Microsoft Entra ID（旧Azure AD）とは？読み方・Active Directoryとの違い・機能・料金をコード付きで解説【2026年版】

Microsoft Entra ID（エントラID）とは、Microsoftが提供するクラウドベースのID・アクセス管理（IAM）サービスで、2023年に「Azure Active Directory（Azure AD）」から名称変更されたものです。読み方は「エントラ アイディー」。SSO（シングルサインオン）、多要素認証（MFA）、条件付きアクセスなどによって、利用者がどこからでも安全にMicrosoft 365やSaaSへサインインできる仕組みを提供します。名称は変わったものの、機能やテナント、サインインの仕組みはAzure ADからそのまま引き継がれており、既存のAzure AD環境はEntra IDとして継続して使えます。

この記事では、Entra IDの読み方と基本から、よく検索される「Azure ADとの違い」「オンプレミスのActive Directory（AD DS）との違い」、SSO・MFA・条件付きアクセス・Identity Protectionといった主な機能、Azure CLIとPythonで実際に動かすコード例、Microsoft Entra製品ファミリー、そしてFree・P1・P2・Entra Suiteの料金プランと選び方までを整理しました。価格と仕様は2026年10月10日時点でMicrosoft公式を確認した内容で、改定されることがあるため契約前には最新の公式ページをご確認ください。

まとめ：Microsoft Entra ID（旧Azure AD）の正体・違い・料金の結論

先に要点を示します。検索でよく問われる順に並べました。

• 正体：Entra IDはクラウドのID・アクセス管理サービス。読み方は「エントラID」で、旧名はAzure Active Directory（Azure AD）。
• Azure ADとの違い：別物ではなく同じサービスの新名称。2023年に改名され、ログインURL・API・MSALはそのまま、製品群「Microsoft Entra」の中核として位置づけ直された。
• Active Directory（AD DS）との違い：オンプレのAD DSはドメイン参加PC向け、Entra IDはクラウド/SaaS向け。プロトコルも目的も異なり、両者は同期して併用（ハイブリッド）できる。
• 主な機能：SSO・MFA・条件付きアクセスが中核。P2では不正リスクを検知するIdentity ProtectionとPIMが加わる。Azureの管理操作には2024年10月から段階的にMFAが必須化された。
• 料金：Freeは無料、P1は月1,049円、P2は月1,499円、Entra Suiteは月1,799円（ユーザー単位・年間契約の月額換算・2026年10月時点）。M365のE3やBusiness PremiumにP1、E5にP2が含まれる。
• 判断：社員向けの業務システムでM365を契約済みなら、認証基盤はEntra IDに寄せるのが第一候補。一般消費者向けの会員認証は別の製品群で検討する。

以降で、それぞれの根拠と手順を掘り下げます。

Microsoft Entra IDの読み方と旧Azure ADからの改名経緯

Microsoft Entra ID（エントラID）の正体と読み方、そして「ただの改名ではない」点から押さえます。

読み方と概要｜クラウドで認証と認可を一元管理するID基盤の役割

Microsoft Entra IDの読み方は「エントラ アイディー」です。クラウド上でユーザーやデバイスの認証（本人確認）と認可（アクセス許可）を一元管理するサービスで、Microsoft 365のサインイン基盤でもあります。利用者は1つのIDでMicrosoft 365や多数のSaaSにSSOでサインインでき、管理者はMFAや条件付きアクセスでアクセスを制御します。オンプレミスのサーバーを持たずに運用でき、リモートワークやクラウド移行と相性が良い点が特徴です。認証・ID管理という分野全体の中でEntra IDがどこに位置するかは、認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定で俯瞰できます。製品としての定義はMicrosoft LearnのMicrosoft Entraの概要にまとまっています。

Azure ADからの名称変更｜2023年7月公表から10月のSKU改称までの経緯

MicrosoftのAzure ADの新しい名前に関する公式FAQによると、改名は2023年7月11日に公表され、各製品画面での表記変更が同年8月15日に始まり、ライセンス（SKU）とサービスプランの表示名は10月1日に切り替わりました。表記の書き換えは2023年末までにほぼ完了しています。これは単なるリブランドにとどまらず、ID保護・ガバナンス・ネットワークアクセスまでを束ねる「Microsoft Entra」製品ファミリーへの再編の一部という位置づけです。

