Microsoft Defender for Cloudとは？料金の円換算と無料範囲・有効化手順【2026年10月】

Microsoft Defender for Cloudは、Azure・AWS・GCP・オンプレミスのリソースについて、設定ミスの検出（CSPM）と稼働中のワークロードへの脅威検出（CWPP）をまとめて提供するMicrosoftのCNAPPです。サブスクリプションで有効化した時点で無料のFoundational CSPMが動き、サーバーやストレージを守る機能はプラン単位で追加課金になります。この記事では、Azure Retail Prices APIの東日本リージョン単価を月額の円に直したプラン別料金、無料で使える範囲、Defender for ServersのP1とP2の選び方、AWS・GCPの接続手順、2026年11月1日に始まる課金ルールの変更までを、Microsoft Learnの記述に沿って整理します。

まとめ：Defender for Cloudの料金と導入の要点

• 有効化するだけで使えるのはFoundational CSPM（無料）で、推奨事項・セキュリティスコア・資産インベントリ・Microsoft Cloud Security Benchmark（MCSB）による評価、AWS・GCPの接続まで含まれる
• 攻撃パス分析、エージェントレスの脆弱性スキャン、ISO 27001などの規制コンプライアンス評価は有料プランが前提
• 東日本リージョンの定価を730時間で換算すると、Defender CSPMは課金対象リソース1つあたり月約805円、Defender for Servers P1は1台月約773円、P2は1台月約2,300円
• 有料プランは有効化から30日間の無料試用があるが、止めたり延長したりはできない。Defender for Storageのマルウェアスキャンは試用対象外で初日から課金される
• 2026年11月1日から、Defender for Servers P1ではWindows 10/11などのクライアント端末がサーバーとして課金されなくなり、P1・P2とも稼働中マシンの数え方が細かくなる
• AWS・GCPの接続にもAzureサブスクリプションが要る。AWS接続はCloudFormationかTerraform、GCP接続は生成されるgcloudスクリプトで権限を作る

Defender for Cloudの仕組み：CSPMとCWPPを束ねたCNAPP

Microsoft LearnはDefender for CloudをCloud Native Application Protection Platform（CNAPP）と位置付け、3つの柱で説明しています。クラウドの設定を評価して改善を促すCSPM、GitHub・Azure DevOps・GitLabのパイプラインでIaCの設定ミスや秘密情報の混入を見つけるDevSecOps、仮想マシン・コンテナ・ストレージ・データベース・サーバーレス関数への攻撃を検知するCWPPです。2026年8月10日更新の概要ページでは、これに生成AIワークロード向けのAIセキュリティ態勢管理と脅威保護が加わっています。

動作の起点はAzureサブスクリプションです。サブスクリプションでDefender for Cloudを有効にすると、Azureのリソースに加え、コネクタで接続したAWSアカウントやGCPプロジェクト、Azure Arc経由のオンプレミスサーバーから設定情報が集まり、推奨事項とアラートとして返ってきます。オンプレミスやAWSのサーバーをAzureのリソースとして扱う仕組みは、Azure Arcの料金と導入手順で解説しています。

CSPMとCWPPという分類自体の意味は、製品に依存しない形でCSPMの設定ミス検出の仕組みとCWPPのワークロード保護の仕組みにまとめています。

名前の似たMicrosoft製品との守備範囲の違い

「Microsoft Defender」と付く製品は守る対象がそれぞれ違います。Defender for Cloudが見るのはクラウドとサーバーのリソースで、SaaSアプリやPCは担当外です。

アラートを他社製品のログと突き合わせて調査したいならSIEMの領域で、Microsoft SentinelのSIEM/SOARの仕組みと料金モデルが該当します。サーバー上のEDRそのものの考え方はEDRの検知の仕組みとEPP・XDRとの違いを参照してください。

無料のFoundational CSPMと有料Defender CSPMの機能差

Defender for Cloudを有効にすると、Foundational CSPMは既定でオンになります。料金はかかりません。2026年9月11日更新のLearnのCSPM比較表から、Azure環境で差が出る主な機能を抜き出すと次のとおりです。

無料の範囲でも、MCSBに沿った推奨事項とセキュリティスコアで「どこが設定ミスか」は把握できます。AWSではMCSBに加えてAWS Foundational Security Best Practices、GCPではGCP Defaultが既定の標準として割り当てられます。

