退職した人のアカウントは無効にした。ライセンスも外した。それで終わりだと思っていないだろうか。
前任ベンダーから情シスを引き継いだ会社（30名規模）で、Microsoft 365（Entra ID）のグループを棚卸しした。退職者が、無効になったアカウントのまま、いくつものグループのメンバーと所有者に残っていた。さらに、前任ベンダーの担当者しか所有者がいないグループが出てきた。この記事では、グループの整理の順序と、あわせて決めた命名ルール・ライセンスのグループ付与について書く。
この記事でわかること
- ▶ 退職者を「外すだけ」ではいけないグループがある理由
- ▶ 洗い出し → 計画 → 実行を分けた、グループ整理の進め方
- ▶ セキュリティグループの命名ルール
- ▶ ライセンスを個別付与からグループ付与に切り替える手順
▼背景：無効アカウントは、グループに残り続ける
Entra ID では、アカウントを無効にしてもグループの所属は自動では外れない。だから、退職者が何年分もグループに残る。普段は困らないが、次の場面で問題になる。
- ▶ アカウントを誤って有効に戻したとき、過去の権限が全部戻る
- ▶ グループのメンバー数がずれて、「誰がアクセスできるか」の説明ができない
- ▶ 所有者が退職者だけになったグループは、誰も管理できない
この会社のセキュリティグループは約30件。洗い出すと、退職者が所属しているグループが十数件あった。
▼「外すだけ」ではいけないグループ
退職者を外す前に、グループを3種類に分けた。
| グループの状態 | 対応 |
|---|---|
| ほかにも所有者がいる | 退職者を外すだけ |
| 退職者を外すと、所有者がいなくなる | 先に新しい所有者を入れてから外す |
| 前任ベンダーの担当者しか所有者がいない | 社内の担当者を所有者に加える。ベンダーのアカウントを外すのは、ID の付け替えと一緒に行う |
3つ目は、引き継ぎで見落としやすい。VPN の利用者グループ、基幹システムの開発用、倉庫用、退職者データのアーカイブ用など、業務の要所にあるグループほど、構築したベンダーが所有者のままだった。ベンダーとの契約が終わってアカウントが消えたら、誰も管理できないグループになる。
新しい所有者には、社内の窓口担当・情シス（自分）・総務の共有アドレスの3つを入れた。1人に寄せないためだ。ここで1つ注意がある。Microsoft 365 グループは所有者をメンバーにも追加するが、セキュリティグループは所有者にだけ入れる。セキュリティグループのメンバーにすると、そのグループに付いているアクセス権が付いてしまうからだ。
▼洗い出し → 計画 → 実行を分ける
作業は3段に分けた。
STEP1 洗い出し（読み取りのみ）：無効アカウントが所属するグループと、グループごとの所有者を書き出す
STEP2 計画：「どのグループから誰を外すか」「誰を所有者に足すか」を CSV にして、先方の確認を取る
STEP3 実行：計画の CSV を読んで、Graph PowerShell で一括で反映する。まず確認だけのモードで流し、問題がなければ実行する
計画を CSV にしておくと、何を変えたかの記録がそのまま残る。今回は所有者の追加が60件、退職者の除外がメンバーから85件・所有者から32件。エラーは0件だった。
ただし、Graph では変えられないものもあった。メールの配布リストは Exchange 側の管理なので、Exchange 管理センターで外す。全部が1つのツールで片づくわけではない。
スクリプトの小さな落とし穴
PowerShell は変数名の大文字・小文字を区別しない。Graph の URL を入れた変数と、グループを入れた変数の名前が大文字・小文字違いだけだったため、値が上書きされて誤動作しかけた。確認だけのモードで流して気づいた。いきなり本番で流さない。
▼セキュリティグループに命名ルールを決めた
グループの棚卸しをしてわかったのは、名前からグループの用途がわからないことだ。拠点名だけのもの、「intune tester」のような検証名、日本語と英語が混在している。
そこで、新しく作るセキュリティグループには命名ルールを決めた。
- ▶ 頭に
SG-を付ける（アクセス制御・アプリの割り当て・ライセンス付与用） - ▶
SG-<対象>-<用途>の形にする（例：SG-License-M365BP、SG-ChatGPT-M365連携）
既存のグループの名前を一斉に付け替えるかは、まだ決めていない。名前を変えると、そのグループを参照しているポリシーや手順書の確認が要るからだ。まず新しいものからルールに乗せる。
▼ライセンスをグループ付与に切り替えた
同じタイミングで、Microsoft 365 のライセンスを個別付与からグループ付与に切り替えた。入社時は「グループに入れる」、退職時は「グループから外す」だけで済むようになる。
① ライセンス付与用のグループを作る
② いま個別に付与されている人を、全員グループに入れる
③ グループにライセンスを割り当てる
④ 全員が「グループ経由で有効」になったのを確認する
⑤ 最後に個別の付与を外す
順序を逆にして、先に個別の付与を外すと、その瞬間にメールや Office が使えなくなる人が出る。「新しい経路で有効になったことを確認してから、古い経路を外す」。ライセンスの付け替えと同じ考え方だ。
切り替えてみると、ライセンスの席が空きゼロだったことも見えた。テスト用や管理用のアカウントにもライセンスが付いていて、それも席を使っている。入社の予定があるなら、先に追加購入の段取りが要る。
▼まとめ
- ▶ アカウントを無効にしても、グループの所属は残る
- ▶ 外すと所有者がいなくなるグループは、先に所有者を足す
- ▶ 前任ベンダーしか所有者がいないグループを、引き継ぎの初期に洗い出す
- ▶ 洗い出し・計画・実行を分け、計画を CSV で残す
- ▶ ライセンスのグループ付与は「新経路で有効を確認 → 旧経路を外す」
📅 30分無料相談、受け付けています
「Microsoft 365 のグループや権限が、誰のものかわからない状態になっている」——そういった段階からお気軽にどうぞ。棚卸しから整理、運用ルールづくりまで対応しています。
📅 30分無料相談を予約する →