Microsoft Entra ビルトイン ロール

Microsoft Entra ID で、別の管理者または管理者以外が Microsoft Entra リソースを管理する必要がある場合、必要なアクセス許可を提供する Microsoft Entra ロールをその人物に割り当てます。 たとえば、ユーザーの追加または変更、ユーザーのパスワードのリセット、ユーザーのライセンスの管理、ドメイン名の管理を行えるように、ロールを割り当てることができます。

この記事では、Microsoft Entra リソースを管理できるようにするために割り当てることができる、Microsoft Entra の組み込みロールについて説明します。 ロールの割り当て方法の詳細については、「ユーザーに Microsoft Entra ロールを割り当てる」をご覧ください。 Azure リソースを管理するロールをお探しの場合は、「Azure 組み込み ロール」を参照してください。

すべてのロール

アプリケーション管理者

これは特権ロールです。 このロールのユーザーは、エンタープライズ アプリケーション、アプリケーション登録、アプリケーション プロキシの設定の全側面を作成して管理できます。 このロールに割り当てられたユーザーは、新しいアプリケーション登録またはエンタープライズ アプリケーションを作成する際に、所有者として追加されないことに注意してください。

さらに、このロールは、委任されたアクセス許可とアプリケーション アクセス許可 (Azure AD Graph と Microsoft Graph に対するアプリケーション アクセス許可を除く) に同意する権限を付与します。

アプリケーション開発者

これは特権ロールです。 このロールのユーザーは、[ユーザーはアプリケーションを登録できる] 設定が [いいえ] に設定されている場合に、アプリケーション登録を作成できます。 さらにこのロールでは、[ユーザーはアプリが自身の代わりに会社のデータにアクセスすることを許可できる] 設定が [いいえ] に設定されている場合に、代わりに同意する権限を付与します。 このロールに割り当てられたユーザーは、新しいアプリケーション登録を作成する際に、所有者として追加されます。

攻撃のペイロードの作成者

このロールのユーザーは、攻撃のペイロードを作成することはできますが、それらを実際に起動することやスケジュールすることはできません。 攻撃のペイロードは、それらを使用してシミュレーション作成できるテナントの管理者全員が利用できます。

詳細については、「Microsoft 365 Defender ポータルでの Microsoft Defender for Office 365 アクセス許可」と「Microsoft Purview コンプライアンス ポータルでのアクセス許可」を参照してください。

攻撃のシミュレーションの管理者

このロールのユーザーは、攻撃シミュレーションの作成、シミュレーションの開始とスケジューリング、シミュレーション結果の確認のすべての側面を作成および管理できます。 このロールのメンバーは、テナント内のすべてのシミュレーションに対してこのアクセス権を所有します。

詳細については、「Microsoft 365 Defender ポータルでの Microsoft Defender for Office 365 アクセス許可」と「Microsoft Purview コンプライアンス ポータルでのアクセス許可」を参照してください。

属性割り当て管理者

このロールのユーザーは、ユーザー、サービス プリンシパル、デバイスなどのサポートされている Microsoft Entra オブジェクトについて、属性のキーと値を割り当てたり、割り当て解除したりできます。

既定では、グローバル管理者とその他の管理者ロールには、カスタム セキュリティ属性の読み取り、定義、割り当てを行う権限がありません。 カスタム セキュリティ属性を扱うユーザーには、いずれかのカスタム セキュリティ属性ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

属性割り当て閲覧者

このロールのユーザーは、サポートされている Microsoft Entra オブジェクトのカスタム セキュリティ属性のキーと値を読み取ることができます。

既定では、グローバル管理者とその他の管理者ロールには、カスタム セキュリティ属性の読み取り、定義、割り当てを行う権限がありません。 カスタム セキュリティ属性を扱うユーザーには、いずれかのカスタム セキュリティ属性ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

属性定義管理者

このロールが割り当てられたユーザーは、サポート対象 Microsoft Entra オブジェクトに割り当てることができる有効なカスタム セキュリティ属性一式を定義できます。 カスタム セキュリティ属性のアクティブ化と非アクティブ化もこのロールで行うことができます。

既定では、グローバル管理者とその他の管理者ロールには、カスタム セキュリティ属性の読み取り、定義、割り当てを行う権限がありません。 カスタム セキュリティ属性を扱うユーザーには、いずれかのカスタム セキュリティ属性ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

属性定義閲覧者

このロールのユーザーは、カスタム セキュリティ属性の定義を読み取ることができます。

既定では、グローバル管理者とその他の管理者ロールには、カスタム セキュリティ属性の読み取り、定義、割り当てを行う権限がありません。 カスタム セキュリティ属性を扱うユーザーには、いずれかのカスタム セキュリティ属性ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

属性ログ管理者

以下のタスクを行う必要があるユーザーに、監査ログ閲覧者ロールを割り当てます。

• カスタム セキュリティ属性値の変更に関する監査ログを読み取る
• カスタム セキュリティ属性の定義の変更と割り当てに関する監査ログを読み取る
• カスタム セキュリティ属性の診断設定を構成する

このロールを持つユーザーは、他のイベントの監査ログを読み取ることはできません。

既定では、全体管理者とその他の管理者ロールには、カスタム セキュリティ属性の監査ログを読み取るためのアクセス許可はありません。 カスタム セキュリティ属性の監査ログを読み取るには、このロールまたは属性ログ閲覧者ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

属性ログ閲覧者

以下のタスクを行う必要があるユーザーに、監査ログ閲覧者ロールを割り当てます。

• カスタム セキュリティ属性値の変更に関する監査ログを読み取る
• カスタム セキュリティ属性の定義の変更と割り当てに関する監査ログを読み取る

このロールを持つユーザーは、以下の作業を実行することはできません。

• カスタム セキュリティ属性の診断設定を構成する
• 他のイベントの監査ログを読み取る

既定では、全体管理者とその他の管理者ロールには、カスタム セキュリティ属性の監査ログを読み取るためのアクセス許可はありません。 カスタム セキュリティ属性のための監査ログを読み取るには、このロールまたは属性ログ管理者ロールが割り当てられている必要があります。

詳細については、「Microsoft Entra ID でカスタム セキュリティ属性へのアクセスを管理する」をご覧ください。

認証管理者

これは特権ロールです。 次の作業を行う必要があるユーザーに、認証管理者ロールを割り当てます。

• 管理者以外および一部のロールの認証方法 (パスワードを含む) の設定またはリセット。 認証管理者が認証方法を読み取りまたは更新できるロールの一覧については、「パスワードをリセットできるロール」を参照してください。
• 管理者以外または一部のロールに割り当てられているユーザーへの、パスワード以外の既存の資格情報 (MFA や FIDO など) に対する再登録の要求。このデバイスに MFA を記憶する機能を取り消して、次回サインイン時に MFA を要求することもできます。
• レガシの MFA 管理ポータルで MFA 設定を管理します。
• 一部のユーザーに対する機密性の高いアクションの実行。 詳細については、「機密性の高いアクションを実行できるロール」を参照してください。
• Azure と Microsoft 365 管理センターでのサポート チケットの作成および管理。

このロールのユーザーは、次の作業を実行できません。

• ロール割り当て可能なグループのメンバーと所有者の資格情報を変更したり、MFA をリセットしたりすることはできません。
• ハードウェアの OATH トークンは管理できません。

認証関連ロールの機能との比較を次の表に示します。

役割	ユーザーの認証方法の管理	ユーザーごとの MFA の管理	MFA 設定の管理	認証方法ポリシーの管理	パスワード保護ポリシーの管理	機密性の高いプロパティの更新	ユーザーの削除と復元
認証管理者	一部のユーザーに対してはい	一部のユーザーに対してはい	はい	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい
特権認証管理者	すべてのユーザーに対してはい	すべてのユーザーに対してはい	いいえ	いいえ	No	すべてのユーザーに対してはい	すべてのユーザーに対してはい
認証ポリシー管理者	いいえ	イエス	イエス	イエス	はい	いいえ	いいえ
ユーザー管理者	いいえ	いいえ	いいえ	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい

認証拡張性の管理者

これは特権ロールです。 次のタスクを行う必要があるユーザーに、認証拡張性の管理者ロールを割り当てます。

• カスタム認証拡張機能のすべての側面を作成および管理します。

このロールのユーザーは、次の作業を実行できません。

• カスタム認証拡張機能をアプリケーションに割り当てて、認証エクスペリエンスを変更することはできません。また、アプリケーションのアクセス許可に同意したり、カスタム認証拡張機能に関連付けられたアプリの登録を作成したりすることはできません。 代わりに、アプリケーション管理者、アプリケーション開発者、またはクラウド アプリケーション管理者ロールを使用する必要があります。

