この記事は、生成AIを活用した自動生成フローで作成しています。
Microsoft Entra ID P1 / P2とは？M365 E3とE5の認証・ID管理差を整理
この記事について
Microsoft公式ライセンス情報を2026年9月18日時点で確認し、Microsoft Entra ID P1/P2とMicrosoft 365 E3/E5/E7の関係を、認証・Conditional Access・Identity Protection・PIMの観点から整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Microsoft Entra IDは、Microsoft 365のユーザー、グループ、サインイン、アプリへのアクセスを支えるID（Identity：誰であるかを表すデジタル上の身元）基盤です。
P1/P2の違いは「Microsoft 365へログインできるか」ではありません。基本的なID管理の上に、条件付きアクセス、リスク検知、特権管理をどこまで高度化できるかが主な違いです。
最初に覚えたい用語
| 用語 | 初心者向けの意味 |
|---|---|
| MFA | パスワード以外の要素も使う多要素認証 |
| Conditional Access | ユーザー、端末、場所、リスクなどの条件でアクセスを判断する仕組み |
| sign-in risk | 今回のサインインが攻撃者によるものかもしれないリスク |
| user risk | ユーザーアカウント自体が侵害されている可能性 |
| Identity Protection | リスクのあるユーザー/サインインを検知・対応するEntra機能 |
| PIM | Privileged Identity Management。管理者権限を必要な時間だけ有効化する仕組み |
| break-glass account | Conditional Access障害などの緊急時に使う非常用管理アカウント |
E3/E5/E7との関係
Microsoft公式の2026年6月18日更新ライセンス文書では、次のように整理されています。
| Microsoft 365 | Entra ID |
|---|---|
| E3 | Entra ID P1 |
| E5 | Entra ID P1 + P2相当の権利を含む（P2を含む） |
| E7 | Entra ID P2機能に加えMicrosoft Entra Suiteを含む |
P1はE3/E5/E7に含まれ、P2はE5/E7に含まれます。E7にはさらにMicrosoft Entra Suiteが含まれ、Private Access、Internet Access、ID Governance、ID Protection、Verified ID premium capabilitiesなどへ範囲が広がります。
P1とP2を実務で分ける
| 機能例 | P1 | P2 |
|---|---|---|
| Conditional Access | ○ | ○ |
| SSPR writeback | ○ | ○ |
| Risk-based Conditional Access | – | ○ |
| Identity Protectionの完全なリスク情報 | 制限あり | ○ |
| Privileged Identity Management | – | ○ |
P1でもConditional Accessは利用できますが、sign-in risk / user riskを条件として自動制御するrisk-based policyはP2領域です。
サインイン制御の流れ
flowchart LR
U[利用者] --> S[Microsoft Entra sign-in]
S --> CA[Conditional Access P1+]
CA --> D{端末・場所・アプリ等}
D --> MFA[MFA要求]
D --> B[Block / Allow]
S --> R[Identity Protection P2]
R --> RR{Sign-in/User Risk}
RR --> CA
P1では「社外からならMFA」「管理対象端末だけ許可」といった明示条件を作れます。P2ではMicrosoftが検出したリスクを条件へ加え、「高リスクのサインインならブロック」といった制御を設計できます。
まず試す：自分のテナントを読み取る
Microsoft Entra admin centerでOverviewを開き、テナント名・Tenant ID・ライセンスを確認します。次にUsersやGroupsを閲覧し、構成を把握します。
最初からConditional Access policyを変更しないのが安全です。
Microsoft Graph PowerShellで自分だけ読む
Graph PowerShellを利用できる検証環境なら、最小のUser.Readで自分の情報を取得します。
Connect-MgGraph -Scopes "User.Read" $ctx = Get-MgContext $ctx | Select-Object TenantId, Account, Scopes Get-MgUser \ -UserId $ctx.Account \ -Property Id,DisplayName,UserPrincipalName | Select-Object Id,DisplayName,UserPrincipalName
ここを見る
TenantIdが想定テナントか。ScopesがUser.Read中心の最小権限か。自分のユーザーだけを取得できるか。
成功の目安
想定テナントへ読み取り権限で接続し、自分のID情報を取得できることです。
1か所変える
書き込みscopeを追加するのではなく、Select-Objectで表示propertyだけを変えます。API利用時も最小権限から始める癖を付けます。
PIMで「常時管理者」を減らす
sequenceDiagram
participant A as 管理者
participant P as PIM
participant C as 条件/承認/MFA
participant R as 管理者Role
A->>P: Role activationを要求
P->>C: 条件を評価
C-->>P: 承認
P-->>A: 一定時間だけRole有効
A->>R: 管理作業
P-->>A: 時間終了でRole無効
PIMは管理者を常時Global Administratorなどにしておくのではなく、必要なときだけ権限をactivateするJust-In-Time（必要時だけ）運用に使います。
Microsoft公式ではPIMの利用にEntra ID P2またはEntra ID Governanceなどの有効なライセンスが必要です。eligible assignmentを持つユーザーだけでなく、承認者やaccess review担当者などにもライセンス条件があります。
実務例：海外からの不審サインイン
E3/P1環境では、場所・端末・MFAなどの条件でConditional Accessを構成できます。E5/P2なら、Identity Protectionのrisk detectionを利用して、通常と異なるサインインをrisk-based Conditional Accessへつなげられます。
ただし自動ブロックを全社へ一気に適用すると正規ユーザーを締め出す可能性があります。Report-only、検証グループ、break-glass accountを使って段階導入します。
一般利用者・事務職・情シスの確認点
| 立場 | 確認すること |
|---|---|
| 一般利用者 | MFA登録、サインイン警告、パスワードリセット方法 |
| 事務職・アカウント担当 | 入退社、異動、グループ、ライセンス割当 |
| 情シス/セキュリティ | Conditional Access、risk、PIM、監査、非常用アカウント |
管理者が確認する項目
E3/E5/E7または追加Entra SKUを確認する。
Conditional Access対象ユーザーに必要なP1以上の権利があるか。
risk-based policyを使う対象にP2権利があるか。
break-glass accountを通常ユーザーと同じpolicyでロックしない設計か。
Conditional AccessはReport-onlyから検証したか。
PIM対象roleと常時割当roleを棚卸ししたか。
PIMの承認者・reviewerを含むライセンス条件を確認したか。
MFA/authentication methods policyを整理したか。
sign-in/audit logの保持・連携要件を確認したか。
Agent 365などエージェントID向け機能はユーザー向けP1/P2と別条件があることを確認したか。
よくある誤解
「E3ではConditional Accessを使えない」
E3にはEntra ID P1が含まれ、Conditional AccessはP1機能です。
「P1でもユーザーリスクで自動ブロックできる」
Risk-based Conditional AccessはIdentity ProtectionのP2機能を必要とします。
「PIMは管理者全員にP2を1本だけ買えば使える」
PIMにはeligible roleを持つ利用者、承認者、reviewerなど利用者ごとのライセンス条件があります。
Microsoft公式情報
Entra ID P1/P2は「管理画面の上位版」ではありません。P1で条件を使ったアクセス制御を行い、P2でリスク検知と特権管理を高度化すると捉えるとE3/E5の違いを理解しやすくなります。