一方で、同FAQは既存のログインURL、API、PowerShellコマンドレット、MSAL（Microsoft Authentication Library）に変更がないと明記しています。テナントとライセンスの価格・機能も引き継がれたため、既存のAzure AD環境はそのままEntra IDとして使い続けられ、改名に伴う移行作業は基本的に不要でした。ただしアプリが呼んでいるAPIと認証ライブラリは別の話で、Entra IDのアプリをMicrosoft GraphとMSALへ移行する手順のとおりAzure AD GraphとADALはすでに提供を終えています。古いアプリを抱えている場合は、名前よりもこちらを先に点検してください。

Entra ID・Azure AD・オンプレADの名称と管理対象の比較

検索で最も多いのが「違い」です。Microsoft Entra ID、Azure AD、オンプレミスのActive Directoryについて、名称の対応と管理対象・プロトコルの違いを比較表で切り分けます。

Azure ADとEntra IDの違い｜中身は同一で名称と製品体系が変わった点

Azure ADとEntra IDは別サービスではなく、同じものの旧称と現行名です。「azure active directory entra id」のように両方の名前で探している人が知りたい結論は、「中身は同じで、名前が変わり、周辺製品が増えた」という点に尽きます。改名にあわせてEntra ID GovernanceやEntra External IDなどが整理され、ゼロトラスト前提の製品群として位置づけ直されました。管理画面やドキュメントの表記は「Entra」へ更新済みですが、過去のAzure AD向け手順の多くはそのまま通用します。コードや設定ファイルに残る「AAD」「AzureAD」といった識別子も、動作に影響はありません。

オンプレActive Directory（AD DS）との比較｜通信方式と管理単位

混同しやすいのが、オンプレミスの「Active Directory Domain Services（AD DS）」との違いです。名前は似ていても両者は別物です。AD DSはWindows Server上で動き、社内ネットワークのドメイン参加PCをグループポリシー（GPO）で管理します。Entra IDはクラウドで動き、SaaSやクラウドリソースへのアクセスを条件付きアクセスで制御する仕組みです。プロトコルもAD DSはKerberos/LDAP/NTLM、Entra IDはSAML/OAuth/OIDC/SCIMと異なります。LDAPの仕組みはLDAPとは？Active Directoryとの違いと認証実装、クラウド側のプロトコルはSAMLの認証フローとIdP/SPの仕組みやOIDCのIDトークン検証手順で詳しく扱っています。両者の提供形態、管理対象、プロトコル、構造、代表機能を比較したものが下表です。

両者は対立するものではなく、オンプレADを残しつつEntra IDと同期して併用する「ハイブリッド」構成が一般的です（後述）。なおAzure上の仮想マシンをドメイン参加させたいだけなら、ドメインコントローラーを自前で立てずに済むMicrosoft Entra Domain Servicesという別製品もあります。

Microsoft Entra IDの主な機能｜SSO・MFA・条件付きアクセスと特権管理

「何ができるのか」を、よく検索される機能に絞って説明します。

SSO・MFA・条件付きアクセス｜Freeのセキュリティ既定値群とP1の差

中核となるのがこの3つです。SSO（シングルサインオン）は、1度のサインインでMicrosoft 365や連携SaaSにまとめてアクセスできる機能で、パスワード入力の手間と使い回しのリスクを減らします。SSOの実現方式の全体像はシングルサインオン（SSO）の4つの実現方式とIdP選定が参考になります。MFA（多要素認証）は、パスワードに加えてスマートフォンの承認や生体認証など複数の要素で本人確認し、パスワード漏えい時の不正アクセスを防ぐ仕組みです。耐フィッシング性の高い方式の違いは多要素認証（MFA）の3要素と実装方式で比較しています。

Freeでも、セキュリティの既定値群を有効にすれば全ユーザーへのMFA登録要求やレガシー認証のブロックが一括でかかります。公式ドキュメントの説明では、2019年10月22日以降に作成されたテナントは、作成時から既定で有効になっている可能性があるという扱いです。一方の条件付きアクセスは、「社外ネットワークからのアクセスはMFAを必須にする」「未管理デバイスはブロックする」のように、ユーザー・場所・デバイス・アプリの組み合わせでアクセス可否を判定する仕組みで、Entra ID P1以上で利用できます。既定値群は全員一律、条件付きアクセスは条件別という違いがあり、両者は同時には使えません。