見落としやすいのが規制コンプライアンスです。ISO/IEC 27001:2022、PCI DSS v4.0.1、NIST SP 800-53などの標準をダッシュボードに追加するには、Defender for Servers Plan 1とDefender for APIs Plan 1以外の有料プランを1つ以上有効にしている必要があります（Learnの「規制コンプライアンス標準の割り当て」の前提条件）。監査対応が導入目的なら、無料の範囲では足りません。攻撃パス分析など有料のDefender CSPMに固有の機能はMicrosoft Defender CSPMの解説で掘り下げています。

Defender for Cloudの料金：プラン別の課金単位と月額の目安

有料プランの課金基準は、サーバーの保護時間、リソース数、スキャンしたデータ量、処理したトークン数など、プランごとに異なります。下の表は、Azure Retail Prices API（通貨JPY）で2026年10月1日に取得した従量課金の定価です。時間単位で課金されるプランは1か月730時間として月額に換算し、GB・トークン・月単位のプランは単価のまま載せています。税抜の定価で、契約形態や為替で請求額は変わります。課金単位の定義はMicrosoft Defender for Cloudの価格ページにあります。

APIの単価は、時間単価（P1は東日本1.0587円、P2は3.151円、Defender CSPMは1.1028円）で返ります。ドル建てではDefender CSPMが1時間0.007ドル、P2が0.02ドルです。月額表示の価格ページと数字が合わないときは、730時間を掛けたかどうかを確かめてください。

Defender CSPMの課金対象リソースの数え方

Defender CSPMはすべてのリソースを評価しますが、課金されるのは特定の種類だけです。Azureでは仮想マシン・スケールセット、BLOBコンテナーかファイル共有を持つストレージアカウント、SQLサーバーやPostgreSQL・MySQLのフレキシブルサーバー、Synapseワークスペースが対象で、割り当て解除済みのVMとDatabricksのVMは除外されます。AWSではEC2インスタンス、S3バケット、RDSインスタンスが対象です。

2026年に入ってサーバーレスも課金対象になりました。Function AppsとWeb Apps（AWSはLambda関数）は2026年4月1日から、Azure Container AppsとContainer Instances（AWSはFargate上のECS）は2026年7月1日から、それぞれの機能をオンにしたときに課金されます。価格ページの換算ルールは、関数・Webアプリ8つで1リソース、稼働中のサーバーレスコンテナー2つで1リソースです。

VM20台・ストレージ5アカウント・SQL2インスタンスの月額試算

VM 20台、ストレージアカウント5つ、Azure SQL 2インスタンスの環境で、Defender CSPMとServers P2、Storage、SQLを有効にした場合の定価を計算すると次のようになります。

• Defender CSPM：課金対象27リソース×約805円＝約21,735円
• Defender for Servers P2：20台×約2,300円＝約46,000円
• Defender for Storage：5アカウント×約1,541円＝約7,705円
• Defender for SQL：2インスタンス×約2,319円＝約4,638円

合計は月約8万円で、半分以上をServers P2が占めます。P2が必要なのが一部のサーバーだけなら、後述するP1との使い分けで大きく変わる部分です。なおStorageは、月7,300万トランザクションを超えたアカウントに100万トランザクションごと約23.5円の追加課金があり、マルウェアスキャンもスキャン量に応じて別途かかります。正確な見積もりはLearnが案内しているDefender for Cloudのコスト計算ツールで、実際のリソース数を読み込んで出すのが確実です。

30日間の無料試用と試用の対象外

有料プランは、有効化した時点から30日間、または一部プランで定められた使用量の上限に達するまで無料です。Defender for Serversの試用は開始後に停止・一時停止・延長ができないため、評価の段取りを決めてから有効化します。Defender for Storageのマルウェアスキャンは試用に含まれず、初日から課金されます。試用期間が終わると、オンのままのプランは通常料金に切り替わります。

2026年11月1日に始まるDefender for Serversの課金変更

2026年9月30日付のDefender for Cloudのリリースノートで、2026年11月1日からの変更が2点告知されました。

• クライアント端末を課金しない（P1のみ）：Windows 10/11、Windows Enterprise マルチセッション（AVD）、Ubuntu Desktop、macOSなどはサーバーとして課金されなくなる。判定はOSとデバイス情報で行い、判別できない端末はサーバー扱い。P1のLinuxサーバーは、Defender for Endpointのエージェントを入れたものだけが課金対象
• 課金台数の数え方（P1・P2）：オンラインのマシンを1時間に1回でなく複数回確認し、同じゴールデンイメージから作られてArc IDを共有するマシンも1台ずつ数える

