2026年版 Microsoft Entra向けセキュリティアドオン7選

重要ポイント

• Microsoft Entraはアカウントを認証し、Entraとフェデレーションしたアプリケーションを管理します。一部のセキュリティ機能は設計上その範囲外にあり、Microsoft自身のドキュメントもパートナー製品を案内しています。

• 埋めるべきギャップは漠然としたものではなく、具体的です。文書・生体情報による本人確認、特権セッションの制御、クラウド権限管理、レガシープロトコルへの対応、ハードウェア認証器、ディレクトリの復旧が挙げられます。

• 統合の深さは、機能一覧から想像される以上に製品ごとに異なります。Microsoft Security Storeからクリック操作だけで設定できるアドオンもあれば、独自の請求契約やREST API開発が必要なものもあります。

多くのEntra導入環境は、似たような段階に行き着きます。条件付きアクセスは調整済みで、MFAは強制され、アクセスレビューも稼働しています。ところがそこで、ライセンスではカバーできない問題が表れます。ユーザーが登録済みの認証方法をすべて失うと、ヘルプデスクが最も弱い環境になってしまいます。監査人のために特権セッションを記録しなければならない場面もあります。Kerberosで認証するサービスアカウントは、条件付きアクセスの管轄外にあります。

これらはEntraの欠陥ではありません。IDプロバイダーが担う役割の限界です。Microsoftはこの引き継ぎ先を複数の箇所で文書化しており、ある機能については提供自体を終了してパートナー製品を案内しています。 

一覧

1. AU10TIX：オンボーディングとアカウント復旧のための文書・生体情報による本人確認
2. Silverfort：条件付きアクセスをレガシープロトコルや非管理資産へ拡張
3. Delinea：MicrosoftがPermissions Managementを終了したことを受けたクラウド権限管理
4. CyberArk：PIMの範囲を超える認証情報の保管と特権セッションの分離
5. Yubico：Entraで構成証明（アテステーション）に対応するハードウェア型のフィッシング耐性認証器
6. Semperis：Active Directoryフォレストの復旧とTier 0への攻撃経路の発見
7. Saviynt：Microsoft以外のアプリケーションにまたがる幅広いIDガバナンス

Entraが標準でカバーする範囲と、引き継ぎが生じる領域

Entra標準のセキュリティ機能は広範です。条件付きアクセスとロールベースアクセス制御はP1、リスクベースのアクセス制御とID ProtectionはP2、権限管理（Entitlement Management）、アクセスレビュー、ライフサイクルワークフロー、Privileged Identity ManagementはEntra ID Governanceに含まれます。

FIDO2とパスキーは、追加ライセンス費用なしですべてのエディションで利用できます。Entra Backup and Recoveryも2026年に一般提供が始まり、ユーザー、グループ、条件付きアクセスポリシー、名前付きの場所、アプリケーション、サービスプリンシパルを対象に、毎日自動でバックアップを取得します。

引き継ぎ先も同様に文書化されています。最も明確なのが本人確認です。Entra Verified IDは資格情報の基盤を提供し、Face Checkはライブの自撮り画像を、資格情報内にある写真と照合します。その際はAzure AI Vision Face APIを使い、検証側には信頼度スコアのみを返します。

LearnAI Tools

一方、Face Checkは本人確認書類の取得や認証は行いません。Microsoftのパートナー向けドキュメントが、こうしたシナリオを本人確認・身元確認サービス経由で提供される公的身分証の確認として説明しているのは、そのためです。

Entra ID Account Recoveryは、この依存関係を明示しています。セルフサービスのパスワードリセットには登録済みの認証方法が最低1つ必要で、すべて失ったユーザーは救済できません。また、ヘルプデスク主導の復旧はソーシャルエンジニアリングの標的になりやすいため、この機能が用意されています。

Microsoftのドキュメントによると、検証はMicrosoftやヘルプデスクではなく、サードパーティの本人確認プロバイダーが実施します。ユーザーはそのプロバイダーに誘導され、ライブネス検知と顔認証を伴う公的身分証の確認を受けます。その後、Microsoft AuthenticatorにVerified ID資格情報が発行され、認証方法を再登録するためのTemporary Access Passも付与されます。

