Microsoft Entra ID（旧Azure AD）とは？読み方・ADとの違い・料金と始め方【2026年10月】

Microsoft Entra ID（エントラ アイディー）は、Microsoftのクラウド型ID・アクセス管理サービスです。2023年に「Azure Active Directory（Azure AD）」から名前が変わりましたが、中身は同じサービスで、テナントもサインインの仕組みもそのまま引き継がれています。Microsoft 365にサインインするとき裏で動いているのがEntra IDで、社員のアカウント管理、Microsoft 365やSaaSへのシングルサインオン（SSO）、多要素認証（MFA）、社外や私物端末からのアクセス制限に使います。

この記事では、読み方と改名の経緯、Azure ADやオンプレミスのActive Directoryとの違い、主な機能、Free・P1・P2・Entra Suiteの料金、テナントIDの確認から始める導入手順、Azure CLIとPythonでテナントを読み出すコード例までを順に扱います。価格と仕様は2026年10月27日時点でMicrosoftの公式ページを確認した内容です。

まとめ：Entra ID（旧Azure AD）の読み方・違い・料金の結論

• 読み方と正体：「エントラ アイディー」。旧Azure Active Directory（Azure AD）の現行名で、クラウドのID・アクセス管理サービス。
• Azure ADとの違い：同じサービスの新しい名前。ログインURL・API・MSALは変わらず、製品群「Microsoft Entra」の中核に位置づけ直された。
• オンプレAD（AD DS）との違い：AD DSは社内のドメイン参加PCをKerberos/LDAPで管理し、Entra IDはSaaSやクラウドへのアクセスをSAML/OIDCで管理する。同期して併用できる。
• 料金：Freeは無料、P1は月1,049円、P2は月1,499円、Entra Suiteは月1,799円（ユーザー単位・年間契約の月額換算・税抜）。Microsoft 365 E3/Business PremiumにP1、E5にP2が含まれる。
• 始め方：Microsoft 365を契約していればテナントは既にある。テナントIDを確認し、管理者のMFA→ユーザー→SaaSのSSO→端末の参加の順に設定する。
• 判断：社員向けの業務システムでM365を契約済みなら、認証基盤はEntra IDが第一候補。一般消費者向けの会員認証には使わない。

Microsoft Entra IDの読み方と旧Azure ADからの改名経緯

読み方と用途｜Microsoft 365のサインインを支えるID基盤

読み方は「エントラ アイディー」で、日本語の資料では「マイクロソフト エントラID」とも書かれます。旧称のAzure Active Directoryは「アジュール アクティブ ディレクトリ」と読み、Azure ADやAADと略されていました。

Entra IDが受け持つのは、ユーザーやデバイスの認証（本人確認）と認可（アクセス許可）です。MicrosoftのMicrosoft Entraの概要は、Microsoft 365、Azure、Dynamics CRM Onlineの契約者は既にEntra IDを使っており、すべてのテナントが自動的にEntraのテナントになると説明しています。新しいディレクトリには contoso.onmicrosoft.com のような初期ドメインが付き、自社ドメインを追加して使います。認証・ID管理の分野全体の中での位置づけは認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定で俯瞰できます。

Azure ADからの名称変更｜2023年7月公表から10月のSKU改称まで

Azure ADの新しい名前に関する公式FAQによると、改名は2023年7月11日に公表され、製品画面の表記変更が同年8月15日に始まり、ライセンス（SKU）とサービスプランの表示名は10月1日に切り替わりました。同じFAQは、ログインURL、API、PowerShellコマンドレット、MSAL（Microsoft Authentication Library）に変更はないと明記しています。既存のAzure AD環境は移行作業なしでEntra IDとして動き続けました。

名前より先に点検すべきなのは、アプリが呼んでいるAPIと認証ライブラリです。Azure AD Graphは廃止され、ADALはサポートとセキュリティ修正の提供を終了しているため、Entra IDのアプリをMicrosoft GraphとMSALへ移行する手順で扱う移行が必要になります。コードや設定ファイルに残る「AAD」「AzureAD」という識別子は動作に影響しません。

