LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

Microsoft 365は使っているが、Azureは何から設定すればよいのか分からない。部署ごとにサブスクリプションを作った結果、誰がどこまで操作できるのか把握できなくなった——。初めてAzureを本格的に使う会社で、よくある戸惑いです。Azure導入支援は、Azureを使い始める段階で、IDと権限、管理の単位、費用の管理といった土台づくりを外部の専門家と一緒に進める支援です。

最初に土台を整えれば、後の作り直しを減らせます。ただし万能ではなく、任せきりにすると権限の持ち方を社内で説明できなくなります。本記事では、初めてAzureを使う会社の情報システムの担当者に向けて、支援の範囲、Entra IDとサブスクリプションの関係、導入の進め方、支援会社の選び方、そして外部に頼むときに確認したい点を整理します。

Azure導入支援とは

Microsoftの手引き「クラウド導入フレームワーク（CAF）」は、Azureの導入を戦略・計画・準備・採用・ガバナンス・セキュリティ保護・管理の7つの段階に分けて整理しています。^*1 Azure導入支援で主に扱うのは、システムを載せる前の土台の部分です。

• IDと権限：社員のアカウントをまとめて管理するMicrosoft Entra ID（旧Azure Active Directory）と、Azureの操作権限の割り当て
• 管理の単位：管理グループとサブスクリプション（Azureの契約と請求の単位）をどう分けるか
• 共通の土台：ネットワークやログの置き場所など、どのシステムでも使う仕組み（ランディングゾーン）
• 費用：Cost Managementの予算と通知
• 見直し：使い始めた後に設定を点検する仕組み（Azure Advisor）

Microsoftは、どの形でクラウドを使う場合も、データとIDはお客様が所有し、守る責任があると説明しています。^*2 誰がどこまで操作できるかを決めるのは利用する会社の側で、導入支援でIDと権限の設計に時間を割くのはこのためです。

Entra IDとサブスクリプションの関係

Azureでは、アカウントを管理する場所と資源を置く場所が別になっています。すべてのサブスクリプションはEntra IDのテナント（会社ごとのディレクトリ）と信頼関係を結び、サインインと権限の確認をそのテナントに頼ります。1つのサブスクリプションが信頼できるテナントは1つだけですが、1つのテナントを複数のサブスクリプションが信頼することはできます。^*3

権限は、管理グループ・サブスクリプション・リソースグループ・リソースの4つの段階で割り当てられ、下の段階は上の段階の権限を受け継ぎます。^*5 上で広く与えるほど影響が大きいので、必要な段階に絞ります。また、Entra IDの管理者の役割とAzureの操作権限は別物です。誰がどちらを持つか、最初に表にしておきます。

導入支援の進め方

初めてAzureを使うときは、次の4つのステップで進めると、管理の単位を作り直さずに済みます。

• ステップ1：目的と体制を決める。載せるシステムと、運用を受け持つ人を先に決めます
• ステップ2：IDと管理の単位を設計する。つなぐテナント、管理グループの階層、サブスクリプションの分け方を決めます
• ステップ3：共通の土台を用意する。ネットワークやログなど、どのシステムでも使う部分を先に作ります
• ステップ4：費用と見直しの仕組みを置く。予算の通知を設定し、Azure Advisorの推奨を見る場を決めます

つまずきやすいのはステップ2です。管理グループの階層は6段まで作れますが、深くするほど権限の受け継ぎが追いにくくなります。新しく作ったサブスクリプションは、何もしなければ最上位のルート管理グループの直下に入ります。^*4 どの管理グループへ移すのか、決まりを作っておくことが欠かせません。

ステップ3の共通の土台を、MicrosoftはAzureランディングゾーンと呼び、全システム共通のプラットフォームランディングゾーンと、個々のシステム用のワークロードランディングゾーンに分けています。^*6 詳しくはクラウド基盤のランディングゾーン構築にまとめています。ステップ4の予算は24時間ごとに評価され、しきい値を超えても資源は止まりません。^*9 通知の後に誰が判断するかまで決めておきます。

支援会社の選び方

支援会社を探す手がかりになるのが、Microsoftのソリューションパートナー認定です。分野ごとに、実績・技術者の育成・顧客の成功を数値にしたパートナー能力スコアで70点以上を取ることが条件です。^*11

• ソリューションパートナー認定：インフラストラクチャ、データとAIなどの分野ごとに取得します^*10
• スペシャライゼーション（特定分野の専門認定）：インフラとデータベースのAzureへの移行、Azureのネットワークサービスなど、より細かい分野ごとに設けられています^*10
• 運用の体制：Azure Expert MSPのように、運用まで受け持つ会社向けのプログラムもあります
• 見直しの手順：構築した後に、Well-ArchitectedフレームワークやAzure Advisorで設定を点検する工程があるか

Azure Well-Architectedフレームワークは、信頼性・セキュリティ・コストの最適化・オペレーショナルエクセレンス・パフォーマンス効率の5つの柱で設計を見直す考え方です。^*8 Azure Advisorは、資源の構成と使われ方を分析し、同じ5つの分類で改善の推奨を出します。^*7 引き渡し後にこの見直しを一緒に回せるかも確かめます。