ほかにも重要な引き継ぎが3つあります。Privileged Identity Managementはロールをジャストインタイムで有効化しますが、認証情報の保管、セッションの分離や記録は行いません。条件付きアクセスはEntraとフェデレーションしたアプリケーションを対象とするため、Kerberos、NTLM、LDAP、RDP、SSH、ファイル共有、データベースは対象外です。さらに、クラウドインフラストラクチャ権限管理は、Microsoftが2025年末にEntra Permissions Managementを終了したことで、製品ラインナップから姿を消しました。Microsoft自身の移行ガイダンスは、同等の代替製品としてサードパーティ製品を挙げています。

2026年版 Microsoft Entra向けセキュリティアドオン7選

1. AU10TIX

AU10TIXは、Microsoft Entraに最適なセキュリティアドオンです。Microsoftがパートナーの補完を単に歓迎するだけでなく、必須としているギャップを埋めるからです。Entra ID Account Recoveryは、サードパーティの本人確認プロバイダーなしには復旧を完了できません。同じ本人確認のステップは、リモートでのオンボーディングやガバナンスのアクセスパッケージにも欠かせません。

AU10TIXは、この工程を文書のフォレンジック分析、顔照合、アクティブライブネス検知で実行します。処理はEntra Request Service APIから起動されるホスト型セッション内で行われ、その後に資格情報が発行されてMicrosoft Authenticatorに保存されます。秘密鍵は端末内に保持されます。

他の製品と比較するうえで確認すべきなのが、Microsoftのパートナー体系における位置づけです。MicrosoftはVerified IDの本人確認パートナーを2つのグループに分けており、AU10TIXは両方に含まれています。小さいほうのグループは Security Store統合パートナーです。クリック操作で設定でき、既存のAzureコミットメントで購入できます。独自の請求契約を結ばなくても、Entra ID Account RecoveryやEntra ID Governanceのアクセスパッケージと連携します。

CompareSecurity

大きいほうのグループはREST APIで統合し、ベンダーとの直接の請求契約が必要です。AU10TIXは2025年12月に、Entraプラットフォーム上の主要な本人確認発行元に選ばれました。さらに、コンソーシアムのデータを使って、オンボーディング開始前にプラットフォームをまたぐ不正の繰り返しを検知する「Serial Fraud Monitor」も備えています。

主な機能：

• Entraから起動するセッションで、文書のフォレンジック分析、顔照合、アクティブライブネス検知を実施
• Microsoft Security Storeからクリック操作で設定でき、Azureコミットメントで購入可能
• 別途の請求契約なしで、Entra ID Account RecoveryとEntra ID Governanceのアクセスパッケージに対応
• Microsoft Authenticatorに資格情報を発行し、オンボーディングと復旧で検証結果を再利用可能
• Serial Fraud Monitorがコンソーシアムのデータを活用し、プラットフォームをまたぐ不正の繰り返しを検知

2. Silverfort

Silverfortは、最新の認証方式に対応するよう改修できないリソースにMFAとアクセスポリシーを適用します。これは条件付きアクセスが及ばない領域です。Microsoft自身のチュートリアルは、対象としてレガシーアプリや自社開発アプリ、リモートデスクトップとSSH、コマンドラインや管理用アクセス、ファイル共有とデータベース、インフラや産業用システム、さらにAD FSとRADIUSを挙げています。

統合手順は、このグループの中で最も充実したドキュメントが用意されています。Silverfortコンソールでテナント IDを指定してブリッジコネクターを構成し、エンタープライズアプリケーションとしてアダプターを追加します。ポリシーをEntra ID Bridgeに設定すると、アクセスの判断が条件付きアクセスの評価のためにEntraへ渡されます。 

主な機能：

• ブリッジコネクターがレガシープロトコルの認証判断をEntraの条件付きアクセスへ受け渡し
• Kerberos、NTLM、LDAPS、RDP、SSH、ファイル共有、データベース、RADIUSに対応
• ブリッジした資産をエンタープライズアプリケーションとして表示し、条件付きアクセスポリシーの対象に指定可能
• Microsoftがアプリケーション単位の条件付きアクセスに対応するセキュアなハイブリッドアクセスのパートナーとして掲載