カスタム認証拡張機能は、認証イベント用に開発者が作成する API エンドポイントであり、Microsoft Entra ID に登録されます。 アプリケーション管理者とアプリケーション所有者は、カスタム認証拡張機能を使用して、サインイン、サインアップ、パスワード リセットなど、アプリケーションの認証エクスペリエンスをカスタマイズすることができます。

詳細情報

認証ポリシー管理者

次の作業を行う必要があるユーザーに、認証ポリシー管理者ロールを割り当てます。

• 認証方法ポリシー、テナント全体の MFA 設定、および各ユーザーが登録して使用できる方法を決定するパスワード保護ポリシーの構成。
• パスワード保護設定の管理 (スマート ロックアウトの構成とカスタムの禁止パスワード リストの更新)。
• レガシの MFA 管理ポータルで MFA 設定を管理します。
• 検証可能な資格情報の作成と管理。
• Azure サポート チケットの作成と管理。

このロールのユーザーは、次の作業を実行できません。

• 機密性の高いプロパティを更新できません。 詳細については、「機密性の高いアクションを実行できるロール」を参照してください。
• ユーザーの削除や復元はできません。 詳細については、「機密性の高いアクションを実行できるロール」を参照してください。
• ハードウェアの OATH トークンは管理できません。

認証関連ロールの機能との比較を次の表に示します。

役割	ユーザーの認証方法の管理	ユーザーごとの MFA の管理	MFA 設定の管理	認証方法ポリシーの管理	パスワード保護ポリシーの管理	機密性の高いプロパティの更新	ユーザーの削除と復元
認証管理者	一部のユーザーに対してはい	一部のユーザーに対してはい	はい	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい
特権認証管理者	すべてのユーザーに対してはい	すべてのユーザーに対してはい	いいえ	いいえ	No	すべてのユーザーに対してはい	すべてのユーザーに対してはい
認証ポリシー管理者	いいえ	イエス	イエス	イエス	はい	いいえ	いいえ
ユーザー管理者	いいえ	いいえ	いいえ	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい

Azure DevOps 管理者

このロールが割り当てられたユーザーは、Microsoft Entra ID によって支えられているあらゆる Azure DevOps 組織を対象としたエンタープライズ Azure DevOps ポリシーをすべて管理できます。 このロールのユーザーは、会社の Microsoft Entra ID によってサポートされている Azure DevOps 組織に移動することで、これらのポリシーを管理できます。 さらに、このロールのユーザーは、孤立した Azure DevOps 組織の所有権を要求できます。 このロールは、会社の Microsoft Entra 組織によってサポートされている Azure DevOps 組織の中で、Azure DevOps 固有の他のアクセス許可 (プロジェクト コレクション管理者など) を付与しません。

Azure Information Protection 管理者

このロールが割り当てられたユーザーは、Azure Information Protection サービスのすべてのアクセス許可を持ちます。 このロールでは、Azure Information Protection ポリシーのラベルの構成、保護テンプレートの管理、保護のアクティブ化を行うことができます。 このロールは、Identity Protection、Privileged Identity Management、Microsoft 365 Service Health の監視、Microsoft 365 Defender ポータル、または Microsoft Purview コンプライアンス ポータルでのアクセス許可を一切付与しません。

B2C IEF キーセット管理者

これは特権ロールです。 ユーザーは、トークンの暗号化、トークンの署名、および要求の暗号化/暗号化解除のために、ポリシー キーとシークレットを作成して管理できます。 新しいキーを既存のキー コンテナーに追加すると、この制限付き管理者は、既存のアプリケーションに影響を与えることなく、必要に応じてシークレットをロールオーバーできます。 このユーザーは、これらのシークレットとその有効期限の完全な内容を、シークレットを作成した後でも確認できます。

B2C IEF ポリシー管理者

このロールが割り当てられたユーザーは、Azure AD B2C のすべてのカスタム ポリシーを作成、読み取り、更新、および削除することができます。そのため、関連する Azure AD B2C 組織内の Identity Experience Framework を完全に制御できます。 このユーザーは、ポリシーを編集することで、外部の ID プロバイダーとの直接フェデレーションの確立、ディレクトリ スキーマの変更、ユーザー向けのすべてのコンテンツ (HTML、CSS、JavaScript) の変更、認証を完了するための要件の変更、新しいユーザーの作成、ユーザー データの外部システムへの送信 (完全な移行を含む)、パスワードや電話番号などの機密フィールドを含むすべてのユーザー情報の編集を行うことができます。 逆に、このロールでは、暗号化キーを変更したり、組織内のフェデレーションに使用されているシークレットを編集したりすることはできません。

課金管理者

購入、サブスクリプションの管理、サポート チケットの管理、サービスの正常性の監視を行います。

Cloud App Security 管理者

このロールが割り当てられたユーザーは、Defender for Cloud Apps でフル アクセス許可を持ちます。 管理者の追加、Microsoft Defender for Cloud Apps のポリシーと設定の追加、ログのアップロードを行うことができ、ガバナンス アクションを実行できます。

クラウド アプリケーション管理者

これは特権ロールです。 このロールのユーザーは、(アプリケーション プロキシを管理する権限を除き) アプリケーション管理者ロールと同じアクセス許可を持ちます。 このロールは、エンタープライズ アプリケーションとアプリケーション登録の全側面を作成して管理する権限を付与します。 このロールに割り当てられたユーザーは、新しいアプリケーション登録またはエンタープライズ アプリケーションを作成する際に、所有者として追加されません。

さらに、このロールは、委任されたアクセス許可とアプリケーション アクセス許可 (Azure AD Graph と Microsoft Graph に対するアプリケーション アクセス許可を除く) に同意する権限を付与します。

クラウド デバイス管理者

これは特権ロールです。 このロールのユーザーは、Microsoft Entra ID でデバイスを有効化、無効化、および削除することができ、Azure portal で Windows 10 の BitLocker キーを読み取る (ある場合) ことができます。 このロールでは、デバイス上の他のプロパティを管理するアクセス許可の付与は行いません。

コンプライアンス管理者

このロールのユーザーには、Microsoft Purview コンプライアンス ポータル、Microsoft 365 管理センター、Azure、および Microsoft 365 Defender ポータルのコンプライアンス関連の機能を管理する権限があります。 割り当て先は Exchange 管理センター内のすべての機能を管理し、Azure と Microsoft 365 のサポート チケットを作成することもできます。 詳細については、「Microsoft Defender for Office 365 および Microsoft Purview コンプライアンスのロールとロール グループ」を参照してください。

場所	できること
Microsoft Purview コンプライアンス ポータル	Microsoft 365 サービス全体での組織のデータの保護および管理 コンプライアンス アラートの管理
Microsoft Purview コンプライアンス マネージャー	組織の法令遵守活動の追跡、割り当て、確認
Microsoft 365 Defender ポータル	データ ガバナンスの管理 法律およびデータ調査の実行 データ主体の要求の管理 このロールには、Microsoft 365 Defender ポータルのロールベースのアクセス制御のコンプライアンス管理者ロール グループと同じアクセス許可が付与されています。
Intune	Intune のすべての監査データの表示
Microsoft Defender for Cloud Apps	読み取り専用アクセス許可があり、アラートを管理できる ファイル ポリシーの作成と変更、ファイル ガバナンス アクションの許可 データ管理下のすべての組み込みレポートの表示

コンプライアンス データ管理者

このロールが割り当てられたユーザーには、Microsoft Purview コンプライアンス ポータル、Microsoft 365 管理センター、および Azure のデータを追跡するための権限があります。 ユーザーは、Exchange 管理センター、Compliance Manager、Teams および Skype for Business の管理センター内のコンプライアンス データを追跡したり、Azure および Microsoft 365 のサポート チケットを作成したりすることもできます。 コンプライアンス管理者とコンプライアンス データ管理者の違いの詳細については、「Microsoft Defender for Office 365 および Microsoft Purview コンプライアンスのロールとロール グループ」を参照してください。

場所	できること
Microsoft Purview コンプライアンス ポータル	Microsoft 365 サービス全体のコンプライアンス関連ポリシーの監視 コンプライアンス アラートの管理
Microsoft Purview コンプライアンス マネージャー	組織の法令遵守活動の追跡、割り当て、確認
Microsoft 365 Defender ポータル	データ ガバナンスの管理 法律およびデータ調査の実行 データ主体の要求の管理 このロールには、Microsoft 365 Defender ポータルのロールベースのアクセス制御のコンプライアンス データ管理者ロール グループと同じアクセス許可が付与されています。
Intune	Intune のすべての監査データの表示
Microsoft Defender for Cloud Apps	読み取り専用アクセス許可があり、アラートを管理できる ファイル ポリシーの作成と変更、ファイル ガバナンス アクションの許可 データ管理下のすべての組み込みレポートの表示

