【Microsoft 365】管理者の退職前に確認したいグローバル管理者とブレークグラス

Microsoft 365のテナント管理において、グローバル管理者権限は最も強力なロールの一つです。この権限を持つ管理者が退職する際に、適切な引き継ぎや緊急用アカウント(ブレークグラス)の準備が整っていないと、テナント全体の管理が不能になるリスクがあります。本記事では、管理者の退職前に必ず確認すべきグローバル管理者の設定と、ブレークグラスアカウントの考え方・設定手順を説明します。原因の切り分けや失敗パターンを具体的に挙げ、組織で実際に役立つ判断基準を提供します。

1. グローバル管理者の退職が引き起こすリスク

グローバル管理者は、テナント内のすべての設定変更、ユーザー管理、セキュリティポリシーの変更などを行える最上位の権限です。この権限を持つ人物が退職すると、以下のような問題が発生する可能性があります。

1.1 管理者アカウントのロックアウト

退職者しか知らないパスワードで運用していた場合、そのアカウントにログインできなくなり、テナント管理が完全に停止します。特に、多要素認証(MFA)の登録端末が退職者の私用端末だった場合、本人離脱後にMFAの突破が不可能になります。

1.2 権限の所在不明

組織内で誰がグローバル管理者か、文書化されていないケースがあります。退職後に「あの人が管理者だった」と判明しても、既にアカウントが削除されていると復元が困難です。

1.3 ブレークグラスアカウントの欠如

緊急時に使用するブレークグラスアカウント(緊急管理者アカウント)が存在しない、または設定が不適切だと、通常の管理者が全員ロックアウトされた場合に復旧手段がなくなります。

2. 退職前に確認すべきグローバル管理者の状態

以下の項目をチェックリストとして確認してください。

2.1 現在のグローバル管理者一覧

1. Microsoft 365管理センター(admin.microsoft.com)に管理者としてサインインします。
2. 左メニューの「ロール」→「ロールの割り当て」を選択します。
3. 「グローバル管理者」をクリックし、割り当てられているユーザーの一覧を確認します。
4. 退職予定者が含まれている場合、そのアカウントが唯一のグローバル管理者でないことを確認します。
5. もし唯一の管理者であれば、事前に別の信頼できるユーザーに同じロールを割り当ててください。

2.2 ブレークグラスアカウントの有無と設定

1. 管理センターの「ユーザー」「アクティブユーザー」で、通常のユーザーとは異なる命名規則(例:break-glass@contoso.com)のアカウントを検索します。
2. そのアカウントにグローバル管理者ロールが割り当てられているか確認します。通常は複数のブレークグラスアカウントを用意します。
3. 多要素認証(MFA)がバイパスされているか、あるいは別の方法(例:ハードウェアトークンや事前共有パスワードリスト)で認証できるように設定されているか確認します。
4. パスワードは安全な場所(例えば、オフィスの金庫やパスワード管理ツールの緊急アクセス権限)に保管されているか確認します。
5. 定期的にパスワードを変更し、アクセス権限を監査する仕組みがあるか確認します。

3. 失敗パターンと具体的な対処法

実際の現場で発生しがちな失敗例を挙げ、その予防策を説明します。

失敗パターン	原因	対処法
退職者のアカウント削除後、管理者が不在に	退職前に他の管理者への権限委譲を怠った	退職手続きの段階で必ずグローバル管理者の追加を行い、削除は後日にする。
ブレークグラスアカウントのパスワード紛失	パスワードの保管場所が不明、または共有ルール未整備	企業用パスワード管理ツール(例:Keeper、Bitwarden)に緊急アクセス用の共有フォルダを作成し、複数の責任者でアクセス権を持たせる。
MFAの回復不能	退職者の個人デバイスにだけMFAを登録していた	管理者アカウントには、MFAの代替方法(別の認証アプリ、電話番号、セキュリティキー)を必ず2つ以上設定する。
ログイン可能な管理者が全員同時に不在	複数管理者が同時休暇や異動となり、実質的に管理不能に	地理的・時間的に分散した管理者を割り当て、ブレークグラスアカウントはオフィスへの物理アクセスが必要な状態で保管する。

4. 管理者に確認すべき情報とアクション

退職予定の管理者がいる場合、以下の情報を事前に収集・確認し、必要なアクションを計画します。

• グローバル管理者の所属一覧: 現在のテナントで誰がグローバル管理者か、退職者以外に少なくとも2名以上いるか確認します。
• ブレークグラスアカウントの存在: 命名規則や保存場所をドキュメント化しておきます。
• 緊急時の手順書: 管理者が全員アクセス不能になった場合の復旧手順(Microsoft サポートへの連絡方法、電話認証の代替など)を文書化します。
• パスワードローテーション: 退職前にブレークグラスアカウントのパスワードを変更し、新しいパスワードを適切に保管します。
• 外部サービス連携: もしサブスクリプションやパートナー関係などの外部権限がある場合、それらも退職者から別の担当者に移します。

5. よくある質問(FAQ)

Q1: 誰もグローバル管理者がいない状態から復旧できますか?

現時点でテナント内に他の管理者がいない場合、復旧は困難です。Microsoft サポートへの問い合わせが必要になりますが、会社の登記情報やドメイン所有権の証明など、厳格な本人確認が求められるため、時間がかかります。退職前に必ずバックアップ管理者を用意しましょう。

Q2: ブレークグラスアカウントにはどの権限を付与すべきですか?

ベストプラクティスでは、ブレークグラスアカウントにもグローバル管理者ロールを割り当てます。ただし、日常的には使用せず、パスワードは厳重に管理します。Microsoft の公式ガイドでも、緊急用アカウントには「グローバル管理者」を割り当てることが推奨されています。

Q3: ブレークグラスアカウントのパスワード変更頻度は?

通常のユーザーアカウントよりも低頻度で構いませんが、年に1回以上の変更と、利用のたびに変更することを推奨します。また、変更後は必ず安全な場所に記録し、複数の責任者がアクセスできるようにします。

Q4: 退職者以外にも管理者がいる場合、何か特別な準備は必要ですか?

退職者のアカウントがグローバル管理者の場合、退職前にそのロールを解除し、他の管理者で十分にカバーできることを確認します。同時に、ブレークグラスアカウントの動作確認(年に1回のテストログイン)を実施しておくと安心です。

6. まとめ

管理者の退職は、Microsoft 365テナントにとって重大なリスク要因です。事前にグローバル管理者の複数化とブレークグラスアカウントの適切な設定・管理を行うことで、緊急時の管理不能を防止できます。退職手続きの一環として、必ず権限の棚卸しと緊急用アカウントの準備を実施してください。定期的な監査とドキュメントの更新も忘れずに行い、組織全体の管理継続性を高めることをおすすめします。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。