Entra ID・Azure AD・オンプレADの違いを比較表で整理

Azure ADとEntra IDの違い｜同一サービスの名称と製品体系の変更

「azure ad entra id 違い」と探す人への答えは、中身は同じで、名前が変わり、周辺製品が増えたという一点です。改名に合わせてEntra ID GovernanceやEntra External IDなどが同じブランドの下に整理されました。過去のAzure AD向けの手順書の多くは、画面上の名称を読み替えればそのまま通用します。

オンプレActive Directory（AD DS）との違い｜プロトコルと管理対象

名前が似ていても、Windows Server上で動く「Active Directory Domain Services（AD DS）」とEntra IDは別の製品です。AD DSは社内ネットワークのドメイン参加PCをグループポリシー（GPO）で管理し、Kerberos・LDAP・NTLMで認証します。Entra IDはSaaSやクラウドへのアクセスを条件付きアクセスで制御し、SAML・OAuth 2.0・OpenID Connect・SCIMを使います。LDAPの仕組みはLDAPとは？Active Directoryとの違いと認証実装、クラウド側のプロトコルはSAMLの認証フローとIdP/SPの仕組みとOIDCのIDトークン検証手順で詳しく扱っています。AD FSとEntra IDをSAMLのIdPとして比べ、移行する手順はSAML ADの構成手順：AD FSとEntra IDでSSOを張る設定と移行判断にまとめました。

両者は併用でき、オンプレADを残してEntra IDと同期する「ハイブリッド」構成も選べます（後述）。Kerberos認証が必要な古いアプリをAzureへ移すだけなら、ドメインコントローラーを自前で立てずにLDAP・Kerberos/NTLM・グループポリシーを使えるMicrosoft Entra Domain Servicesという別製品もあります。

Microsoft Entra IDの主な機能｜SSO・MFA・条件付きアクセスと端末管理

SSO・MFA・条件付きアクセス｜Freeのセキュリティ既定値群とP1の差

SSOは1度のサインインでMicrosoft 365や連携SaaSに入れる機能で、方式の全体像はシングルサインオン（SSO）の4つの実現方式とIdP選定にまとめています。MFAはパスワードに加えてスマートフォンでの承認や生体認証で本人確認する仕組みで、耐フィッシング性の差は多要素認証（MFA）の3要素と実装方式で比較しています。

Freeでもセキュリティの既定値群を有効にすれば、全ユーザーへのMFA登録の要求とレガシー認証のブロックが一括でかかります。新しいテナントでは既定で有効になっており、保護がかかるまでに24時間の猶予があります。条件付きアクセスは「社外ネットワークからはMFA必須」「管理されていない端末はブロック」のように、ユーザー・場所・端末・アプリの組み合わせで可否を決める仕組みで、P1以上が必要です。既定値群は全員一律、条件付きアクセスは条件別で、両者は同時に使えません。条件付きアクセスへの移行では、適用するポリシーと切り替え手順を事前に準備し、既定値群を無効にした直後に代替ポリシーを有効にします。

デバイスのEntra参加・登録・ハイブリッド参加の3方式

端末をEntra IDに載せる方法は3つあります。デバイスIDの概要では、私物端末やスマートフォン向けの「Entra登録」、会社所有のWindows 10/11向けの「Entra参加」、オンプレADにも参加したままの「Entraハイブリッド参加」に分け、ハイブリッド参加はEntra参加へ移るまでの中間段階と位置づけています。Entra IDへの登録・参加はデバイスベースの条件付きアクセスの前提です。「準拠した端末だけ許可」にはIntuneなどによる準拠性の評価が、Intuneでの設定配布には端末のIntune登録と対象ライセンスが別途必要です。

Windows 11のEntra参加は、初期設定で「職場または学校用に設定する」を選び、組織のアカウントでサインインするだけです。Windows Homeエディションは参加できず、登録だけが使えます。新しい端末を箱から出してそのまま配る運用はWindows AutopilotとMicrosoft Entra IDの連携方法で手順を示しています。

P2のリスク対策｜Identity Protection・PIM・アクセスレビュー

Identity Protection（ID保護）は、漏えいした資格情報や匿名化されたIPアドレスからのサインインなどをリスクとして検出し、条件付きアクセスと組み合わせて「サインインリスクが中以上ならMFAを要求する」といった自動対応をかけます。PIM（Privileged Identity Management）は、全体管理者などの強い権限を必要なときだけ時間を区切って付与する機能です。どちらもP2の機能で、アクセスレビューによる権限の棚卸しも同じ層に入ります。