P2のリスク対策｜Identity Protection・PIM・アクセスレビュー

上位プラン（P2）では、より高度な保護が加わります。Identity Protection（ID保護）は、サインインやユーザーのリスクを機械学習で検知し、危険なサインインに自動で追加認証やブロックを適用します。「microsoft entra id プロテクションとは」で探されるのがこの機能です。PIM（Privileged Identity Management）は、管理者などの強い権限を必要なときだけ時間制限付きで付与し、常時付与による事故を防ぎます。さらにアクセスレビューや権限の自動付与・剥奪を担うアイデンティティガバナンスにより、誰がどの権限を持っているのかを、継続して点検できる仕組みです。認証プロトコルの基礎を押さえたい場合は、Ory Hydraとは何か？OAuth2.0/OpenID Connect対応認可サーバーの概要もあわせて参考になります。

Azure管理の必須MFA｜2024年10月のフェーズ1と2025年10月のフェーズ2

プランとは別に、MicrosoftはAzureの必須多要素認証を段階的に適用しています。公式ドキュメント（最終更新2026年4月3日）によると、フェーズ1として2024年10月以降、Azure portal・Microsoft Entra管理センター・Intune管理センターで作成・更新・削除の操作をするアカウントにMFAが必要になりました。Microsoft 365管理センターへの適用は2025年2月から始まっています。

フェーズ2は2025年10月1日以降で、Azure CLI、Azure PowerShell、Azureモバイルアプリ、IaCツール、REST API（コントロールプレーン）からのリソース管理操作が対象です。準備が間に合わないテナントは、全体管理者の操作でフェーズ2の開始を2026年7月1日まで延期できました。開発現場で影響が出やすいのは、人のユーザーIDをスクリプトや自動化の実行アカウントに流用しているケースです。マネージドIDやサービスプリンシパルといったワークロードIDは適用対象外なので、自動化はワークロードIDへ切り替えるのが公式の推奨です。

Entra IDの読み取り操作｜CLI・OIDC検出・MSALとGraphの実装例

概念だけでは掴みにくいので、Azure CLI、OIDC検出エンドポイント、MSALとGraphのコード例を通じて、テナントの中身を手元で実際に読み出す手順を3つ示します。いずれも読み取り専用の操作です。

Azure CLIでテナントにサインインしユーザー一覧を取得するコマンド例

もっとも手早いのはAzure CLIのaz ad userコマンドです。サインイン時には前章の必須MFAが求められる前提で準備してください。

# テナントを指定してサインイン（ブラウザでMFAを完了する）
az login --tenant <テナントID>

# サインイン中の自分のアカウントを確認する
az ad signed-in-user show --query "{name:displayName, upn:userPrincipalName}" -o json

# ユーザー一覧を表示名とUPNの表形式で出す
az ad user list --query "[].{name:displayName, upn:userPrincipalName}" -o table

自分の情報は取れるのに一覧が権限エラーになる場合、テナントのユーザー設定で一般ユーザーのディレクトリ参照が制限されている可能性があります。管理者に確認するか、次に示すアプリ登録の方式を使います。

OIDC検出エンドポイントでテナントの発行者とJWKSを確かめる手順

Entra IDは、標準のOpenID Connectに対応し、アプリに対して認証機能を提供するプロバイダーです。Microsoft IDプラットフォームのOIDCドキュメントにある検出エンドポイントを叩くと、発行者（issuer）、トークンエンドポイント、署名鍵の公開先（jwks_uri）が返ります。自社アプリでIDトークンを検証するときは、ここで得た値をハードコードせずに参照します。

# テナント固有のOIDCメタデータから必要な項目だけを取り出す
curl -s https://login.microsoftonline.com/<テナントID>/v2.0/.well-known/openid-configuration \
  | jq '{issuer, authorization_endpoint, token_endpoint, jwks_uri}'