条件付きアクセス管理者

これは特権ロールです。 このロールのユーザーは、Microsoft Entra の条件付きアクセスの設定を管理できます。

カスタマー ロックボックスのアクセス承認者

組織内の Microsoft Purview カスタマー ロックボックス要求を管理します。 カスタマー ロックボックス要求の電子メール通知を受信し、Microsoft 365 管理センターから要求の承認と拒否を行うことができます。 カスタマー ロックボックス機能を有効または無効にすることもできます。 グローバル管理者のみが、このロールに割り当てられているユーザーのパスワードをリセットできます。

デスクトップ Analytics 管理者

このロールのユーザーは、Desktop Analytics サービスを管理できます。 これには、資産インベントリの表示、デプロイ プランの作成、およびデプロイと正常性の状態の表示に対する権限が含まれます。

ディレクトリ リーダー

このロールのユーザーは、基本的なディレクトリ情報を読み取ることができます。 このロールは次の目的で使用してください。

• 読み取りアクセスをすべてのゲスト ユーザーに付与せず、特定のゲスト ユーザー セットに付与する。
• [Restrict access to Microsoft Entra admin center] (Microsoft Entra 管理センターへのアクセスを制限する) が [はい] に設定されている場合に、管理者以外の特定のユーザー セットに Entra ポータルへのアクセスを付与する。
• Directory.Read.All を選択できないディレクトリへのアクセスをサービス プリンシパルに付与する。

ディレクトリ同期アカウント

使用しないでください。 このロールは、自動的に Microsoft Entra Connect サービスに割り当てられます。他の用途に使用するためのものではなく、他の用途ではサポートされていません。

ディレクトリ ライター

これは特権ロールです。 このロールのユーザーは、ユーザー、グループ、およびサービス プリンシパルの基本情報の読み取りと更新が可能です。

ドメイン名管理者

これは特権ロールです。 このロールのユーザーは、ドメイン名の管理 (読み取り、追加、検証、更新、および削除) を行うことができます。 また、ユーザー、グループ、およびアプリケーションに関するディレクトリ情報も読み取ることができます。これらのオブジェクトはドメインの依存関係を所有しているためです。 オンプレミス環境の場合、このロールを持つユーザーは、関連付けられたユーザーが常にオンプレミスで認証されるように、フェデレーションのドメイン名を構成できます。 これらのユーザーは、シングル サインオンを介してオンプレミスのパスワードを使用して Microsoft Entra ベースのサービスにサインインできます。 フェデレーション設定を Microsoft Entra Connect 経由で同期する必要があるため、ユーザーは Microsoft Entra Connect を管理する権限も持っています。

Dynamics 365 管理者

このロールが割り当てられたユーザーは、Microsoft Dynamics 365 Online 内でグローバル アクセス許可を持ちます (このサービスが存在する場合)。また、サポート チケットを管理し、サービス正常性を監視できます。 詳しくは、「サービス管理者ロールを使用してテナントを管理する」をご覧ください。

Dynamics 365 Business Central 管理者

次のタスクを行う必要があるユーザーに、Dynamics 365 Business Central 管理者ロールを割り当てます。

• Dynamics 365 Business Central 環境にアクセスする
• 環境ですべての管理タスクを実行する
• 顧客の環境のライフサイクルを管理する
• 環境にインストールされている拡張機能を監視する
• 環境のアップグレードを制御する
• 環境のデータ エクスポートを実行する
• Azure と Microsoft 365 Service Health のダッシュボードを読み取り、構成する

このロールでは、他の Dynamics 365 製品に対するアクセス許可は提供されません。

Edge 管理者

このロールのユーザーは、Microsoft Edge で Internet Explorer モードに必要なエンタープライズ サイト リストを作成および管理できます。 このロールには、サイト リストを作成、編集、発行するアクセス許可が付与され、さらにサポート チケットを管理するためのアクセスが許可されます。 詳細情報

Exchange 管理者

このロールが割り当てられたユーザーは、Microsoft Exchange Online 内でグローバル アクセス許可を持ちます (このサービスが存在する場合)。 また、すべての Microsoft 365 グループの作成および管理、サポート チケットの管理、サービスの正常性の監視を行うこともできます。 詳しくは、「Microsoft 365 管理センターでの管理者ロールについて」をご覧ください。

Exchange 受信者管理者

このロールのユーザーには、Exchange Online の受信者に対する読み取りアクセスと、それらの受信者の属性に対する書き込みアクセスがあります。 詳しくは、「Exchange Server の受信者」をご覧ください。

外部 ID ユーザー フロー管理者

このロールが割り当てられたユーザーは、Azure portal でユーザー フロー ("組み込み" ポリシーとも呼ばれます) を作成および管理することができます。 これらのユーザーは、HTML/CSS/JavaScript コンテンツのカスタマイズ、MFA 要件の変更、トークン内のクレームの選択、API コネクタおよび資格証明の管理、および Microsoft Entra 組織内のすべてのユーザー フローのセッション設定の構成を行うことができます。 その一方で、このロールには、ユーザーのデータを確認したり、組織スキーマに含まれている属性を変更したりする機能は含まれていません。 Identity Experience Framework ポリシー (カスタム ポリシーとも呼ばれます) の変更も、このロールの範囲外です。

外部 ID ユーザー フロー属性管理者

このロールが割り当てられたユーザーは、Microsoft Entra 組織内のすべてのユーザー フローで使用可能なカスタム属性を追加または削除できます。 そのため、このロールが割り当てられたユーザーは、エンド ユーザー スキーマを変更、またはエンド ユーザー スキーマに新しい要素を追加して、すべてのユーザー フローの動作に影響を及ぼしたり、エンド ユーザーが求め、最終的には要求としてアプリケーションに送信されるデータを間接的に変更したりできます。 このロールでユーザー フローを編集することはできません。

外部 ID プロバイダー管理者

これは特権ロールです。 この管理者は、Microsoft Entra 組織と外部 ID プロバイダー間のフェデレーションを管理します。 このロールが割り当てられたユーザーは、新しい ID プロバイダーを追加し、使用可能なすべての設定 (認証パス、サービス ID、割り当てられたキー コンテナーなど) を構成できます。 このユーザーは、Microsoft Entra 組織が外部 ID プロバイダーからの認証を信頼できるようにすることができます。 その結果としてエンド ユーザー エクスペリエンスに及ぼす影響は、組織の種類によって異なります。

• 従業員とパートナー向けの Microsoft Entra 組織:(たとえば Gmail との) フェデレーションの追加は、まだ招待に応じていないすべてのゲストの招待にすぐに影響します。 「Google を B2B ゲスト ユーザーの ID プロバイダーとして追加する」を参照してください。
• Azure Active Directory B2C 組織:(たとえば Facebook、または別の Microsoft Entra 組織との) フェデレーションの追加は、ユーザー フロー (組み込みポリシーとも呼ばれます) で ID プロバイダーがオプションとして追加されるまで、エンド ユーザー フローにすぐに影響することはありません。 例については、ID プロバイダーとしての Microsoft アカウントの構成に関するページを参照してください。 ユーザー フローを変更するには、"B2C ユーザー フロー管理者" の制限されたロールが必要です。

Fabric 管理者

このロールが割り当てられたユーザーは、Microsoft Fabric と Power BI 内でグローバル アクセス許可を持ちます (該当サービスが存在するとき)。また、サポート チケットを管理し、サービス正常性を監視できます。 詳細については、Fabric 管理者ロールに関する記事を参照してください。

グローバル管理者

これは特権ロールです。 このロールが割り当てられたユーザーは、Microsoft Entra のすべての管理機能と、Microsoft Entra の ID を使用するサービス (Microsoft 365 Defender ポータル、Microsoft Purview コンプライアンス ポータル、Exchange Online、SharePoint Online、Skype for Business Online など) にアクセスできます。 グローバル管理者は、Directory アクティビティ ログを表示できます。 さらにグローバル管理者は、アクセスを昇格させることで、すべての Azure サブスクリプションと管理グループを管理できます。 これにより、グローバル管理者は各 Microsoft Entra テナントを使用して、すべての Azure リソースに対するフル アクセスを取得できます。 Microsoft Entra 組織にサインアップしたユーザーがグローバル管理者になります。 会社に複数のグローバル管理者がいてもかまいません。 グローバル管理者は、すべてのユーザーと他のすべての管理者のパスワードをリセットできます。 グローバル管理者は、自分のグローバル管理者の割り当てを削除することはできません。 これは、組織に全体管理者がいなくなる状況を防ぐためです。