Azure管理の必須MFA｜2024年10月のフェーズ1と2025年10月のフェーズ2

プランと関係なく、MicrosoftはAzureの必須多要素認証を段階的に適用しています。フェーズ1は2024年10月からで、Azure portal・Microsoft Entra管理センター・Intune管理センターにサインインして作成・読み取り・更新・削除の操作をするアカウントにMFAが必要になりました。Microsoft 365管理センターへの適用は2025年2月に始まっています。

フェーズ2は2025年10月1日からで、Azure CLI、Azure PowerShell、Azureモバイルアプリ、IaCツール、Azure SDK、REST API（コントロールプレーン）での作成・更新・削除が対象です。こちらは読み取り操作にはMFAを求めません。延期を申請したテナントも、延期の上限は2026年7月1日でした。対象は https://management.azure.com 宛ての要求で、Microsoft Graph APIは原則として対象外です。影響が出やすいのは、人のアカウントを自動化スクリプトの実行に使い回している現場です。マネージドIDやサービスプリンシパルは対象外なので、自動化はこちらへ切り替えます。

Microsoft Entra製品群の役割と提供終了製品の注意点

「Microsoft Entra」はEntra ID単体ではなく、ID・アクセス製品群の総称です。公式の製品ファミリ一覧には、次の製品が並びます。

一覧の中で新しい製品がEntra Agent IDです。Microsoft Entra Agent IDの概要によると、AIエージェントに専用のIDを与え、条件付きアクセス・リスク検出・ライフサイクル管理・監査ログを人やワークロードと同じように効かせる仕組みで、OAuth 2.0、MCP、A2Aといったプロトコルをサポートします。AWS Bedrockやn8nなどMicrosoft以外で作ったエージェントも、ワークロードIDフェデレーションで載せられます。業務エージェントには人のアカウントを使い回さず、専用IDを検討してください。Agent IDの利用と、エージェントへの条件付きアクセスなどのセキュリティ機能の適用はライセンス条件が異なり、後者にはMicrosoft Agent 365が必要です。

逆に、古い解説記事によく出てくるEntra Permissions Managementは、Microsoft Entraの新機能アーカイブのとおり2025年4月1日（CSPは5月1日）に新規販売を終え、2025年10月1日に廃止されました。新規の検討対象ではありません。製品はすべてを揃える必要はなく、Entra IDから始めて要件が出たものを足します。ネットワーク系の製品はゼロトラストとは？境界型防御との違いとNIST7原則と合わせて読むと位置づけがつかめます。

Entra IDのプラン比較｜Free・P1・P2・Entra Suiteの料金と機能

プラン別の価格と機能｜P1は月1,049円・P2は月1,499円

価格はMicrosoft Entraの公式価格ページで確認した、ユーザー単位・年間契約の月額換算（税抜）です。

FreeではMFAと無制限のSSOに加え、クラウドユーザーが現在のパスワードを知っている場合の変更を利用できます。一般ユーザーが忘れたパスワードを自分でリセットするには、Microsoft 365 Business Standardなどの対象ライセンス、またはEntra ID P1/P2が必要です。FreeのMFAはセキュリティの既定値群による一律のもので、Microsoft Entraのライセンスは、認証の求めにMicrosoft Authenticatorを使う前提のため、私物端末にアプリを入れてもらえない組織では制約になると注意しています。Entra Suiteの利用にはP1、またはP1を含むパッケージが別に必要で、P2やMicrosoft 365 E5の契約者には特別価格があります。単体製品では、Entra ID Governanceが月1,049円、Private AccessとInternet Accessがそれぞれ月749円、Workload IDがワークロードIDあたり月449円です（いずれも税抜）。社外ユーザー向けのExternal IDは、コア機能が月間アクティブユーザー50,000人まで無料です。過去の記事と価格が異なる場合は、契約条件と公式価格ページの現行表示を確認してください。