MSAL for PythonとMicrosoft Graphのユーザー取得コード例

アプリから読み出す場合は、MSAL for Pythonでトークンを取り、Microsoft GraphのList usersを呼びます。事前にEntra管理センターでアプリを登録し、アプリケーション権限のUser.Read.Allに管理者の同意を与え、クライアントシークレットを発行しておきます。

# pip install msal requests
import os
import msal
import requests

app = msal.ConfidentialClientApplication(
    client_id=os.environ["ENTRA_CLIENT_ID"],
    client_credential=os.environ["ENTRA_CLIENT_SECRET"],
    authority="https://login.microsoftonline.com/" + os.environ["ENTRA_TENANT_ID"],
)

# アプリ自身の権限でGraph用のアクセストークンを取得する
result = app.acquire_token_for_client(scopes=["https://graph.microsoft.com/.default"])
if "access_token" not in result:
    raise SystemExit(result.get("error_description"))

resp = requests.get(
    "https://graph.microsoft.com/v1.0/users",
    params={"$select": "displayName,userPrincipalName", "$top": "10"},
    headers={"Authorization": "Bearer " + result["access_token"]},
    timeout=30,
)
resp.raise_for_status()
for user in resp.json()["value"]:
    print(user["userPrincipalName"], user["displayName"])

本番ではシークレットより証明書資格情報を、Azure上で動くならマネージドIDを選ぶと鍵の漏えい面を減らせます。社員の入退社に合わせて外部SaaSのアカウントを自動で作成・削除したい場合は、Graphを自前で呼ぶよりも標準規格のSCIMによるID自動プロビジョニングに乗せる方が保守しやすくなります。Graphで読み書きできるデータの範囲や、管理者の同意とSites.Selectedによる権限の絞り方はMicrosoft Graph APIとは？できること・権限設計とPythonでの呼び出し手順で解説しています。

Microsoft Entra製品群の役割と提供終了製品の検討上の注意点

「Microsoft Entra」はEntra ID単体ではなく、ID・アクセスに関する製品群の総称です。中心となるEntra IDに加え、デジタル証明書で本人確認するEntra Verified ID、アプリやサービスの認証を担うEntra Workload ID、アクセス権の棚卸しを行うEntra ID Governance、顧客やパートナーなど社外ユーザー向けのEntra External ID、そしてVPNの代替となるEntra Private Access、インターネット通信を制御するEntra Internet Accessなどがあります。これらの製品を管理する際は、Azureポータルとは別に、Entra専用の管理センター（entra.microsoft.com）からも操作が可能です。ネットワーク側の製品は、境界型防御からの移行という文脈でゼロトラストとは？境界型防御との違いとNIST7原則と組み合わせて読むと位置づけが明確になります。

注意したいのは、旧版の解説によく登場するEntra Permissions Management（マルチクラウドの権限を可視化する製品）が、2025年4月1日に販売を終了し、2025年11月1日にサポートも終了している点です。2026年10月時点で新規に検討する対象ではありません。すべての製品を使う必要はなく、まずはEntra IDから始め、要件に応じて組み合わせるのが現実的です。

Entra IDのプラン比較｜Free・P1・P2・Entra Suiteの料金と機能

導入判断で最も気になる料金を、プラン別に整理します。価格はMicrosoft Entraの公式価格ページで2026年10月10日に確認した、ユーザー単位・年間契約の月額換算です。

プラン別の価格と含まれる機能｜P1は月1,049円・P2は月1,499円の内訳

表のID管理はユーザー/グループ管理、ID保護はIdentity Protection、通信アクセスはネットワークアクセスを指します。P1の同梱先はM365 E3/Business Premium、P2の同梱先はM365 E5です。Entra Suiteは、表に挙げたネットワークアクセス・ID保護・ガバナンス・本人確認をまとめた製品です。

FreeはAzureやMicrosoft 365などのクラウドサブスクリプションに含まれ、公式価格ページではMFA、SaaSアプリへの無制限のSSO、基本レポート、オンプレミスディレクトリとの同期まで使えると案内されています。条件付きアクセスを使いたいならP1、リスクベースの保護（Identity Protection）やPIMまで使うならP2が必要です。Entra Suiteの利用にはP1、またはP1を含むパッケージのサブスクリプションが別途前提となり、P2やM365 E5の契約者には特別価格が用意されています。