グローバル閲覧者

これは特権ロールです。 このロールのユーザーは、Microsoft 365 の各サービスにわたって設定と管理情報を読み取ることができますが、管理アクションを実行することはできません。 グローバル閲覧者は、全体管理者に対応する読み取り専用のロールです。 計画、監査、調査については、全体管理者ではなくグローバル閲覧者を割り当てます。 Exchange 管理者など、他の制限付き管理者ロールとグローバル閲覧者を組み合わせて使用すると、全体管理者ロールを割り当てずに作業を簡単に行うことができます。 グローバル閲覧者は、Microsoft 365 管理センター、Exchange 管理センター、SharePoint 管理センター、Teams 管理センター、Microsoft 365 Defender ポータル、Microsoft Purview コンプライアンス ポータル、Azure portal、およびデバイス管理の管理センターと連携します。

このロールのユーザーは、次の作業を実行できません。

• Microsoft 365 管理センターの [サービスを購入する] 領域にはアクセスできません。

Global Secure Access 管理者

次のことを行う必要があるユーザーに、Global Secure Access 管理者ロールを割り当てます。

• Microsoft Entra インターネット アクセスと Microsoft Entra プライベート アクセスのすべての側面を作成して管理する
• パブリックおよびプライベート エンドポイントへのアクセスを管理する

このロールのユーザーは、次の作業を実行できません。

• エンタープライズ アプリケーション、アプリケーションの登録、条件付きアクセス、またはアプリケーション プロキシ設定を管理することはできない

詳細情報

グループ管理者

このロールのユーザーは、グループとその設定 (命名ポリシーや有効期限ポリシーなど) を作成/管理できます。 このロールにユーザーを割り当てることにより、Outlook だけでなく、Teams、SharePoint、Yammer などのさまざまなワークロードにわたって、組織内のすべてのグループを管理する機能がユーザーに付与されるということを理解しておくことが重要です。 また、そのユーザーは、Microsoft 管理センター、Azure portal などのさまざまな管理ポータル、および Teams 管理センターや SharePoint 管理センターなどのワークロード固有の管理ポータルでさまざまなグループ設定を管理できます。

ゲスト招待元

このロールが割り当てられたユーザーは、[メンバーは招待ができる] ユーザー設定が [いいえ] に設定されている場合に、Microsoft Entra B2B ゲスト ユーザーの招待を管理できます。 B2B コラボレーションの詳細については、「Microsoft Entra B2B コラボレーションとは」をご覧ください。 その他の権限は含まれません。

ヘルプデスク管理者

これは特権ロールです。 このロールを持つユーザーは、パスワードの変更、更新トークンの無効化、Microsoft for Azure および Microsoft 365 サービスに対するサポート要求の作成と管理、サービス正常性の監視を行うことができます。 更新トークンを無効にすると、ユーザーは再度サインインすることを強制されます。 ヘルプデスク管理者がユーザーのパスワードをリセットして更新トークンを無効にできるかどうかは、ユーザーが割り当てられているロールに依存します。 ヘルプデスク管理者がパスワードをリセットして更新トークンを無効にできるロールの一覧については、「パスワードをリセットできるロール」を参照してください。

このロールのユーザーは、次の作業を実行できません。

• ロール割り当て可能なグループのメンバーと所有者の資格情報を変更したり、MFA をリセットしたりすることはできません。

ユーザーのサブセットに管理アクセス許可を委任する、およびポリシーを適用するには、管理単位を使用します。

このロールは、Azure portal で以前はパスワード管理者という名前でした。 Microsoft Graph API と Microsoft Graph PowerShell の既存の名前に合わせて、ヘルプデスク管理者に名前が変更されました。

ハイブリッド ID の管理者

これは特権ロールです。 このロールのユーザーは、クラウド プロビジョニングを使用して Active Directory から Microsoft Entra ID にプロビジョニング構成のセットアップを作成、管理、デプロイできるだけでなく、Microsoft Entra Connect、パススルー認証 (PTA)、パスワード ハッシュ同期 (PHS)、シームレス シングル サインオン (シームレス SSO)、フェデレーション設定を管理できます。 Microsoft Entra Connect Health を管理するアクセス権がありません。 ユーザーはこのロールを使用して、ログのトラブルシューティングと監視を行うこともできます。

Identity Governance 管理者

このロールのユーザーは、アクセス パッケージ、アクセス レビュー、カタログとポリシーを含む Microsoft Entra ID Governance 構成を管理することができ、アクセスの承認や確認、アクセスの必要がなくなったゲスト ユーザーの削除が確実に行われるようにすることができます。

Insights 管理者

このロールのユーザーは、Microsoft Viva Insights アプリの管理機能の完全なセットにアクセスできます。 このロールでは、ディレクトリ情報の読み取り、サービスの正常性の監視、サポート チケットの提出、Insights 管理者設定の側面へのアクセスを行うことができます。

詳細情報

Insights アナリスト

以下を実行する必要があるユーザーには Insights アナリスト ロールを割り当てます。

• Microsoft Viva Insights アプリでデータを分析するが、構成設定の管理は許可されていない
• クエリを作成、管理、実行する
• Microsoft 365 管理センターで基本設定とレポートを表示する
• Microsoft 365 管理センターでサービス要求を作成および管理する

詳細情報

Insights ビジネス リーダー

このロールのユーザーは、Microsoft Viva Insights アプリを使用して、一連のダッシュボードと分析情報にアクセスできます。 これには、すべてのダッシュボード、表示される分析情報、およびデータ探索機能へのフル アクセスが含まれます。 このロールのユーザーには、製品の構成設定へのアクセス権がありません (これは Insights 管理者ロールの責任範囲です)。

詳細情報

Intune 管理者

これは特権ロールです。 このロールが割り当てられたユーザーは、Microsoft Intune Online 内でグローバル アクセス許可を持ちます (このサービスが存在する場合)。 さらに、このロールはポリシーを関連付けるためにユーザーとデバイスを管理することができ、グループを作成および管理することもできます。 詳細については、「Microsoft Intune でのロール ベースの管理制御 (RBAC)」を参照してください。

このロールでは、すべてのセキュリティ グループを作成および管理できます。 ただし、Intune 管理者には、Office グループに対する管理者権限はありません。 つまり、管理者は、組織内のすべての Office グループの所有者およびメンバーシップを更新することはできません。 ただし、自分で作成した Office グループを管理することはできます。これは、エンド ユーザーの特権の一部として提供されます。 そのため、自分が作成したすべての Office グループ (セキュリティ グループではありません) は、自分の 250 のクォータに対してカウントする必要があります。

Kaizala 管理者

このロールが割り当てられたユーザーは、Microsoft Kaizala 内で設定を管理するグローバル アクセス許可を持ちます (このサービスが存在する場合)。また、サポート チケットを管理し、サービス正常性を監視できます。 さらに、このユーザーは、組織のメンバーによる Kaizala の導入と使用法に関連したレポート、および Kaizala アクションを使用して生成されるビジネス レポートにもアクセスできます。

知識管理者

このロールのユーザーには、Microsoft 365 管理センター内のすべての知識、学習およびインテリジェント機能の設定へのフル アクセスがあります。 また、製品のスイート、ライセンスの詳細の全般的な知識があり、アクセスを制御する責任があります。 知識管理者は、トピック、頭字語、学習リソースなどのコンテンツを作成および管理できます。 さらに、これらのユーザーは、コンテンツ センターの作成、サービス正常性の監視、サービス要求の作成を行うことができます。

ナレッジ マネージャー

このロールのユーザーは、トピック、頭字語、学習コンテンツなどのコンテンツを作成および管理できます。 これらのユーザーは、主に知識の品質と構造を担当します。 このユーザーは、トピックを確認したり、編集を承認したり、トピックを削除したりするトピック管理アクションに対する完全な権限を持っています。 このロールはまた、用語ストア管理ツールの一部として分類を管理したり、コンテンツ センターを作成したりすることもできます。

ライセンス管理者

このロールのユーザーは、ユーザーに対するライセンス割り当ての読み取り、追加、削除、更新、グループに対する (グループベースのライセンスを使用した) ライセンス割り当ての追加、削除、更新に加え、ユーザーに対する利用場所の管理を行うことができます。 このロールでは、サブスクリプションの購入と管理、グループの作成と管理を行う権限は与えられません。また、利用場所を超える範囲でのユーザーの作成と管理を行う権限も与えられません。 このロールには、サポート チケットの表示、作成、管理のためのアクセス権がありません。

ライフサイクル ワークフロー管理者

これは特権ロールです。 次のタスクを行う必要があるユーザーに、ライフサイクル ワークフロー管理者ロールを割り当てます。

• Microsoft Entra ID のライフサイクル ワークフローに関連付けられているワークフローとタスクのすべての側面を作成および管理する
• スケジュールされたワークフローの実行を確認する
• オンデマンドのワークフロー実行を起動する
• ワークフロー実行ログを検査する