プランの選定と失敗パターン｜Microsoft 365の同梱ライセンスの確認

最初にやることは、契約中のMicrosoft 365に何が含まれているかの確認です。E3やBusiness PremiumならP1、E5ならP2が既に入っており、Entra IDを別に買うと二重払いになります。そのうえで、条件付きアクセスを使うならP1が最低ライン、不正サインインの自動ブロックや管理者権限の時間制限まで要るならP2、VPNの置き換えや権限の棚卸しまで一体で進めるならEntra Suiteを選びます。

失敗しやすいのは2点です。Freeのまま条件付きアクセスやIdentity Protectionを前提に設計を進め、構築の途中でライセンス不足に気づくケース。そして、P1/P2はユーザー単位の課金なので、管理者だけP2にしても対象外の社員のサインインリスクは見られない点です。保護したい人数分のライセンスを見積もりに入れてください。

Entra IDの始め方｜テナントIDの確認からSaaSのSSO設定まで

Microsoft 365を契約済みならテナントは既にあるので、新しく作る必要はありません。次の順で設定します。

テナントIDの確認｜Entra管理センターとAzure CLI

テナントIDを検索する方法のとおり、Microsoft Entra管理センターに少なくとも「グローバル閲覧者」でサインインし、［Entra ID］→［概要］→［プロパティ］を開くと「テナントID」欄に表示されます。Azure portalなら［Microsoft Entra ID］→［プロパティ］です。外部のSaaSとSSOを組むときや、後述のコードで必要になるのはこのIDです。

# サインイン中のテナントIDを表示する
az account show --query tenantId -o tsv

管理者のMFAとユーザーの追加

最初に、全体管理者を含む管理者アカウントにMFAを設定します。前章の必須MFAにより、管理センターでの操作にはどのみちMFAが必要です。次に、ユーザー管理者以上のロールで［Entra ID］→［ユーザー］→［新しいユーザー］→［新しいユーザーの作成］からアカウントを作り（ユーザーの作成手順）、Microsoft 365管理センターの［ユーザー］→［アクティブなユーザー］で対象者を選び、ライセンスを割り当てます。オンプレADがある組織は、手作業で作らず次章の同期で取り込みます。

SaaSのSSO設定｜エンタープライズアプリへの追加とユーザー割り当て

［Entra ID］→［エンタープライズアプリ］→［すべてのアプリケーション］→［新しいアプリケーション］を開くと、事前に統合済みのアプリが並ぶギャラリーから選べます（エンタープライズアプリケーションを追加するクイックスタート）。必要なロールはクラウドアプリケーション管理者またはアプリケーション管理者です。追加後にSAMLかOIDCのSSOを設定し、使わせるユーザーやグループを割り当てます。自社開発アプリのユーザー向けSSOでは、［アプリの登録］で登録し、OIDCの認可コードフローなどを実装します。次章のPython例は、ユーザーのSSOではなく、アプリ自身の権限でGraphを呼ぶ例です。社外サービス側の設定例として、Cognito SAML連携でEntra IDとSSOを組む手順も参考になります。

Entra IDのテナントを読み出す手順｜Azure CLI・OIDC検出・MSALとGraph

テナント情報を取得する3つの例です。Azure CLI、curlとjq、Pythonの各実行環境を用意し、コード中のテナントIDを実際の値に置き換えてください。Python例ではENTRA_CLIENT_ID、ENTRA_CLIENT_SECRET、ENTRA_TENANT_IDを環境変数に設定します。情報取得処理は読み取り専用ですが、アプリ登録や権限付与などの事前設定は変更操作です。

Azure CLIによるサインインとユーザー一覧の取得

az ad userコマンドを使います。

# テナントを指定してサインイン（ブラウザでMFAを完了する）
az login --tenant <テナントID> --allow-no-subscriptions

# サインイン中の自分のアカウントを確認する
az ad signed-in-user show --query "{name:displayName, upn:userPrincipalName}" -o json

# ユーザー一覧を表示名とUPNの表形式で出す
az ad user list --query "[].{name:displayName, upn:userPrincipalName}" -o table

自分の情報は取れるのに一覧が権限エラーになる場合、テナントのユーザー設定で一般ユーザーのディレクトリ参照が制限されている可能性があります。管理者に確認するか、3つめのアプリ登録の方式を使います。