外部に頼むときに確認しておきたい点

Azure導入支援を外部に頼むときは、引き渡し後に自社で判断できるかを見積もりの前に確かめます。

• 全体管理者の扱い：Entra IDの全体管理者を誰が持ち、作業中に支援会社へどこまでの権限を渡すか
• 管理の単位の文書：管理グループとサブスクリプションの分け方、権限の割り当て表を設計書として残すか
• 既存のテナントとの関係：社内ですでに使っているEntra IDにつなぐか、新しく作るか
• 費用の通知：予算のしきい値と通知先、超えたときに判断する人を決めるか
• 見直しの場：Azure Advisorの推奨を誰がどの間隔で確かめ、直すかどうかを決めるか

特に全体管理者は、作業が終わったら支援会社の権限を外す、と最初に決めておきます。使い始めた後の費用の見直しはAzureのコストを予約とHybrid Benefitで見直す方法で扱っています。

まとめ：Azure導入支援で確かめておきたい3つの点

Azure導入支援を頼むうえで、確かめておきたい点は3つに整理できます。第一に、どのEntra IDのテナントにつなぎ、全体管理者とAzureの操作権限を誰が持つかを分けて決めること。第二に、管理グループとサブスクリプションの分け方を設計書に残すこと。第三に、予算の通知とAzure Advisorの推奨を、使い始めた後に誰が見て判断するかを決めておくことです。この3点を踏まえておけば、「誰が何を操作できるのか分からなくなった」という事態を避けやすくなります。土台の設計に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Microsoft Learn「クラウド導入フレームワークとは」（https://learn.microsoft.com/ja-jp/azure/cloud-adoption-framework/overview）。出典：Azure導入の7つの段階（戦略・計画・準備完了・採用・ガバナンス・セキュリティ保護・管理）の記述を参照（2026年10月確認）
2. *2　参考：Microsoft Learn「クラウドでの共同責任」（https://learn.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility）。出典：すべてのデプロイの種類でデータとIDをお客様が所有し保護する責任がある、との記述を参照（2026年10月確認）
3. *3　参考：Microsoft Learn「既存の Azure サブスクリプションをテナントに追加する」（https://learn.microsoft.com/ja-jp/entra/fundamentals/how-subscriptions-associated-directory）。出典：サブスクリプションとMicrosoft Entraテナントの信頼関係、Azureロールと Entraロールの違い、ディレクトリ変更時にロールの割り当てが転送されないことの記述を参照（2026年10月確認）
4. *4　参考：Microsoft Learn「管理グループを使用してリソースを整理する」（https://learn.microsoft.com/ja-jp/azure/governance/management-groups/overview）。出典：管理グループの階層の深さ（6レベルまで）、ルート管理グループ、新しいサブスクリプションの既定の置き場所の記述を参照（2026年10月確認）
5. *5　参考：Microsoft Learn「Azure RBAC のスコープについて」（https://learn.microsoft.com/ja-jp/azure/role-based-access-control/scope-overview）。出典：管理グループ・サブスクリプション・リソースグループ・リソースの4つのスコープと権限の継承の記述を参照（2026年10月確認）
6. *6　参考：Microsoft Learn「Azure ランディング ゾーンとは」（https://learn.microsoft.com/ja-jp/azure/cloud-adoption-framework/ready/landing-zone/）。出典：プラットフォームランディングゾーンとワークロードランディングゾーンの2つの構成要素の記述を参照（2026年10月確認）
7. *7　参考：Microsoft Learn「Azure Advisor の概要」（https://learn.microsoft.com/ja-jp/azure/advisor/advisor-overview）。出典：推奨の5つのカテゴリ、Azure portalからの利用、利用に必要なロールの記述を参照（2026年10月確認）
8. *8　参考：Microsoft Learn「Microsoft Azure Well-Architected Framework の柱」（https://learn.microsoft.com/ja-jp/azure/well-architected/pillars）。出典：5つの柱と、Azure Advisorが柱を推奨の基礎にしているとの記述を参照（2026年10月確認）
9. *9　参考：Microsoft Learn「チュートリアル – 予算を作成して管理する」（https://learn.microsoft.com/ja-jp/azure/cost-management-billing/costs/tutorial-acm-create-budgets）。出典：予算が24時間ごとに評価されること、しきい値を超えても資源は止まらないことの記述を参照（2026年10月確認）
10. *10　参考：Microsoft Learn「特殊化の概要」（Partner Center）（https://learn.microsoft.com/ja-jp/partner-center/membership/specializations）。出典：Azureの特殊化（スペシャライゼーション）の一覧とAzure Expert MSPプログラムの記述を参照（2026年10月確認）
11. *11　参考：Microsoft パートナー「ソリューション パートナー認定」（https://partner.microsoft.com/ja-jp/partnership/solutions-partner）。出典：認定の取得にパートナー能力スコア70点以上が必要であること、スコアの3つのカテゴリの記述を参照（2026年10月確認）

Tweet