イメージを複製してサーバーを並べている環境では、11月の請求から台数が増える可能性があります。10月中にArc接続マシンの一覧と請求上の台数を突き合わせておくと、増分の理由をすぐ説明できます。

Defender for ServersのP1とP2の選び方

Defender for ServersにはP1とP2があり、本記事の月額目安ではP2はP1の約3倍です。Learnの機能表（2026年8月10日更新）から主な違いを抜き出します。

判断の軸は「EDRで足りるか」です。各サーバーにDefender for EndpointのEDRを入れて検知できれば十分ならP1、PCI DSSのファイル整合性要件に対応したい、管理ポートを常時開けたくない、といった要件にはP2が適しています。エージェントレスの脆弱性スキャンだけが目的なら、Defender CSPMでも使えるのでP2は必須ではありません。一方、エージェントレスのマルウェアスキャンはP2にしかありません。

P2のデータ取り込み特典は1台あたり1日500MBで、サブスクリプション内の台数分を合算し、ワークスペース単位で適用されます。適用には送信先のLog AnalyticsワークスペースでもP2を有効にする必要があり、対象はSecurityEventなど所定のセキュリティデータに限られます。これはAzure Log Analyticsのワークスペース設計と保存コストで扱っている取り込み料金の一部を相殺します。

P1はリソース単位で有効化できますが、P2はサブスクリプション単位でしか有効化できません。重要サーバーだけP2にしたい場合は、サブスクリプションでP2を有効にし、残りのサーバーをスクリプト・Azure Policy・APIでP1へ切り替えるのが基本です。P2用のサブスクリプションを分ける方法や、対象外のサーバーをリソース単位で無効化する方法もあります。

Defender for Cloudの有効化手順

Azureポータルでのプラン有効化

Learnのチュートリアルに沿った手順は次のとおりです。プランのオン・オフには、サブスクリプション単位のセキュリティ管理者・共同作成者・所有者のいずれかのロールが要ります。

1. Azureポータルで「Microsoft Defender for Cloud」を開く
2. 左メニューの「環境設定」を選ぶ
3. 対象のサブスクリプション（またはAWSアカウント、GCPプロジェクト）を選ぶ
4. 「Defenderプラン」の画面で、使うプランのスイッチをオンにする
5. Serversは既定でPlan 2になるため、P1にするなら「プランの変更」でPlan 1を選んで確定する
6. 「保存」を押す

同じ画面の「すべて有効にする」は全プランを一度にオンにするボタンです。30日の試用後は全プランが課金されるので、評価目的でも必要なプランだけを個別にオンにする方が安全です。

Azure CLIでのプラン確認と有効化

複数のサブスクリプションをそろえるときは、Azure CLIの az security pricing を使います。プラン名はREST APIのpricingsリソース名で、Serversは VirtualMachines、Defender CSPMは CloudPosture、Storageは StorageAccounts です。

# Azure CLIにログイン済みであることを確認
# 操作対象のサブスクリプションを確認（変更コマンドの適用先）
az account show --query '{name:name,id:id}' -o table

# 現在のプランと試用の残り期間を一覧（JSON）
az security pricing list

# Defender for Servers を Plan 1 で有効化
az security pricing create -n VirtualMachines --tier standard --subplan P1

# Defender CSPM を有効化
az security pricing create -n CloudPosture --tier standard

# プランを無効化（Free に戻す）
az security pricing create -n StorageAccounts --tier free

--tier は standard か free を取ります。一覧のJSONでは、プランごとの pricingTier、subPlan、試用の残り時間 freeTrialRemainingTime（PT0S のようなISO 8601の期間表記）が返り、試用がいつ終わるかをここで把握できます。

AWS・GCPを接続する手順と注意点

AWSアカウントの接続

AWSは「環境設定」→「環境の追加」→「Amazon Web Services」からネイティブコネクタを作ります。2026年8月4日更新のLearnに沿った要点は次のとおりです。

• 接続単位は単一アカウントか管理アカウント。管理アカウントで作ると、配下のメンバーアカウントと新規アカウントのコネクタが自動で作られる（委任管理者アカウントは非対応）
• スキャン間隔は4・6・12・24時間から選ぶ
• 権限は「既定のアクセス」か「最小特権アクセス」を選び、AWS側にCloudFormationかTerraformでIAMロールを作る。認証はフェデレーションと短期資格情報で、長期のシークレットは保存しない
• Defender for ServersでEC2を守るには、EC2にAzure ArcとSSM Agent（AmazonSSMManagedInstanceCoreポリシー）が必要