OIDC検出エンドポイントによる発行者とJWKSの確認

Entra IDは標準のOpenID Connectプロバイダーです。Microsoft IDプラットフォームのOIDCドキュメントにある検出エンドポイントは、発行者（issuer）、トークンエンドポイント、署名鍵の公開先（jwks_uri）を返します。自社アプリでIDトークンを検証するときは、ここで得た値をハードコードせずに参照します。

# テナント固有のOIDCメタデータから必要な項目だけを取り出す
curl -s https://login.microsoftonline.com/<テナントID>/v2.0/.well-known/openid-configuration \
  | jq '{issuer, authorization_endpoint, token_endpoint, jwks_uri}'

MSAL for PythonとMicrosoft Graphによるユーザー情報の取得

MSAL for Pythonでトークンを取り、Microsoft GraphのList usersを呼びます。以下の例はユーザー情報を最大10件取得します。事前に［アプリの登録］でアプリを作り、アプリケーション権限のUser.Read.Allに管理者の同意を与え、クライアントシークレットを発行しておきます。

# pip install msal requests
import os
import msal
import requests

app = msal.ConfidentialClientApplication(
    client_id=os.environ["ENTRA_CLIENT_ID"],
    client_credential=os.environ["ENTRA_CLIENT_SECRET"],
    authority="https://login.microsoftonline.com/" + os.environ["ENTRA_TENANT_ID"],
)

# アプリ自身の権限でGraph用のアクセストークンを取得する
result = app.acquire_token_for_client(scopes=["https://graph.microsoft.com/.default"])
if "access_token" not in result:
    raise SystemExit(result.get("error_description"))

resp = requests.get(
    "https://graph.microsoft.com/v1.0/users",
    params={"$select": "displayName,userPrincipalName", "$top": "10"},
    headers={"Authorization": "Bearer " + result["access_token"]},
    timeout=30,
)
resp.raise_for_status()
for user in resp.json()["value"]:
    print(user["userPrincipalName"], user["displayName"])

本番ではシークレットより証明書資格情報を、Azure上で動くならマネージドIDを使うと鍵の漏えい面が減ります。入退社に合わせて外部SaaSのアカウントを作成・削除したいなら、Graphを自前で呼ぶよりSCIMによるID自動プロビジョニングに乗せる方が保守しやすくなります。Graphの権限設計はMicrosoft Graph APIとは？できること・権限設計とPythonでの呼び出し手順で解説しています。

オンプレADとの同期｜Entra ConnectとCloud Syncの選定基準

オンプレADを運用中の企業では、既存環境を残したままEntra IDと同期する構成を選べます。同期すると社内のユーザー情報がクラウドに反映され、同じIDで社内システムとMicrosoft 365の両方に入れます。

手段は2つです。Microsoft Entra Connect（Connect Sync）は旧Azure AD Connectの後継で、オンプレのサーバーに同期エンジンを入れて動かします。Microsoft Entra Cloud Syncは軽量なプロビジョニングエージェントを置くだけで、設定と監視はクラウド側に集約され、複数エージェントによるフェールオーバーや、互いに分離された複数フォレストからの同期にも対応します（Connect SyncとCloud Syncの選択ガイド）。

Connect Syncを動かしている組織には期限があります。Microsoftのセキュリティ更新の案内は、2027年4月7日までにConnect Syncを2.6.84.0以降へ上げ、アプリケーションベース認証を構成するよう求めており、満たさないと従来の認証の廃止で同期が止まります。2026年10月27日時点のリリース履歴の最新版は2026年9月23日公開の2.6.92.0です。同期サーバーのバージョンを先に確認してください。

新しくハイブリッドを組むなら、まずCloud Syncで要件を満たせるかを確かめ、Cloud Syncにない機能が必要なときだけConnect Syncを選んでください。同期サーバーの保守とバージョン追従が減ります。オンプレADを持たない組織は、Entra IDだけで始める「クラウドオンリー」で十分です。