3. Delinea

Delineaは、Microsoftが廃止した機能を補います。Entra Permissions Managementが2025年末に終了した際、Microsoftの移行ドキュメントは、Delineaの「Privilege Control for Cloud Entitlements」が、人間とマシンのIDに対する権限の継続的な検出を含む同等の機能を提供すると明記しました。ここまで直接的な引き継ぎは珍しく、クラウドインフラストラクチャ権限管理を失ったチームにとって、Delineaが第一の選択肢となります。

プラットフォームの統合では、セットアップ時にEntraからユーザー、グループ、ロールを同期し、その後は定期的に更新します。モードは読み取り専用と読み取り/書き込みから選べます。Identity Threat Protectionはユーザー、グループ、ロール、アプリケーション、マネージドID、アプリ登録、サインインのアクティビティを検出します。Privilege Control for Cloud Entitlementsは、Azureのサブスクリプション、リソースグループ、リソースと、それぞれの権限を加えて把握します。 

主な機能：

• Microsoftの移行ガイダンスで、終了したEntra Permissions Managementに相当する製品として名指しされている
• Azureのサブスクリプション、リソースグループ、リソースにまたがる権限を継続的に検出
• Entraのユーザー、グループ、ロール、アプリ登録、マネージドID、サインインのアクティビティを検出
• 読み取り専用または読み取り/書き込みの統合モードを選択可能。広範なプラットフォームには保管機能とセッション管理も含まれる

4. CyberArk

CyberArkは、Privileged Identity Managementが担わない部分に対応します。PIMは、承認ワークフローを備えたジャストインタイムでEntraとAzureのロールを有効化しますが、認証情報の保管、セッションの仲介や分離、監査用の記録、Microsoft以外の対象に対するシークレット管理は行いません。CyberArkのPrivileged Access Manager、Privilege Cloud、Secure Cloud Accessの各製品群が、この領域をカバーします。

MicrosoftはPVWAエンドポイントに対するCyberArk SAML Authenticationのギャラリーアプリケーションを公開しています。ただし、このチュートリアルにはユーザーの自動プロビジョニングの記載がなく、アカウントのライフサイクル管理は別の工程になります。CyberArkは別途、自社のWorkforce Identityのアダプティブ MFAがEntraの外部認証方法として機能すると説明しています。 

主な機能：

• Entra PIMの範囲を超える認証情報の保管、セッションの分離、セッションの記録
• PVWAエンドポイントに対するSAMLシングルサインオン用に、Microsoftが公開するギャラリーアプリケーションを用意
• ベンダーの説明によると、アダプティブMFAは外部認証方法として統合可能
• 常時付与の権限なしで、Azureワークロードへのジャストインタイムの特権アクセスを実現

5. Yubico

Yubicoが埋めるのは、プロトコルではなくハードウェアのギャップです。EntraはFreeを含むすべてのエディションでFIDO2とパスキーに標準対応しているため、問題はEntraがこの標準に対応しているかどうかではありません。Microsoftは物理的な認証器を製造、配布、交換、ライフサイクル管理しておらず、共有ワークステーション、エアギャップ環境、スマートフォンを持たないユーザーにとっては、端末固定型の鍵が依然として唯一の現実的な選択肢だという点にあります。

Microsoftは、FIDOメタデータサービスをもとに、Entra IDで構成証明（アテステーション）の対象となるFIDO2キーのモデル一覧を公開しています。Yubicoは、YubiKey 5シリーズ、 Security Key NFC、YubiKey Bioの各種モデルで、この一覧の随所に登場します。管理者はAAGUIDで登録可能なモデルを制限でき、登録時にアテステーションを必須にできます。 

主な機能：

• 共有ワークステーション、エアギャップ環境、スマートフォンを持たないユーザー向けの端末固定型FIDO2キー
• アテステーション対象のFIDO2ベンダーとしてMicrosoftの一覧に広く掲載。AAGUIDで絞り込み可能
• 登録時のアテステーションにより、管理者は承認済みのキーモデルだけに登録を制限可能
• ユーザー単位のサブスクリプションプランが公開されており、交換枠や配送サービスも用意

6. Semperis

Semperisはディレクトリのレジリエンスに注力しており、最大の強みはEntraがまったく扱わない領域にあります。Active Directory Forest Recoveryは、オンプレミスのフォレストをサイバー攻撃を前提に復旧する製品です。Entraの対象範囲外にあるものの、ハイブリッドIDを運用し続けているあらゆる組織に関係します。Directory Services Protectorは、ADとEntra IDの両方で脅威の検知と対応をカバーし、Disaster Recovery for Entra TenantはEntraのリソースを対象とします。