運用で困りやすい点が2つあります。Microsoft Sentinelに接続済みのAWSアカウントはそのままではつなげず、Learnの別手順に従う必要があります。また、Defender CSPMはAWSのリソースAPIを1日に数回読み取るため、読み取りイベントを記録するCloudTrailの証跡を外部SIEMへ送っていると、取り込み量が増えます。AWS側のCSPMであるSecurity Hubとの役割の違いはAWS Security Hubの料金と有効化手順と見比べてください。

GCPプロジェクトの接続

GCPも同じ「環境の追加」から始め、プロジェクト単位か組織単位で接続します。信頼関係はWorkload Identity連携とサービスアカウントの借用で作られ、選んだスコープとプランに応じたgcloudスクリプトが生成されるので、それをGCP側で実行します。複数のGCPプロジェクトを1つのAzureサブスクリプションにまとめても、複数のサブスクリプションに分けてもかまいません。Learnは、ポータルの1画面あたり1万リソース以下に収まるよう、大きな環境ではコネクタを複数のサブスクリプションに分けることを勧めています。

セキュリティスコアの計算と推奨事項の優先順位

Azureポータルのセキュリティスコアは、MCSBの推奨事項を「セキュリティコントロール」という単位に束ねて点数化したものです。各コントロールには最大スコアが決まっていて、リソースあたりのスコアは「最大スコア÷（正常＋異常なリソース数）」、現在のスコアは「リソースあたりのスコア×正常なリソース数」で計算されます。複数のサブスクリプションをまとめたスコアは単純平均ではなく、各サブスクリプションのリソース数で重み付けされます。コントロールの再計算はサブスクリプションやコネクタごとに8時間おきで、推奨事項の方が先に更新されるため、修正直後は推奨事項とコントロールで件数がずれることがあります。プレビューの推奨事項はスコアに入りません。

改善の順番は、Learnが案内するとおり「残りの伸びしろ（潜在的なスコア増加）が大きいコントロール」から手を付けるのが基本です。たとえば多要素認証や脆弱性の修復のように最大スコアが大きいコントロールは、1つ直すだけでスコアが動きます。

Defenderポータル側には、これとは別のCloud Secure Score（リスクベース）があります。推奨事項のリスクレベルに、インターネットへの露出や機密データの有無といった資産のリスク要因と重要度を掛け合わせる別の計算式で、Azureポータルの従来スコアとは数値が一致しません。報告に使うスコアをどちらにするか、先に決めておく必要があります。

Defenderポータル（security.microsoft.com）への統合状況

Defender for Cloudは、Defender for EndpointなどがそろうDefenderポータル（security.microsoft.com）に統合されました。2025年11月25日にプレビュー、2026年5月5日に一般提供（GA）です。Learnの統合ページによると、ポータル側ではクラウドの概要ダッシュボード、クラウド資産インベントリ、Cloud Secure Score、推奨事項、攻撃パス、インシデントとアラート、高度なハンティングが使えます。

ただし最初の段階では、環境の接続・ポリシー設定・プランの有効化といった初期設定はAzureポータルで行います。Defenderポータルの画面を使えるのは有料プランを1つ以上持つ顧客で、「クラウドセキュリティ」→「概要」の「Prepare my tenant」から準備し、データが表示されるまで最大24時間かかります。サーバーで出たアラートとクラウドの設定ミスを同じインシデントとして追えるのが統合の利点で、クラウド上の検知から調査・対処までをつなぐ「クラウド検出応答（CDR）」の運用もここで行います。

GA後も両ポータルの機能は同じではありません。Learnの比較表では、Azure Workbooksによる可視化、データエクスポート、ワークフロー自動化、クイック修正、セキュリティエクスプローラー、ガバナンスルール、カスタム推奨事項はAzureポータルだけの機能です。自動化やSIEMへのエクスポートを組んでいる場合は、Azureポータルの設定を残したまま、閲覧と調査をDefenderポータルへ移す使い分けになります。

廃止・非推奨プランと移行先

2026年7月5日のリリースノートで、非推奨の5プランはプラン有効化APIでも新規の有効化ができなくなりました。既存の契約は当面そのまま使えますが、自動化スクリプトでこれらのプラン名を指定していると失敗します。