受託開発でEntra IDを認証基盤に採用する条件と見送る場面

Entra IDの採用条件｜Microsoft 365契約済みの社員・取引先向けシステム

Microsoft 365を契約済みで、業務システムの利用者が社員と一部の取引先に限られるなら、Entra IDをIdPにしてOIDCかSAMLで連携するのが第一候補です。退職者の新規サインインをM365と共通のアカウントで停止でき、条件付きアクセスとMFAを全社で一元管理できるうえ、P1以上のライセンスは支払い済みのことが多いからです。アプリ側では認証応答の検証に加え、ロールに基づくアクセス制御、セッション管理、退職時の既存セッションの失効を設計します。OIDCではIDトークンを、SAMLではSAML応答を検証します。

見送る場面｜一般消費者向けの会員基盤とマルチテナントSaaS

一般消費者向けの会員サービスで、ソーシャルログインや登録画面の作り込みが重要なら、従業員向けのEntra IDは使いません。Microsoft系ならEntra External ID、ほかにAuth0やOktaなどのIDaaSと比べて決めます。選び分けはAuth0とOktaの違い｜顧客IDと従業員IDで分かれる選定基準で整理しています。顧客企業ごとに違うIdP（Entra IDの各テナント、Google Workspace、Oktaなど）を受け入れるマルチテナントSaaSも、特定のIdPに寄せず、標準プロトコルでフェデレーションできる設計にします。

どちらの場合も、要件定義で「誰が使うのか」「退職・契約終了をどこで止めるのか」「監査で誰の操作かを追えるか」を先に決めると、IdPの選択で迷う時間が減ります。一創では認証基盤・ID管理システム開発として、Entra IDとのSSO連携、SCIMによるプロビジョニング、既存システムの認証の置き換えを受託しています。

よくある質問（Entra IDの読み方・Azure ADとの違い・無料範囲）

Entra IDの読み方は？

「エントラ アイディー」です。旧称のAzure Active Directoryは「アジュール アクティブ ディレクトリ」と読み、Azure ADやAADと略されていました。現行の製品名はMicrosoft Entra IDですが、過去の資料や変更対象外のAPI・識別子にはAzure ADの名称が残っています。

Entra IDとAzure ADは何が違うのですか？

同じサービスの新旧の名前です。2023年7月に改名が公表され、同年10月1日にライセンスの表示名も切り替わりました。テナント、ログインURL、API、MSALはそのままなので、既存のAzure AD環境は移行作業なしで使えます。ただし、廃止済みのAzure AD Graphや、サポートとセキュリティ修正の提供が終了したADALを使うアプリは、別途移行が必要です。

Entra IDとActive Directory（AD）の違いは？

オンプレのActive Directory（AD DS）はWindows Server上で社内のドメイン参加PCを管理し、Kerberos/LDAPで認証します。Entra IDはクラウドでSaaSやクラウドへのアクセスを管理し、SAML/OAuth/OIDCを使います。別の製品ですが、Entra ConnectやCloud Syncで同期すれば同じIDで両方に入れます。

Entra IDは無料で使えますか？

Freeプランがあり、AzureやMicrosoft 365の契約に含まれます。ユーザー管理、SSO、セキュリティの既定値群によるMFA、クラウドユーザーによる既知のパスワード変更は無料の範囲です。一般ユーザーが忘れたパスワードをリセットする機能には、別途対象ライセンスが必要です。条件付きアクセスはP1（月1,049円）以上、Identity ProtectionとPIMはP2（月1,499円）が必要です（2026年10月時点）。Microsoft 365のE3やBusiness PremiumにはP1、E5にはP2が含まれます。

自社のEntra ID（テナントID）を確認する方法は？

Microsoft Entra管理センター（entra.microsoft.com）にグローバル閲覧者以上でサインインし、［Entra ID］→［概要］→［プロパティ］の「テナントID」を見ます。Azure portalの［Microsoft Entra ID］→［プロパティ］でも、Azure CLIの az account show --query tenantId -o tsv でも確認できます。

関連記事

• Windows AutopilotとMicrosoft Entra ID（旧Azure AD）連携ガイド｜Entra参加の要件・設定手順【2026年版】
• Entra IDのアプリをMicrosoft GraphとMSALへ移行する手順｜Azure AD Graph廃止後の実装
• Microsoft Graph APIとは？できること・権限設計とPythonでの呼び出し手順【2026年10月】
• シングルサインオン（SSO）とは？4つの実現方式とIDトークン検証・IdP選定を実装手順で解説
• 認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説【2026年版】