Microsoftは2026年に、この領域の一部をカバーしました。Entra Backup and Recoveryが一般提供となったため、論点は、その対象外となる項目が何を未保護のまま残すかに移っています。対象外には、完全削除されたオブジェクト、オンプレミスから同期されたオブジェクトへの変更、動的グループのルールが含まれます。

主な機能：

• Active Directory Forest Recoveryにより、オンプレミスのフォレストをサイバー攻撃を前提に復旧
• Directory Services ProtectorがADとEntra IDにまたがる脅威の検知と対応をカバー
• Purple KnightとForest Druidを無償で提供し、セキュリティ態勢の評価とTier 0の攻撃経路の発見に対応
• Microsoft Intelligent Security Associationのメンバーで、Sentinelとの統合とAzure Marketplaceへの掲載あり

7. Saviynt

Saviyntは、Microsoft中心のEntra ID Governanceの範囲を超えてガバナンスを拡張します。Entraは、WorkdayやSuccessFactorsからの人事主導のインバウンドプロビジョニング、権限管理のアクセスパッケージ、アクセスレビュー、ライフサイクルワークフロー、PIMをカバーします。Saviyntが狙うのは、アプリケーション内部のきめ細かな権限、ERPシステムの職務分掌、プラットフォームをまたぐロールモデリング、Microsoft以外のアプリケーションに対する幅広いコネクターです。対象は人間、非人間、AIエージェントのIDに及びます。

同社は独自のEntra IDコネクターを公開しています。アカウントとアクセス権の完全インポートおよび増分インポート、プロビジョニングとデプロビジョニング、パスワードリセット、サービスアカウント管理に対応します。権限管理も、グループ、ディレクトリロール、アプリロール、Teamsチャネルにわたって行えます。 

主な機能：

• インポート、プロビジョニング、デプロビジョニング、権限管理に対応した、ベンダー製のEntra IDコネクター
• ERPやMicrosoft以外のアプリケーションに対する職務分掌と、きめ細かな権限ガバナンス
• 人間、非人間、AIエージェントのIDを1つのプラットフォームでガバナンス
• IGAに加えて、アプリケーションアクセスのガバナンスとIDセキュリティ態勢管理を提供

各アドオンが実際に埋めるEntraのギャップ

これらを比較する際に有効なのは、機能の数ではありません。各製品はほとんど重複しないからです。重要なのは、Entraの文書化された境界のどこを補うものか、そして統合にどれだけの作業が必要かです。

よくある質問

Microsoft Entraはユーザーの本人確認書類を検証しますか？

単独では検証しません。Entra Verified IDは資格情報を発行・検証し、Face Checkはライブの自撮り画像を資格情報内にある写真と照合します。公的身分証の取得と認証は本人確認パートナーが担います。Entra ID Account Recoveryの完了にサードパーティのプロバイダーが必要なのは、そのためです。

認証と本人確認（アイデンティティ・プルーフィング）の違いは何ですか？

認証は、サインインしようとしている人が正しい資格情報を持っていることを確認します。本人確認は、文書の確認と生体認証を通じて、主張されているIDに実在する唯一の人物が合致することを確認します。スマートフォンを盗んだ攻撃者は認証を通過できます。登録や復旧の段階でそれを阻止するのが本人確認です。

すでにEntra ID P2を契約している組織に、なぜアドオンが必要なのですか？

P2が加えるのはリスクベースのアクセス制御とID Protectionであり、IDプロバイダーの範囲外にある機能ではありません。認証情報の保管、セッションの記録、レガシープロトコルへの対応、文書による本人確認、物理キー、フォレストの復旧はそれぞれ別の領域です。Microsoftは自社のクラウド権限管理製品を、それ以上開発せずに終了しました。

Microsoft Entra Permissions Managementはどうなりましたか？

Microsoftは2025年末に終了し、販売も停止しました。移行時にはデータ収集も打ち切られています。移行ドキュメントは、権限の継続的な検出について同等の機能を提供するサードパーティ製品を案内しており、クラウドインフラストラクチャ権限管理はEntra利用者にとってパートナー製品が担う機能になりました。