[META_START] { “persona”: “シニア・クラウドアーキテクト”, “topic”: “Microsoft CSP Legacy to NCE (New Commerce Experience) Transition”, “focus”: “最新の移行タイムライン、GDAP移行、および商流移行の自動化プロセス”, “context”: “CSPパートナーおよびIT管理者が、公共セクターや教育機関を含むレガシーSKUの延長期限に対応するための技術指針” } [META_END]

CSPレガシー終了とNCE完全移行：最新タイムラインに基づくパートナー向け技術ロードマップ

【導入】 CSPのレガシー商流からNCEへの強制移行期限を整理し、パートナー企業が顧客環境を安全かつ確実に移行するための技術的要件と自動化手法を解説します。

【アーキテクチャ設計】 NCEへの移行は、単なるライセンスの付け替えではなく、DAP（代理管理者権限）からGDAP（きめ細やかな代理管理者権限）への移行と、サブスクリプション管理 API（Partner Center API）の刷新を伴う多層的なトランスフォーメーションです。

graph TD
    subgraph "Partner Ecosystem"
        A["Partner Center API / Portal"] -->|Migration Logic| B["NCE Management Layer"]
        B -->|Assign| C["Security Group: GDAP"]
    end
    subgraph "Customer Tenant"
        C -->|Least Privilege| D["Microsoft 365 / Azure Services"]
        E["Legacy Subscription"] -.->|Auto-migration / Manual| F["NCE Subscription"]
    end
    B -->|Check| E
    B -->|Provision| F
    D --- F

構成の解説：

• GDAPの適用：従来の広範なDAPを廃止し、セキュリティグループごとに特定の役割（Global Adminではなく、Directory Writers等）を割り当てるゼロトラストモデルを前提とします。

• サブスクリプション移行：Microsoftによる自動移行（2024年後半以降、公共セクター等を含む）を待たず、パートナー主導で移行することで、更新日やコミットメント期間（月次/年次）の制御を保持します。

【実装・デプロイ手順】 既存のレガシーサブスクリプションを特定し、NCEへの移行可能性を確認するためのMicrosoft Graph PowerShellスニペットを示します。

# 1. Microsoft Graphへの接続（必要な権限：Organization.Read.All, Directory.Read.All）
Connect-MgGraph -Scopes "Organization.Read.All", "Directory.Read.All"

# 2. 組織情報の取得とテナント確認
$Org = Get-MgOrganization
Write-Host "Connected Tenant: $($Org.DisplayName)"

# 3. パートナーセンターAPI等を用いたレガシーサブスクリプション特定の実装アプローチ
# 注意: M365等のサブスクリプション情報はMicrosoft Partner Center API経由で取得します。
# 下記は概念的なエンドポイント呼び出しの例です。
# GET https://api.partnercenter.microsoft.com/v1/customers/{customer-id}/subscriptions

Bicepを使用したAzureプラン（NCE）への移行リソース定義：

targetScope = 'subscription'

resource azurePlan 'Microsoft.Billing/billingAccounts/billingProfiles/invoiceSections@2020-05-01' existing = {
  name: 'partner-billing-account/profile/section'
}

// Azureプラン（NCE）への移行はポータルまたはAPI主導が一般的だが、
// 管理リソースとしてLog Analytics等のガバナンス基盤を同時に展開する
resource logAnalytics 'Microsoft.Insights/components@2020-02-02' = {
  name: 'nce-monitoring-workspace'
  location: 'japaneast'
  kind: 'web'
  properties: {
    Application_Type: 'web'
  }
}

【アイデンティティとセキュリティ】

1. GDAPへの完全移行：

   • レガシーDAPは既に非推奨です。Microsoft.Graphを使用して、期限切れ間近のDAP関係を特定し、GDAP関係にアップグレードする必要があります。

2. 条件付きアクセス（CA）の強化：

   • パートナー側のエンジニアが顧客テナントにアクセスする際、MFAを必須とするだけでなく、管理端末（マネージドデバイス）からのアクセスのみを許可するCAポリシーを顧客側に構成します。

3. 特権アイデンティティ管理 (PIM)：

   • 常時権限（Standing Access）を排除し、移行作業時のみ必要なロールをアクティブ化する運用を徹底します。

【運用・コスト最適化】

• SKUの集約と最適化：

  • NCEでは「月次払い」と「年次払い」で価格差（通常20%）が生じます。変動の少ないベースラインユーザーは年次コミット、増減の激しいユーザーは月次オプションを選択するハイブリッド設計を推奨します。

• キャンセルウィンドウの厳守：

  • NCEの注文後、キャンセルまたは減数が可能なのは7日間（168時間）以内に制限されています。これを過ぎると期間終了まで支払義務が生じるため、APIレベルでのガードレール実装が不可欠です。

• 可視化：

  • Cost Management + Billingを利用し、レガシーからNCEへの切り替えに伴う請求項目の変化をタグ（MigrationStatus: Completed等）で追跡します。

【まとめ】

1. タイムラインの再確認：公共セクター（教育機関・非営利団体）も順次レガシー販売終了となります。Microsoftによる自動移行に任せず、パートナー主導で移行を制御してください。

2. GDAPは必須要件：ライセンス移行と並行して、代理管理権限をGDAPへ移行しなければ、将来的に顧客環境のサポートができなくなるリスクがあります。

3. 落とし穴（キャンセル制限）：NCEの7日間キャンセルルールは厳格です。誤発注を防ぐための承認ワークフローを自動化プロセスに組み込むことが、運用上の最大の防御となります。