<p>[META: CLOUD_ARCHITECT_REPORT_V2] [TOPIC: Microsoft CSP Timeline Extension and GDAP/NCE Transition] [ROLE: Senior Cloud Architect]</p> <p>本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">CSP拡張サービス条件（NCE/GDAP）のタイムライン延長に伴う移行・セキュリティ実装ガイド</h1> <p>Microsoft CSPプログラムにおけるレガシーからNCEへの完全移行、およびDAPからGDAPへのセキュリティ要件適用に関する最新タイムラインを反映した実装ロードマップ。</p> <h2 class="wp-block-heading">【導入】</h2> <p>CSPパートナーが直面するレガシー契約のNCE移行と、特権アクセス保護（GDAP）の強制適用に対する猶予期間を最大限活用し、セキュアな運用基盤を構築します。</p> <h2 class="wp-block-heading">【アーキテクチャ設計】</h2> <p>本設計では、延長されたタイムライン（特にパブリックセクター等の特定SKU）を前提に、従来のDAP（代理管理者権限）を排除し、最小特権原則に基づくGDAP（きめ細やかな代理管理者権限）への移行を核とします。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD subgraph "Partner Tenant" A["Partner Admin"] -->|Access| B["Partner Center"] B -->|Admin Relationship| C["Security Groups"] end subgraph "Customer Tenant" C -->|JIT / Least Privilege| D["Entra ID Roles"] D -->|Manage| E["Azure Subscriptions / M365"] F["Conditional Access"] -.->|Enforce MFA| D end B -.->|Extension Timeline| G{"Legacy to NCE Migration"} G -->|Automated Transition| E </pre></div> <h3 class="wp-block-heading">構成解説</h3> <ol class="wp-block-list"> <li><p><strong>パートナーセンター連携</strong>: パートナーテナント内の特定のセキュリティグループに対し、顧客テナント内の特定のEntra IDロールを割り当てます。</p></li> <li><p><strong>GDAPのリレーションシップ</strong>: 従来のDAPとは異なり、有効期限（最大2年間）と特定の権限（Global Adminを避ける）を定義します。</p></li> <li><p><strong>条件付きアクセス</strong>: パートナー側のアクセスに対しても、顧客テナント側でMFAやマネージドデバイスを要求するセキュリティ境界を構築します。</p></li> </ol> <h2 class="wp-block-heading">【実装・デプロイ手順】</h2> <p>GDAPのリレーションシップを一括で承認・管理するために、Microsoft Graph PowerShell SDKを使用します。</p> <h3 class="wp-block-heading">1. GDAPリレーションシップの作成（PowerShell）</h3> <div class="codehilite"> <pre data-enlighter-language="generic"># Microsoft Graph への接続 Connect-MgGraph -Scopes "DelegatedAdminRelationship.ReadWrite.All" # 顧客IDとリレーションシップの詳細設定 $params = @{ displayName = "Standard Support Relationship - 2024 Extension" customer = @{ tenantId = "<Customer_Tenant_ID>" } privilegedSystemRoles = @( "Directory Readers" "Service Support Administrator" ) duration = "P730D" # 730日間（2年） } # リレーションシップの作成 New-MgTenantRelationshipDelegatedAdminRelationship -BodyParameter $params </pre> </div> <h3 class="wp-block-heading">2. NCEへの移行（自動移行ツールの活用）</h3> <p>レガシー契約の更新時にNCEへ自動移行させる設定をパートナーセンターAPI経由で確認します。延長されたタイムライン（パブリックセクター等の特定SKU）については、<code>Auto-renew</code>設定を有効化し、移行期限（2024年末～2025年）に合わせたスケジュールをバッチ処理で適用します。</p> <h2 class="wp-block-heading">【アイデンティティとセキュリティ】</h2> <ul class="wp-block-list"> <li><p><strong>DAPの廃止とGDAPへの完全移行</strong>: Microsoftが提供する「Bulk Migration Tool」を使用し、既存のDAPをGDAPへ昇格させます。</p></li> <li><p><strong>特権アクセス管理 (PIM)</strong>: パートナーテナント側でPIMを導入し、顧客環境へのアクセスが必要な時のみGDAPグループへのメンバーシップをアクティブ化します。</p></li> <li><p><strong>セキュリティデフォルトの強制</strong>: 延長期間中であっても、パートナーテナントでのMFA有効化は必須要件（CSP要求事項）であり、これを無視すると注文機能が停止されるリスクがあります。</p></li> </ul> <h2 class="wp-block-heading">【運用・コスト最適化】</h2> <ul class="wp-block-list"> <li><p><strong>SKUの最適化</strong>: NCEへの移行に際し、1ヶ月契約（プレミアム価格）と1年/3年契約（固定価格）のポートフォリオを再構成します。延長期間を利用して、顧客の利用実態をAzure Cost Managementで分析します。</p></li> <li><p><strong>可観測性</strong>: Entra IDのサインインログをLog Analyticsに転送し、パートナーによる管理操作（GDAP経由）を監査します。</p></li> <li><p><strong>有効期限管理</strong>: GDAPのリレーションシップは期限が切れるとアクセス不能になるため、自動通知スクリプトをAzure Automationで実行します。</p></li> </ul> <h2 class="wp-block-heading">【まとめ】</h2> <ol class="wp-block-list"> <li><p><strong>タイムラインの把握</strong>: 延長されたのは主にパブリックセクターや特定の移行パスであり、MFA強制等のセキュリティ要件は緩和されていない点に注意。</p></li> <li><p><strong>GDAPへの早期移行</strong>: 期限ギリギリの移行はAPIの混雑や予期せぬ権限不足を招くため、最小特権ロール（RBAC）を定義した上での早期実施が不可欠。</p></li> <li><p><strong>落とし穴（注意点）</strong>: レガシーからNCEへの移行後は「7日間のキャンセル期間」を過ぎると契約期間中の解約が不可能になるため、顧客との合意形成プロセスを厳格化すること。</p></li> </ol>

graph TD
    subgraph "Partner Tenant"
        A["Partner Admin"] -->|Access| B["Partner Center"]
        B -->|Admin Relationship| C["Security Groups"]
    end

    subgraph "Customer Tenant"
        C -->|JIT / Least Privilege| D["Entra ID Roles"]
        D -->|Manage| E["Azure Subscriptions / M365"]
        F["Conditional Access"] -.->|Enforce MFA| D
    end

    B -.->|Extension Timeline| G{"Legacy to NCE Migration"}
    G -->|Automated Transition| E

# Microsoft Graph への接続

Connect-MgGraph -Scopes "DelegatedAdminRelationship.ReadWrite.All"

# 顧客IDとリレーションシップの詳細設定

$params = @{
    displayName = "Standard Support Relationship - 2024 Extension"
    customer = @{
        tenantId = "<Customer_Tenant_ID>"
    }
    privilegedSystemRoles = @(
        "Directory Readers"
        "Service Support Administrator"
    )
    duration = "P730D" # 730日間（2年）
}

# リレーションシップの作成

New-MgTenantRelationshipDelegatedAdminRelationship -BodyParameter $params