メッセージ センターのプライバシー閲覧者

このロールのユーザーは、データのプライバシー メッセージを含め、メッセージ センター内のすべての通知を監視できます。 メッセージ センターのプライバシー閲覧者は、データのプライバシーに関連したものも含めてメール通知を受け取り、メッセージ センターの設定を使用して登録を解除することができます。 データのプライバシー メッセージを読み取ることができるのは、グローバル管理者とメッセージ センターのプライバシー閲覧者のみになります。 さらに、このロールには、グループ、ドメイン、サブスクリプションを表示する権限が含まれています。 このロールには、サービス要求を表示、作成、または管理するアクセス許可はありません。

メッセージ センター閲覧者

このロールのユーザーは、自分の組織の Exchange、Intune、Microsoft Teams などのサービス構成に対するメッセージ センターの通知や、正常性に関して注意を促す更新情報を監視できます。 メッセージ センター閲覧者は、投稿の毎週のメール ダイジェストを受け取り、Microsoft 365 でメッセージ センターの投稿を共有できます。 Microsoft Entra ID では、このロールに割り当てられているユーザーは、ユーザーやグループなどの Microsoft Entra サービスへの読み取り専用アクセスのみを持ちます。 このロールには、サポート チケットの表示、作成、管理のためのアクセス権がありません。

Microsoft 365 移行管理者

次のタスクを行う必要があるユーザーに、Microsoft 365 移行管理者ロールを割り当てます。

• Microsoft 365 管理センターの移行マネージャーを使用して、Google ドライブ、Dropbox、Box、Egnyte から Teams、OneDrive for Business、SharePoint サイトを含む Microsoft 365 へのコンテンツ移行を管理する
• 移行ソースを選択し、移行インベントリ (Google ドライブ ユーザー リストなど) を作成し、移行をスケジュールして実行し、レポートをダウンロードする
• 移行先サイトがまだ存在しない場合は新しい SharePoint サイトを作成し、SharePoint 管理サイトで SharePoint リストを作成し、SharePoint リストでアイテムを作成および更新する
• タスクの移行プロジェクト設定と移行ライフサイクルを管理する
• ソースから宛先へのアクセス許可マッピングを管理する

詳細情報

Microsoft Entra 参加済みデバイスのローカル管理者

この役割は、デバイス設定の追加のローカル管理者としてのみ割り当て可能です。 このロールのユーザーは、Microsoft Entra ID に参加しているすべての Windows 10 デバイスのローカル マシン管理者になります。 Microsoft Entra ID 内のデバイス オブジェクトを管理することはできません。

Microsoft ハードウェア保証管理者

次のタスクを行う必要があるユーザーに、Microsoft ハードウェア保証管理者ロールを割り当てます。

• Surface や HoloLens などの Microsoft 製ハードウェアの新しい保証要求を作成する
• 開封済みまたは終了した保証要求を検索して読み取る
• シリアル番号で保証要求を検索して読み取る
• 配送先住所の作成、読み取り、更新、削除を行う
• オープン保証要求の出荷状態を読み取る
• Microsoft 365 管理センターでサービス要求を作成および管理する
• Microsoft 365 管理センターでメッセージ センターのお知らせを読み取る

保証要求とは、保証の条項に従ってハードウェアの修理または交換を要求することです。 詳しくは、「Surface の保証とサービス要求のセルフサービス」をご覧ください。

Microsoft ハードウェア保証スペシャリスト

次のタスクを行う必要があるユーザーに、Microsoft ハードウェア保証スペシャリスト ロールを割り当てます。

• Surface や HoloLens などの Microsoft 製ハードウェアの新しい保証要求を作成する
• 作成した保証要求を読み取る
• 既存の配送先住所を読み取って更新する
• 作成したオープン保証要求の出荷状態を読み取る
• Microsoft 365 管理センターでサービス要求を作成および管理する

保証要求とは、保証の条項に従ってハードウェアの修理または交換を要求することです。 詳しくは、「Surface の保証とサービス要求のセルフサービス」をご覧ください。

Modern Commerce 管理者

使用しないでください。 このロールは、Commerce から自動的に割り当てられます。他の用途に使用するためのものではなく、他の用途ではサポートされていません。 詳細は以下を参照してください。

Modern Commerce 管理者ロールは、特定のユーザーに Microsoft 365 管理センターにアクセスして、ホーム、課金、サポートの左側のナビゲーション エントリを表示するためのアクセス許可を付与します。 これらの領域で利用可能なコンテンツは、ユーザーが自分自身または組織のために購入した製品を管理するために、ユーザーに割り当てられたコマース固有のロールによって制御されます。 これには、請求書の支払いや、課金アカウントや課金プロファイルへのアクセスなどのタスクが含まれる場合があります。

Modern Commerce 管理者ロールを持つユーザーは、通常、他の Microsoft 購入システムの管理権限を持っていますが、管理センターへのアクセスに使用されるグローバル管理者ロールまたは課金管理者ロールは持っていません。

Modern Commerce 管理者ロールはいつ割り当てられますか?

• Microsoft 365 管理センターでのセルフサービス購入 – セルフサービス購入により、ユーザーは新製品を自分で購入またはサインアップして、新製品を試す機会が得られます。 これらの製品は管理センターで管理されています。 セルフサービス購入を行うユーザーには、コマース システムでのロールと Modern Commerce 管理者ロールが割り当てられ、これにより、管理センターで購入を管理できるようになります。 管理者は PowerShell を使用して、(Fabric、Power BI、Power Apps、Power Automate に対する) セルフサービス購入をブロックできます。 詳細については、「セルフサービスによる購入に関するよくあるご質問」を参照してください。
• Microsoft コマーシャル マーケットプレースからの購入 - セルフサービス購入と同様に、ユーザーが Microsoft AppSource または Azure Marketplace から製品またはサービスを購入する際に、グローバル管理者ロールまたは課金管理者ロールを持っていない場合は、Modern Commerce 管理者ロールが割り当てられます。 場合によっては、ユーザーがこれらの購入をブロックされる場合があります。 詳細については、Microsoft コマーシャル マーケットプレースに関するページを参照してください。
• Microsoft からの提案 – 提案は、組織が Microsoft の製品やサービスを購入するための Microsoft からの正式なオファーです。 提案に同意するユーザーが Microsoft Entra ID で全体管理者ロールまたは課金管理者ロールを持っていない場合、提案を完了するためのコマース固有のロールと、管理センターにアクセスするための Modern Commerce ユーザー ロールの両方が割り当てられます。 管理センターにアクセスするときは、そのコマース固有のロールによって承認された機能のみを使用できます。
• コマース固有のロール – 一部のユーザーには、コマース固有のロールが割り当てられます。 ユーザーは、全体管理者または課金管理者でない場合、管理センターにアクセスできるように、Modern Commerce 管理者ロールを取得します。

ユーザーから Modern Commerce 管理者ロールが割り当て解除されると、Microsoft 365 管理センターにアクセスできなくなります。 ユーザーが自身または組織のために製品を管理している場合は、それらを管理できなくなります。 これには、ライセンスの割り当て、支払い方法の変更、請求書の支払い、サブスクリプションを管理するためのその他のタスクが含まれます。

ネットワーク管理者

このロールのユーザーは、ユーザーの場所からのネットワーク テレメトリに基づいて、Microsoft によるネットワーク境界アーキテクチャに関する推奨事項を確認できます。 Microsoft 365 のネットワーク パフォーマンスは、通常はユーザーの場所に固有である、企業の顧客の慎重なネットワーク境界アーキテクチャに依存します。 このロールを使用では、検出されたユーザーの場所と、それらの場所に対するネットワーク パラメーターの構成を編集して、テレメトリの測定と設計に関する推奨事項の改善できます

Office アプリ管理者

このロールのユーザーは、Microsoft 365 アプリのクラウド設定を管理できます。 これには、クラウド ポリシーの管理、セルフサービス ダウンロードの管理、Office アプリ関連レポートを表示する機能が含まれます。 このロールではさらに、サポート チケットの管理とメインの管理センター内でのサービスの正常性の監視を行うこともできます。 このロールに割り当てられたユーザーは、Office アプリの新機能の通知も管理できます。

組織ブランド化管理者

次のタスクを行う必要があるユーザーに、組織ブランド化管理者ロールを割り当てます。

• テナントにおける組織のブランド化の全側面を管理する
• ブランド化のテーマの読み取り、作成、更新、削除を行う
• 既定のブランド化のテーマとすべてのブランド化ローカライズのテーマを管理する

組織メッセージ承認者

次のタスクを行う必要があるユーザーに、組織メッセージ承認者ロールを割り当てます。

• Microsoft 365 管理センターで配信する新しい組織メッセージが Microsoft 365 組織メッセージ プラットフォームを使用してユーザーに送信される前に、確認、承認、または拒否する
• 組織メッセージのすべての側面を読み取る
• Microsoft 365 管理センターですべてのリソースの基本プロパティを読み取る