DNSの不審な通信のアラートは、2023年8月1日以降の新規サブスクリプションではServers P2に含まれています。サーバーのデータ収集に使われていたLog Analyticsエージェントは2024年8月に廃止され、Defender for Endpoint連携とエージェントレススキャンへ置き換わりました。旧版の解説で「Log Analyticsエージェントを配布する」と書かれた手順は、現在は使えません。

Defender for Cloudを入れる前に見直したい場面

Defender for Cloudは、Azureを主に使い、AWSやGCPも同じ画面で管理したい組織に向いた製品です。逆に、次の条件では構成を見直すか、別の手段を優先した方が費用と手間が合います。

• Azureを使わずAWSだけを守りたい：コネクタを置くためにAzureサブスクリプションが必要で、EC2をServersで守るにはAzure ArcとSSM Agentも入れる。AWSネイティブのSecurity HubとGuardDutyで要件を満たせるなら、そちらの方が部品が少ない
• 守りたいのがPCとサーバーのEDRだけ：2026年11月1日以降、PCはDefender for Endpointでライセンスする整理になる。サーバーもDefender for Endpoint for Serversの台数ライセンスという選択肢があり、CSPMが要らないならServersプランを経由する理由は薄い
• 全サーバーにP2をかけようとしている：見積もり例のとおり、P2が費用の半分以上を占める。FIMやJust-In-Timeが要るサーバーにはP2を適用し、残りをリソース単位でP1に変更すると、P1の対象はP2の約3分の1の単価で済む
• 評価のつもりで「すべて有効にする」を押した：30日後に全プランが課金される。試用の残り時間を az security pricing list で確認し、評価しないプランはその場で free に戻す

よくある質問

Defender for Cloudは無料で使えますか？

Foundational CSPMは無料です。サブスクリプションでDefender for Cloudを有効にすると、推奨事項、セキュリティスコア、資産インベントリ、MCSBによる評価、AWS・GCPの接続までを追加料金なしで使えます。攻撃パス分析やサーバーの脅威検出などは有料プランで、有効化から30日間の無料試用があります。

Microsoft Defender for Cloudの料金はいくらですか？

プランごとに課金単位が違います。東日本リージョンの定価を月730時間で換算すると、Defender CSPMが課金対象リソース1つあたり約805円、Defender for Servers P1が1台約773円、P2が1台約2,300円、Defender for Storageが1アカウント約1,541円です。定価は税抜で、契約や為替で変わります。

Microsoft Defenderだけでセキュリティは十分ですか？

Defender for Cloudが守るのはクラウドとサーバーのリソースです。SaaSの利用状況はDefender for Cloud Apps、メールはDefender for Office 365、他社製品を含むログの相関分析はMicrosoft Sentinelの担当で、Defender for Cloudだけでは届きません。どの領域が空いているかを先に洗い出してから、足りない製品を足すのが順序です。

Defender for Cloud Appsとは何が違いますか？

Defender for Cloud AppsはSaaSアプリの利用を可視化・制御するCASBで、Defender for Cloudとは別の製品・別のライセンスです。名前は似ていますが、Defender for CloudはAzure・AWS・GCP上のリソースの設定と脅威を見ます。

Azure Security Centerとは同じものですか？

Azure Security Center（構成評価とセキュリティスコア）とAzure Defender（ワークロード保護）を統合し、2021年11月のMicrosoft Igniteで改称したのがDefender for Cloudです。Security Centerの無料レベルは現在のFoundational CSPMに、有料のAzure Defenderは各Defenderプランに引き継がれています。旧名で書かれた解説は、画面やプラン構成を現在の仕様と照合する必要があります。ただし、Standardという課金階層名は現在のAzure CLIでも使われます。

関連記事

• Microsoft Defender CSPMとは何か？クラウドセキュリティ管理の新潮流
• CSPMとは？設定ミス検出の仕組みとCNAPPとの違い・導入判断を実装視点で解説
• CWPPとは？ワークロード保護の仕組みとCSPMとの違い・導入判断を実装視点で解説
• Microsoft Sentinelとは？クラウドネイティブSIEM/SOARの仕組み・料金モデル・Defenderポータル統合を実装者目線で解説
• Azure Arcとは？料金の無料範囲と有料機能の単価・導入手順【2026年10月】