単体製品の価格も参考に挙げておくと、Entra ID Governanceは月1,049円、Private AccessとInternet Accessはそれぞれ月749円、Workload IDはワークロードIDあたり月449円です。社外ユーザー向けのExternal IDは、コア機能が最初の50,000月間アクティブユーザーまで無料とされています。旧版の本記事にあったP1の899円・P2の1,349円は改定前の価格で、現在は上記に上がっています。

プランの選び方と失敗パターン｜M365同梱の確認から始める判断手順

ここは等価併記で逃げず、条件を付けて示します。すでにMicrosoft 365のE3やBusiness Premiumを契約しているならP1相当が、E5ならP2相当が含まれているため、まず自社のM365ライセンスに何が同梱されているかを確認するのが先決です。重複契約は典型的な無駄といえます。条件付きアクセスでアクセス制御を効かせたい組織はP1が最低ライン、金融・医療など不正サインインのリスクが高い組織やゼロトラストを本格運用したい組織はP2、さらにVPN代替やガバナンスまで一体で整えたい組織はEntra Suiteが候補になります。

逆に、無料のFreeだけで条件付きアクセスやIdentity Protectionを前提にした設計を進めるのは失敗のもとです。後から個別に買い直すより、必要な保護レベルを先に決めてプランを選ぶ方が結局は安く済みます。もう一つの落とし穴は、P1/P2はユーザー単位の課金なので、条件付きアクセスの対象にする全員分のライセンスが必要になる点です。管理者だけP2にして全社のサインインリスクを見ようとしても、対象外のユーザーは保護されません。

オンプレADとの同期｜Entra ConnectとCloud Syncの選定基準

多くの企業は、オンプレADを一気に廃止するのではなく、Entra IDと併用するところから始めます。オンプレのAD DSとEntra IDを同期すれば、社内のユーザー情報をクラウドに反映し、同じIDで社内システムとクラウドの両方にサインインできます。既存の社内資産を活かしながら、SaaS利用やリモートアクセスにEntra IDの条件付きアクセスを効かせられる構成です。デバイス管理（Intune）やキッティングと組み合わせる構成については、Windows AutopilotとMicrosoft Entra IDおよびAzure ADの連携方法が参考になります。

同期の手段は2つあります。Microsoft Entra Connect（Connect Sync）は旧Azure AD Connectの後継で、オンプレのサーバーに同期エンジンを入れて動かす多機能な方式です。Microsoft Entra Cloud Syncは軽量なプロビジョニングエージェントを置くだけで、設定と監視はクラウド側の管理センターに集約されます。複数エージェントによる自動フェールオーバーや、統合されていない複数フォレストからの同期にも対応しています。

受託の現場での判断としては、新規にハイブリッドを組むならまずCloud Syncで要件が満たせるかを確認し、Cloud Syncが対応していない機能が必要な場合に限ってConnect Syncを選ぶ順序をおすすめします。同期サーバーの保守とバージョン追従が減るからです。新規にクラウド中心で立ち上げる組織なら、オンプレADを持たずEntra IDだけで始める「クラウドオンリー」も選べます。

受託開発でEntra IDを認証基盤に採用する条件と見送るべき場面の判断基準

自社開発の業務システムに認証を組み込む場面で、Entra IDに寄せるか、別の認証基盤を使うかの判断です。条件を付けて言い切ります。

採用する条件｜M365契約済みで利用者が社員と取引先に限られる場合

Microsoft 365を契約済みで、システムの利用者が社員と一部の取引先に限られるなら、Entra IDをIdPにしてOIDCまたはSAMLで連携するのが第一候補です。理由は3つあります。退職者のアカウント停止がM365と同時に効くこと、条件付きアクセスとMFAの設定を全社で一元化できること、そしてP1以上のライセンスが既に支払い済みであることが多く、追加費用がほぼかからないことです。この構成なら、アプリ側はIDトークンの検証とロールの受け取りだけを実装すれば足ります。