組織メッセージ ライター

次のタスクを行う必要があるユーザーに、組織メッセージ ライター ロールを割り当てます。

• Microsoft 365 管理センターまたは Microsoft Intune を使って組織のメッセージの書き込み、発行、削除を行う
• Microsoft 365 管理センターまたは Microsoft Intune を使って、組織のメッセージ配信オプションを管理する
• Microsoft 365 管理センターまたは Microsoft Intune を使って、組織のメッセージ配信結果を読み取る
• Microsoft 365 管理センターで使用状況レポートとほとんどの設定を表示するが、変更することはできない

パートナー レベル 1 のサポート

これは特権ロールです。 使用しないでください。 このロールは非推奨となっており、将来的に Microsoft Entra ID から削除されます。 このロールは少数の Microsoft 再販パートナーを対象としており、一般的な使用を目的としたものではありません。

パートナー レベル 2 のサポート

これは特権ロールです。 使用しないでください。 このロールは非推奨となっており、将来的に Microsoft Entra ID から削除されます。 このロールは少数の Microsoft 再販パートナーを対象としており、一般的な使用を目的としたものではありません。

パスワード管理者

これは特権ロールです。 このロールのユーザーは、制限付きでパスワードを管理することができます。 このロールでは、サービス要求を管理したり、サービスの正常性を監視したりすることはできません。 パスワード管理者がユーザーのパスワードをリセットできるかどうかは、ユーザーが割り当てられているロールに依存します。 パスワード管理者がパスワードをリセットできるロールの一覧については、「パスワードをリセットできるロール」を参照してください。

このロールのユーザーは、次の作業を実行できません。

• ロール割り当て可能なグループのメンバーと所有者の資格情報を変更したり、MFA をリセットしたりすることはできません。

Permissions Management の管理者

次のタスクを行う必要があるユーザーに、Permissions Management の管理者ロールを割り当てます。

• Entra Permissions Management のすべての側面を管理する (サービスが存在するとき)

Permissions Management のロールとポリシーの詳細については、ロール/ポリシーに関する情報を表示する方法に関するページを参照してください。

Power Platform 管理者

このロールのユーザーは、環境、Power Apps、フロー、データ損失防止ポリシーのすべての側面を作成および管理できます。 さらに、このロールを持つユーザーは、サポート チケットを管理し、サービス正常性を監視できます。

プリンター管理者

このロールのユーザーは、プリンターを登録して、ユニバーサル印刷コネクタの設定など、Microsoft ユニバーサル印刷ソリューションのすべてのプリンター構成のすべての側面を管理できます。 すべての委任された印刷アクセス許可要求に同意することができます。 プリンター管理者は、印刷レポートにアクセスすることもできます。

プリンター技術者

このロールのユーザーは、プリンターを登録して、Microsoft ユニバーサル印刷ソリューションでプリンターの状態を管理できます。 すべてのコネクタ情報を読み取ることもできます。 プリンター技術者が行うことができない主要なタスクは、プリンターに対するユーザー アクセス許可の設定と、プリンターの共有です。

特権認証管理者

これは特権ロールです。 次の作業を行う必要があるユーザーに、特権認証管理者ロールを割り当てます。

• グローバル管理者を含むユーザーの認証方法 (パスワードを含む) の設定またはリセット。
• グローバル管理者を含むユーザーの削除または復元。 詳細については、「機密性の高いアクションを実行できるロール」を参照してください。
• ユーザーへの、パスワード以外の既存の資格情報 (MFA や FIDO など) に対する再登録の強制と、このデバイスに MFA を記憶する機能を取り消すことによる、すべてのユーザーの次回サインイン時の MFA 入力要求。
• すべてのユーザーの機密性の高いプロパティの更新。 詳細については、「機密性の高いアクションを実行できるロール」を参照してください。
• Azure と Microsoft 365 管理センターでのサポート チケットの作成および管理。

このロールのユーザーは、次の作業を実行できません。

• 従来の MFA 管理ポータルでは、ユーザーごとの MFA を管理できません。

認証関連ロールの機能との比較を次の表に示します。

役割	ユーザーの認証方法の管理	ユーザーごとの MFA の管理	MFA 設定の管理	認証方法ポリシーの管理	パスワード保護ポリシーの管理	機密性の高いプロパティの更新	ユーザーの削除と復元
認証管理者	一部のユーザーに対してはい	一部のユーザーに対してはい	はい	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい
特権認証管理者	すべてのユーザーに対してはい	すべてのユーザーに対してはい	いいえ	いいえ	No	すべてのユーザーに対してはい	すべてのユーザーに対してはい
認証ポリシー管理者	いいえ	イエス	イエス	イエス	はい	いいえ	いいえ
ユーザー管理者	いいえ	いいえ	いいえ	いいえ	いいえ	一部のユーザーに対してはい	一部のユーザーに対してはい

特権ロール管理者

これは特権ロールです。 このロールが割り当てられたユーザーは、Microsoft Entra ID と Microsoft Entra Privileged Identity Management 内でロールの割り当てを管理できます。 Microsoft Entra ロールに割り当てることができるグループの作成と管理が可能です。 さらに、このロールは、Privileged Identity Management と管理単位のすべての側面を管理できます。

レポート閲覧者

このロールが割り当てられたユーザーは、Microsoft 365 管理センターで使用状況のレポート データとレポート ダッシュボードを表示できます。また、Fabric と Power BI で導入コンテキスト パックを表示できます。 さらに、このロールからは、Microsoft Entra 内のすべてのサインイン ログ、監査ログ、アクティビティ レポートと、Microsoft Graph レポート API から返されるデータにもアクセスできます。 レポート閲覧者ロールが割り当てられたユーザーは、関連する使用状況と導入メトリックにのみアクセスできます。 製品固有の管理センター (Exchange など) の設定を構成したり、アクセスしたりする管理者アクセス許可はありません。 このロールには、サポート チケットの表示、作成、管理のためのアクセス権がありません。

Search 管理者

このロールのユーザーには、Microsoft 365 管理センター内のすべての Microsoft Search 管理機能へのフル アクセスがあります。 さらに、これらのユーザーは、メッセージ センターを表示し、サービス正常性を監視し、サービス要求を作成することができます。

Search エディター

このロールのユーザーは、ブックマーク、Q&A、および場所を含め、Microsoft 365 管理センターで Microsoft Search のコンテンツを作成、管理、および削除できます。

セキュリティ管理者

これは特権ロールです。 このロールが割り当てられたユーザーは、Microsoft 365 Defender ポータル、Microsoft Entra ID Protection、Microsoft Entra Authentication、Azure Information Protection、および Microsoft Purview コンプライアンス ポータルのセキュリティ関連機能を管理するアクセス許可を持ちます。 Office 365 のアクセス許可の詳細については、「Microsoft Defender for Office 365 および Microsoft Purview コンプライアンスのロールとロール グループ」を参照してください。

場所	できること
Microsoft 365 Defender ポータル	Microsoft 365サービス全体のセキュリティ関連ポリシーの監視 セキュリティ脅威とアラートの管理 レポートの表示
Microsoft Entra ID Protection	セキュリティ閲覧者ロールのすべてのアクセス許可 パスワードのリセットを除く Identity Protection のすべての操作を実行します
Privileged Identity Management	セキュリティ閲覧者ロールのすべてのアクセス許可 Microsoft Entra ロールの割り当てまたは設定を管理することはできません
Microsoft Purview コンプライアンス ポータル	セキュリティ ポリシーの管理 セキュリティの脅威の表示、調査、対応 レポートの表示
Azure Advanced Threat Protection	疑わしいセキュリティ アクティビティの監視と対応
Microsoft Defender for Endpoint	ロールを割り当てる コンピューター グループを管理する エンドポイントの脅威の検出と自動修復の構成 アラートの表示、調査、対応 マシンまたはデバイス インベントリを表示する
Intune	Intune Endpoint Security Manager ロールにマップする
Microsoft Defender for Cloud Apps	管理者の追加、ポリシーと設定の追加、ログのアップロード、ガバナンス アクションの実行
Microsoft 365 サービス正常性	Microsoft 365 サービスの正常性の表示
スマート ロックアウト	サインイン イベントが失敗したときのロックアウトのしきい値と期間を定義します。
パスワード保護	カスタムの禁止パスワードの一覧またはオンプレミスのパスワード保護を構成します。
テナント間同期	別のテナント内のユーザーのテナント間アクセス設定を構成します。 セキュリティ管理者は、ユーザーを直接作成および削除することはできませんが、両方のテナントでテナント間同期 (特権アクセス許可) が構成されている場合、同期ユーザーを別のテナントから間接的に作成および削除することはできます。

