Microsoft Defender for Identityとは？E3/E5の違いとオンプレAD保護を整理
この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。Microsoft公式情報を2026-09-18に再確認し、v3.xセンサーを含む現在の要件を整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Microsoft Defender for Identity（MDI）は、Active Directory（AD）などのID基盤からシグナルを集め、侵害されたID、不審な認証、横展開などを検知・調査するセキュリティ製品です。横展開（lateral movement）は、攻撃者が侵入後に別の端末やアカウントへ移動して権限を広げる動きです。
E3/E5での位置づけ
Defender for IdentityはMicrosoft 365 E3の標準権利ではなく、Microsoft 365 E5、EMS E5、対象Security SKU、またはスタンドアロン等で提供されます。E3環境では追加ライセンスの対象ユーザーを確認します。
flowchart LR AD[AD / Domain Controller] --> SENSOR[MDI Sensor] SENSOR --> CLOUD[Defender for Identity] CLOUD --> XDR[Microsoft Defender XDR] XDR --> SOC[Incident調査]
2026年のv3.xセンサーに注意
MicrosoftはWindows Server 2019以降のドメインコントローラーでv3.xセンサーを案内しています。v3.xではDefender for Endpointのonboardingや2026年7月以降の累積更新など前提条件があります。AD FS、AD CS、Entra Connectの非DCサーバーにおけるv3.xは、2026年9月時点でPreview要素が残るため、v2.x/v3.xの対応表を導入時に確認します。
まず試す：変更せず状態を見る
既存環境ならDefender portalの Settings > Identities でSensor health、監視対象DC、Health issueを確認します。最初は設定変更やアラート抑制をしません。
PowerShellで監視候補DCを棚卸し
Get-ADDomainController -Filter * | Select-Object HostName, Site, OperatingSystem, IPv4Address
見る点はDC名、サイト、OS。成功条件は監視候補一覧が取得でき、MDIセンサー一覧と照合できること。1か所変えるなら Site で絞り込み、拠点単位の監視漏れを確認します。このコマンドはMDI設定を変更しません。
一般利用者・事務職・情シスの視点
一般利用者は突然の多要素認証要求や不審なサインインを報告します。事務職は特権IDを通常業務で共有しない運用が重要です。情シスはセンサー配置、正常性、ライセンス、Defender XDRとの相関、調査権限を確認します。
管理者が確認する点
Microsoft 365 E5 / EMS E5 / Security SKU / standalone等の利用権
対象ユーザーのライセンス
DCとAD FS/AD CS/Entra Connectの構成
v2.x/v3.xの対応OSとPreview/GA状態
v3.xで必要なDefender for Endpoint onboardingと更新要件
Unified RBACを含む最小権限
センサーHealthyと監視漏れ
Microsoft公式一次情報
Defender for IdentityはIDを「アカウント管理」ではなく「攻撃経路」として見る製品です。まずライセンスとセンサー正常性を読み取りで確認します。