見送る場面｜一般消費者向け会員基盤やマルチテナントSaaSの場合

一般消費者向けの会員サービスで、ソーシャルログインや会員登録画面の細かな作り込みを重視するなら、従業員向けのEntra IDは選びません。Microsoft系ではEntra External IDが候補になり、ほかにAuth0やOktaなどのIDaaSと比べて決めます。両者の選び分けはAuth0とOktaの違い｜顧客IDと従業員IDで分かれる選定基準で整理しています。また、顧客企業ごとに異なるIdP（Entra IDのテナント、Google Workspace、Oktaなど）を受け入れるマルチテナントSaaSでは、特定のIdPに依存せず、各社のIdPと標準プロトコルでフェデレーションできる設計が必要です。

どちらの場合も、要件定義の段階で「誰が使うのか」「退職・契約終了をどこで止めるのか」「監査で誰の操作かを追えるか」の3点を先に決めると、IdPの選択で迷う時間が大きく減ります。一創では認証基盤・ID管理システム開発として、Entra IDとのSSO連携、SCIMによるプロビジョニング、既存システムの認証の置き換えまでを受託しています。

よくある質問（Entra IDの読み方・Azure ADとの違い・無料範囲）

Microsoft Entra IDについて、検索でよく見かける質問に答えます。

Entra IDの読み方は？

「エントラ アイディー（Entra ID）」と読みます。Entraはラテン語の「入る」に由来する造語で、Microsoftのアイデンティティ製品ファミリーの名称です。日本語では「マイクロソフト エントラID」と表記されることもあります。旧称のAzure Active Directoryは「アジュール アクティブディレクトリ」と読み、略してAzure ADやAADと呼ばれていました。現在の公式ドキュメントや管理画面はすべてEntra IDの表記に統一されています。

Entra IDとAzure ADは何が違うのですか？

別のサービスではなく、同じサービスの新旧の名称です。2023年7月にAzure ADからMicrosoft Entra IDへの改名が公表され、同年10月1日にライセンスの表示名も切り替わりました。あわせてEntra製品ファミリーへの統合が進んでいます。テナント、ログインURL、API、MSALはそのまま引き継がれるため、既存のAzure AD環境は移行作業なしでEntra IDとして利用できます。ただし廃止済みのAzure AD GraphやADALを使うアプリは別途移行が必要です。

Entra IDとActive Directory（AD）の違いは？

オンプレミスのActive Directory（AD DS）は、Windows Server上で社内ネットワークのドメイン参加PCを管理する仕組みで、Kerberos/LDAPを使います。Entra IDはクラウドでSaaSやクラウドリソースへのアクセスを管理する仕組みで、使用するプロトコルはSAML/OAuth/OIDCです。目的もプロトコルも異なる別物ですが、Entra ConnectやCloud Syncで同期すれば同じIDで両方にサインインでき、併用できます。

Entra IDは無料で使えますか？

Freeプランがあり、AzureやMicrosoft 365などの契約に含まれています。ユーザー/グループ管理、SaaSへのSSO、MFA、オンプレミスとの同期は無料の範囲で使えます。ただし条件付きアクセスはP1（月1,049円）以上、リスクベースのIdentity ProtectionやPIMはP2（月1,499円）が必要です（2026年10月時点）。Microsoft 365のE3やBusiness PremiumにはP1相当、E5にはP2相当が同梱されているので、まず契約中のライセンスを確認してください。

Identity Protectionとは何ですか？

サインインとユーザーのリスクを機械学習で検知し、危険なサインインに追加認証やブロック、パスワード変更の要求を自動で適用するEntra IDの機能です。漏えいした資格情報、普段と異なる場所や匿名化されたIPアドレスからのアクセスなどを検出します。利用にはEntra ID P2が必要で、検知結果を条件付きアクセスのポリシーと組み合わせて、リスクが中以上のときだけMFAを求めるといった運用ができます。

関連記事

• Windows AutopilotとMicrosoft Entra IDおよびAzure ADの連携方法
• Ory Hydraとは何か？OAuth2.0/OpenID Connect対応認可サーバーの概要
• Entra IDのアプリをMicrosoft GraphとMSALへ移行する手順｜Azure AD Graph廃止後の実装
• 認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説
• シングルサインオン（SSO）とは？4つの実現方式とIdP選定を実装手順で解説