セキュリティ オペレーター

これは特権ロールです。 このロールのユーザーはアラートを管理できるほか、Microsoft 365 Defender ポータル、Microsoft Entra ID Protection、Privileged Identity Management、および Microsoft Purview コンプライアンス ポータルにおけるすべての情報を含むセキュリティ関連機能への読み取り専用グローバル アクセス権があります。 Office 365 のアクセス許可の詳細については、「Microsoft Defender for Office 365 および Microsoft Purview コンプライアンスのロールとロール グループ」を参照してください。

場所	できること
Microsoft 365 Defender ポータル	セキュリティ閲覧者ロールのすべてのアクセス許可 セキュリティの脅威アラートの表示、調査、対応 Microsoft 365 Defender ポータルでセキュリティ設定の管理
Microsoft Entra ID Protection	セキュリティ閲覧者ロールのすべてのアクセス許可 リスクベースのポリシーの構成または変更、パスワードのリセット、アラート メールの構成を除く、Identity Protection のすべての操作の実行
Privileged Identity Management	セキュリティ閲覧者ロールのすべてのアクセス許可
Microsoft Purview コンプライアンス ポータル	セキュリティ閲覧者ロールのすべてのアクセス許可 セキュリティ アラートの表示、調査、対応
Microsoft Defender for Endpoint	セキュリティ閲覧者ロールのすべてのアクセス許可 セキュリティ アラートの表示、調査、対応 Windows Defender for Endpoint でロールベースのアクセス制御を有効にすると、セキュリティ閲覧者ロールなどの読み取り専用アクセス許可を持つユーザーは、Windows Defender ATP ロールが割り当てられるまで、アクセスできません。
Intune	セキュリティ閲覧者ロールのすべてのアクセス許可
Microsoft Defender for Cloud Apps	セキュリティ閲覧者ロールのすべてのアクセス許可 セキュリティ アラートの表示、調査、対応
Microsoft 365 サービス正常性	Microsoft 365 サービスの正常性の表示

セキュリティ閲覧者

これは特権ロールです。 このロールのユーザーには、Microsoft 365 Defender ポータル、Microsoft Entra ID Protection、Privileged Identity Management におけるすべての情報を含むセキュリティ関連機能への読み取り専用グローバル アクセス権に加えて、Microsoft Entra サインイン レポートと監査ログ、および Microsoft Purview コンプライアンス ポータルで閲覧する権限があります。 Office 365 のアクセス許可の詳細については、「Microsoft Defender for Office 365 および Microsoft Purview コンプライアンスのロールとロール グループ」を参照してください。

場所	できること
Microsoft 365 Defender ポータル	Microsoft 365 サービス全体のセキュリティ関連ポリシーの表示 セキュリティの脅威とアラートの表示 レポートの表示
Microsoft Entra ID Protection	すべての Identity Protection レポートと [概要] を表示する
Privileged Identity Management	Microsoft Entra Privileged Identity Management で表示されるすべての情報への読み取り専用アクセス権があります: Microsoft Entra ロールの割り当てとセキュリティ レビューのポリシーとレポート。 Microsoft Entra Privileged Identity Management へのサインアップおよびそれに対する変更を行うことはできません。 Privileged Identity Management ポータルまたは PowerShell を使用して、ユーザーが自分の資格を持っている場合、このロールの他のユーザーが追加のロール (特権ロール管理者など) をアクティブ化できます。
Microsoft Purview コンプライアンス ポータル	セキュリティ ポリシーの表示 セキュリティの脅威の表示および調査 レポートの表示
Microsoft Defender for Endpoint	アラートの表示と調査 Windows Defender for Endpoint でロールベースのアクセス制御を有効にすると、セキュリティ閲覧者ロールなどの読み取り専用アクセス許可を持つユーザーは、Windows Defender ATP ロールが割り当てられるまで、アクセスできません。
Intune	ユーザー、デバイス、登録、構成、アプリケーション情報の表示。 Intune に変更を加えることはできません。
Microsoft Defender for Cloud Apps	読み取りアクセス許可があります。
Microsoft 365 サービス正常性	Microsoft 365 サービスの正常性の表示

サービス サポート管理者

このロールが割り当てられたユーザーは、Azure サービスと Microsoft 365 サービスについて Microsoft へのサポート要求を作成して管理することができます。また、Azure portal と Microsoft 365 管理センターで、サービス ダッシュボードとメッセージ センターを表示できます。 詳しくは、「Microsoft 365 管理センターでの管理者ロールについて」をご覧ください。

SharePoint 管理者

このロールが割り当てられたユーザーは、Microsoft SharePoint Online 内でグローバル アクセス許可を持ちます (このサービスが存在する場合)。また、すべての Microsoft 365 グループを作成および管理し、サポート チケットを管理し、サービス正常性を監視できます。 詳しくは、「Microsoft 365 管理センターでの管理者ロールについて」をご覧ください。

SharePoint Embedded 管理者

次のタスクを実行する必要があるユーザーに SharePoint Embedded 管理者ロールを割り当てます。

• PowerShell、Microsoft Graph API、または SharePoint 管理センターを使用してすべてのタスクを実行する
• SharePoint Embedded コンテナーを管理、構成、および維持する
• SharePoint Embedded コンテナーを列挙および管理する
• SharePoint Embedded コンテナーのアクセス許可を列挙および管理する
• テナント内の SharePoint Embedded コンテナーのストレージを管理する
• SharePoint Embedded コンテナーにセキュリティおよびコンプライアンス ポリシーを割り当てる
• テナント内の SharePoint Embedded コンテナーにセキュリティおよびコンプライアンス ポリシーを適用する

詳細情報

Skype for Business 管理者

このロールが割り当てられたユーザーは、Microsoft Skype for Business 内でグローバル アクセス許可を持ちます (このサービスが存在する場合)。また、Microsoft Entra ID で Skype 固有のユーザー属性を管理します。 さらに、このロールはサポート チケットを管理し、サービスの正常性を監視することができ、Teams および Skype for Business 管理センターにアクセスできます。 アカウントには、Teams のライセンスが付与されている必要もあります。そうでないと、Teams の PowerShell コマンドレットを実行できません。 詳しくは、「Skype for Business Online の管理」と、「Skype for Business アドオンのライセンス」の Teams のライセンス情報をご覧ください。

Teams 管理者

このロールのユーザーは、Microsoft Teams および Skype for Business の管理センターと、対応する PowerShell モジュールを使用して、Microsoft Teams のワークロードの全側面を管理できます。 これにはその他の領域の、テレフォニー、メッセージング、会議、およびチーム自体に関連するすべての管理ツールが含まれます。 このロールはさらに、すべての Microsoft 365 グループの作成および管理、サポート チケットの管理、サービスの正常性の監視を行うこともできます。

Teams 通信管理者

このロールのユーザーは、音声とテレフォニーに関連する Microsoft Teams のワークロードの各側面を管理できます。 これには、電話番号の割り当て、音声と会議のポリシー、および通話分析ツールセットへのフル アクセスのための管理ツールが含まれます。

Teams 通信サポート エンジニア

このロールのユーザーは、Microsoft Teams と Skype for Business の管理センターでユーザー通話のトラブルシューティング ツールを使用して、Microsoft Teams と Skype for Business での通信に関する問題をトラブルシューティングできます。 このロールのユーザーは、関係するすべての参加者の完全な通話記録情報を表示できます。 このロールには、サポート チケットの表示、作成、管理のためのアクセス権がありません。

Teams 通信サポート スペシャリスト

このロールのユーザーは、Microsoft Teams と Skype for Business の管理センターでユーザー通話のトラブルシューティング ツールを使用して、Microsoft Teams と Skype for Business での通信に関する問題をトラブルシューティングできます。 このロールのユーザーが表示できるのは、調査した特定ユーザーの通話における詳細のみです。 このロールには、サポート チケットの表示、作成、管理のためのアクセス権がありません。

Teams デバイス管理者

このロールを持つユーザーは、Teams 管理センターから Teams 認定デバイスを管理できます。 このロールでは、すべてのデバイスを一目で見ることができ、デバイスの検索とフィルター処理を行えます。 ユーザーは、ログイン アカウント、デバイスの製造元やモデルなど、各デバイスの詳細を確認できます。 ユーザーは、デバイスの設定を変更したり、ソフトウェアのバージョンを更新したりできます。 このロールでは、Teams アクティビティとデバイスの通話品質を調べるアクセス許可は付与されません。

Teams テレフォニー管理者

Teams テレフォニー管理者ロールは、以下のタスクを行う必要があるユーザーに割り当てます。

• 通話ポリシー、電話番号の管理と割り当て、音声アプリケーションを含め、音声とテレフォニーを管理する
• Teams 管理センターからの公衆交換電話網 (PSTN) 使用状況レポートへのアクセスのみ
• ユーザー プロファイル ページを表示する
• Azure と Microsoft 365 管理センターでのサポート チケットの作成および管理

