討中なら、セキュリティの既定値と条件付きアクセスの比較をご覧ください。

緊急アカウントをどう監視する？

緊急アカウントへのサインインは、複数の管理者に通知されるべきです。Microsoft の例では、Entra のサインインログを Azure Monitor に送り、アカウントのオブジェクト ID を対象にしたクエリベースのアラートを、しきい値0超、重大度0（重大）、メールまたは SMS のアクショングループで作成します。Microsoft Sentinel など他のツールでも構いません。製品より原則が重要で、計画外のサインインは数分以内に人へ届く必要があります。

見落としやすい点が2つあります。アラートが動くには、サインインログが事前にワークスペースへ流れている必要があります。また監査ログを有効にし、事後確認できる期間だけ保持する必要があります。ライセンスごとの保持期間はMicrosoft 365 監査ログ保持期間の確認で説明しています。

使用後は、計画された訓練か、実際の緊急事態か、不正使用かを短く振り返ることを Microsoft は勧めています。操作内容が承認された目的に沿っていたかも確認します。

緊急アカウントをどう監査する？

弊社が使っているチェックリストです。Entra 管理センターで1時間以内に自分で実施できます。

数。2つ以上ありますか。名前を挙げられますか。グローバル管理者を一覧し、breakglass、emergency、ea- などの名前を探します。
種類。クラウド専用の onmicrosoft.com アカウントですか。オンプレミス同期やフェデレーションドメインのものは指摘事項です。
ロール。グローバル管理者は永続的にアクティブですか。「対象」だと有効化が必要になり、その有効化自体が妨げられる恐れがあります。
サインイン方式。パスキーまたは証明書が登録され、通常の管理者と異なる方式ですか。特定の個人の電話番号を登録したパスワードは Microsoft の要件を満たしません。
条件付きアクセス。サインインをブロックまたは制限する有効なポリシーごとに、緊急用グループが除外されていますか。What If ツールでテストします。レポート専用は除外不要です。
アラート。サインインにリアルタイムのアラートがあり、誰が受け取りますか。計画した訓練でサインインし、アラートが届くか確認します。
最終テスト。権限のある人が最後にサインインして管理操作をしたのはいつですか。Microsoft は少なくとも90日ごと、IT 担当者やサブスクリプションの変更後にも求めています。
保管。資格情報はどこにあり、誰が取り出せますか。アクセス権のある人が退職した後、金庫の番号を変えましたか。
衛生。メールのライセンスを割り当てず、日常業務に使わず、通常のサインインレポートに現れないようにします。

不合格の例とは？

よくある指摘は、緊急アカウントが1つだけ、オンプレミスから同期されたユーザーのまま、MFA を除外したパスワードだけのアカウント、整理中に無効化されたまま戻されていないアカウント、誰も読まないメールボックスに届くアラートです。特殊なものではなく、いずれも設定を見るだけで分かります。

完全な Microsoft 365 セキュリティ監査とはどう関係する？

緊急アクセスは、より広いレビューの中の Entra ID と特権アクセスの項目の一つです。弊社の Microsoft 365 CIS ベンチマーク監査は、読み取り専用の Microsoft Graph アプリでテナントの設定を読み取り、誰がグローバル管理者か、そのサインインがどう保護されているか、どの条件付きアクセスの除外があるかなどを確認します。レポートは、サイバー保険の質問票や Cyber Essentials の管理者アクセスに関する質問の証拠として使えるよう設計されていますが、メールや文書の内容は読みません。指摘事項の見せ方はサンプルレポートの解説、確認範囲の全体は Microsoft 365 セキュリティ監査のサービスページ（英語ページ）にあります。

管理者ロールを誰が持つべきかについては、Microsoft 365 と Entra ID のセキュリティ監査の解説もご覧ください。

よくある質問

Microsoft 365 のブレークグラスアカウントとは？

通常の管理アカウントでサインインできないときにだけ使う、クラウド専用のグローバル管理者アカウントです。Microsoft の用語は緊急アクセスアカウントです。

ブレークグラスアカウントは何個必要？

Microsoft の現在のガイダンスでは最低2つです。冗長性が得られ、守る資格情報も増えすぎません。

緊急アカウントに MFA は必要？

必要ですが、日常の管理者と同じ方式は避けます。Microsoft はパスキー（FIDO2）または証明書ベース認証を推奨しており、電話や個人に依存せず必須 MFA を満たします。

条件付きアクセスから除外すべき？

サインインをブロックまたは制限するポリシーから、専用グループで除外します。レポート専用は除外不要です。強い資格情報とアラートを併用してください。

どのくらいの頻度でテストする？

Microsoft は少なくとも90日ごと、IT 担当者や Entra のサブスクリプションが変わった後にも求めています。テストとは、サインインして管理操作を行い、アラートが出ることを確認することです。

Brocent の監査は緊急アカウントでサインインしますか？

しません。監査はグローバル管理者が一度同意する読み取り専用の Microsoft Graph アプリを使い、所要は約15分で、Entra ID から削除できます。設定を読み取り、メールや文書の内容は読みません。

次のステップ

Entra を開き、グローバル管理者を一覧にして上の9項目を確認してください。この項目とテナント全体の独立したレビューをご希望なら、Microsoft 365 セキュリティ監査の料金ページに固定料金があり、1～10ユーザーは450米ドルから、一回払いで税別です。結果についてご相談はお問い合わせから。あわせてMicrosoft 365 セキュリティ監査の費用もご覧ください。

共有：