詳細情報

テナント作成者

次のタスクを行う必要があるユーザーに、テナント作成者ロールを割り当てます。

• ユーザー設定でテナント作成の切り替えがオフになっている場合でも、Microsoft Entra と Azure Active Directory B2C の両方のテナントを作成する

使用状況の概要レポート閲覧者

使用状況の概要レポート閲覧者ロールを、Microsoft 365 管理センターで次のタスクを実行する必要があるユーザーに割り当てます:

• 使用状況レポートと導入スコアを表示する
• 組織の分析情報を読み取るが、ユーザーの個人を特定できる情報 (PII) は読み取らない

このロールでは、ユーザーは以下の例外を除いて、組織レベルのデータのみを表示できます:

• メンバー ユーザーは、ユーザー管理データと設定を表示できます。
• このロールが割り当てられているゲスト ユーザーは、ユーザー管理データと設定を閲覧できません。

ユーザー管理者

これは特権ロールです。 次の作業を行う必要があるユーザーに、ユーザー管理者ロールを割り当てます。

権限	説明を見る
ユーザーの作成
すべてのユーザー (すべての管理者を含む) のほとんどのユーザー プロパティの更新	機密性の高いアクションを実行できるロール
一部のユーザーの機密性の高いプロパティ (ユーザー プリンシパル名を含む) の更新	機密性の高いアクションを実行できるロール
一部のユーザーの無効化または有効化	機密性の高いアクションを実行できるロール
一部のユーザーの削除または復元	機密性の高いアクションを実行できるロール
ユーザー ビューの作成と管理
すべてのグループの作成と管理
すべての管理者を含むすべてのユーザーのライセンスの割り当ておよび読み取り
パスワードをリセットする	パスワードをリセットできるロール
更新トークンを無効にする	パスワードをリセットできるロール
(FIDO) デバイス キーを更新する
パスワードの有効期限ポリシーを更新する
Azure と Microsoft 365 管理センターでのサポート チケットの作成および管理
サービス正常性の監視

このロールのユーザーは、次の作業を実行できません。

• MFA を管理できません。
• ロール割り当て可能なグループのメンバーと所有者の資格情報を変更したり、MFA をリセットしたりすることはできません。
• 共有メールボックスを管理できません。
• パスワード リセット操作でのセキュリティの質問は変更できません。

ユーザー エクスペリエンス成功マネージャー

次のタスクを行う必要があるユーザーに User Experience Success Manager ロールを割り当てます。

• Microsoft 365 アプリとサービスの組織レベルの使用状況レポートを読み取るが、ユーザーの詳細は読み取らない
• 組織の製品フィードバック、Net Promoter Score (NPS) のアンケート結果、およびコミュニケーションとトレーニングの機会を特定するためのヘルプ記事ビューを表示する
• メッセージ センターの投稿とサービス正常性データを読み取る

詳細情報

仮想アクセス管理者

このロールのユーザーは、次のタスクを実行できます。

• Microsoft 365管理センターとTeams EHRコネクタで、BookingsでのVirtual Visitsのすべての側面を管理および構成する
• Teams 管理センター、Microsoft 365 管理センター、Fabric、Power BI で仮想アクセスの使用状況レポートを表示します
• Microsoft 365管理センターで機能と設定を表示しますが、設定を編集することはできません

仮想アクセスは、スタッフと出席者のオンラインおよびビデオの予定をスケジュールおよび管理するための簡単な方法です。 たとえば、使用状況レポートでは、予定の前にSMSテキストメッセージを送信すると、予定に表示されないユーザーの数をどのように減らすことができるか示すことができます。

Viva Goals 管理者

次のタスクを行う必要があるユーザーに、Viva Goals 管理者ロールを割り当てます。

• Microsoft Viva Goals アプリケーションのあらゆる側面を管理および構成する
• Microsoft Viva Goals 管理者設定を構成する
• Microsoft Entra テナント情報を読み取る
• Microsoft 365 サービスの正常性を監視する
• Microsoft 365 サービス要求を作成および管理する

詳細については、「Viva Goals のロールとアクセス許可」および「Microsoft Viva Goals の概要」を参照してください。

Viva Pulse 管理者

次のタスクを行う必要があるユーザーに、Viva Pulse 管理者ロールを割り当てます:

• Viva Pulse のすべての設定を読み取って構成する
• Microsoft 365 管理センターですべてのリソースの基本プロパティを読み取る
• Azure Service Health を読み取り、構成する
• Azure サポート チケットを作成および管理する
• Microsoft 365 管理センターのメッセージ センターで、セキュリティ メッセージを除くメッセージを読み取る
• Microsoft 365 管理センターで使用状況レポートを読み取る

詳細については、「Microsoft 365 管理センターで Viva Pulse 管理者を割り当てる」 を参照してください。

Windows 365 管理者

このロールのユーザーには Windows 365 リソースに対するグローバル アクセス許可があります (そのサービスが存在する場合)。 さらに、このロールはポリシーを関連付けるためにユーザーとデバイスを管理することができ、グループを作成および管理することもできます。

このロールはセキュリティ グループを作成および管理できますが、Microsoft 365 グループに対する管理者権限はありません。 つまり、管理者は、組織内の Microsoft 365 グループの所有者およびメンバーシップを更新することはできません。 ただし、自分で作成した Microsoft 365 グループを管理することはできます。これは、エンドユーザーの特権の一部です。 そのため、自分で作成したすべての Microsoft 365 グループ (セキュリティ グループではない) は、自分の 250 のクォータに対してカウントされます。

次のタスクを行う必要があるユーザーに、Windows 365 管理者ロールを割り当てます。

• Microsoft Intune で Windows 365 クラウド PC を管理する
• Microsoft Entra ID でデバイスを登録および管理する (ユーザーとポリシーの割り当てを含む)
• セキュリティ グループを作成および管理する (ロールを割り当て可能なグループを除く)
• Microsoft 365 管理センターで基本プロパティを表示する
• Microsoft 365 管理センターで使用状況レポートを読み取る
• Azure と Microsoft 365 管理センターでのサポート チケットの作成および管理

Windows Update デプロイ管理者

このロールに含まれるユーザーは、Windows Update for Business 展開サービスを使用して、Windows Update の展開のすべての側面を作成および管理できます。 このデプロイ サービスを使用すると、ユーザーは更新プログラムをいつ、どのようにデプロイするかの設定を定義でき、テナント内のデバイスのグループに提供する更新プログラムを指定できます。 それだけでなく、ユーザーは更新の進捗状況を監視することもできます。

Yammer 管理者

次のタスクを行う必要があるユーザーに、Yammer 管理者ロールを割り当てます。

• Yammer の全側面の管理
• Microsoft 365 グループ (ただし、ロール割り当て可能なグループ以外) の作成、管理、復元
• ロールを割り当て可能なグループを含め、セキュリティ グループと Microsoft 365 グループの非表示メンバーを確認する
• Microsoft 365 管理センターで使用状況レポートを読み取る
• Microsoft 365 管理センターでサービス要求を作成および管理する
• メッセージ センターのお知らせ (セキュリティのお知らせ以外) を確認する
• サービスの正常性を表示する

詳細情報

非推奨のロール

次のロールは使用しないでください。 これらは非推奨となっており、将来的に Microsoft Entra ID から削除されます。

• アドホック ライセンス管理者
• デバイスの参加
• デバイス マネージャー
• デバイス ユーザー
• メールで確認済みのユーザー作成者
• メールボックス管理者
• デバイスの社内参加

ポータルに表示されないロール

PowerShell または MS Graph API によって返されるすべてのロールが Azure portal に表示されるわけではありません。 それらの違いを次の表にまとめます。

API 名	Azure portal での名前	Notes
デバイスの参加	非推奨	非推奨になったロールのドキュメント
デバイス マネージャー	非推奨	非推奨になったロールのドキュメント
デバイス ユーザー	非推奨	非推奨になったロールのドキュメント
ディレクトリ同期アカウント	使用するべきではないため、表示されません	ディレクトリ同期アカウントのドキュメント
ゲスト ユーザー	使用できないため、表示されません	NA
Partner Tier 1 サポート	使用するべきではないため、表示されません	Partner Tier 1 サポートのドキュメント
Partner Tier 2 サポート	使用するべきではないため、表示されません	Partner Tier 2 サポートのドキュメント
制限されたゲストユーザー	使用できないため、表示されません	NA
User	使用できないため、表示されません	NA
デバイスの社内参加	非推奨	非推奨になったロールのドキュメント

次のステップ

• Microsoft Entra ロールをグループに割り当てる
• 各種ロールについて
• Azure サブスクリプションの管理者としてユーザーを割り当てる