新たにメンバーとなる従業員が入社する日の朝、チェックリストを片手にアカウントを作成し、グループに追加し、ライセンスを割り当て、個別のアクセス権を設定し、最後に案内メールを送る。情シス担当者にとって、見覚えのある光景ではないでしょうか。

　この一連の作業は、「Microsoft Entra Lifecycle Workflows」（ライフサイクルワークフロー）の「入社」（Joiner）ワークフローで自動化できます。このワークフローは、個人がアクセスを必要とする範囲に入るタイミング（入社日やアカウント作成日）をトリガーとして、その前後に設定されたタスクを自動実行します。入社日に合わせてグループ追加やライセンス付与、ウェルカムメール送信などを一括で実行させることが可能です。あらかじめテンプレートとして用意されたタスクを組み合わせるだけなので、複雑なスクリプトを書く必要もありません。

　なお、この機能の利用には「Microsoft Entra ID Governance」のライセンスが必要です。

異動のたびに所属や権限を手で変更する

　組織変更や異動のたびに、旧部署のアクセス権を削除し、新部署の権限を付与し直す作業も、情シスにとって負担の大きい業務です。しかも「新しい権限は付けたが、古い権限を消し忘れる」というミスは、セキュリティホールの温床になりやすいです。

　ここで役立つのが、「Microsoft Entra ID」の人事システム連携（HR-driven provisioning）とMicrosoft Entra Lifecycle Workflowsの「異動」（Mover）ワークフローの組み合わせです。人事システム側で部署や役職の属性が更新されると、それをトリガーとして新権限の付与と旧権限の削除が自動的に実行されます。Microsoft Entra Lifecycle Workflowsを通じて、入社だけでなく、ユーザーの属性やイベントに基づいて入社者、異動者、退職者に関するID関連タスクを自動化できます。

　この機能を活用するポイントは「付与」だけでなく「削除」までを仕組み化できることです。異動処理を自動化する際は、新権限の追加だけで満足せず、旧権限が確実に外れる設計になっているかを必ず確認しておきます。

退職日に慌ててアカウントを無効化する

　従業員の退職日当日、対象者の退社時刻に合わせてサインインを停止し、アクセス権を一括で削除し、各種グループから脱退させる――。こうした対応を人手で実施している場合、対応漏れや遅れがセキュリティリスクに直結します。

　この処理も、Microsoft Entra Lifecycle Workflowsの「退職」（Leaver）ワークフローで自動化できます。退職日の属性情報をトリガーに、サインインの無効化や権限の一括削除といった処理を、あらかじめ決めたスケジュールで確実に実行できます。手作業では「担当者が忘れる」「休暇中で対応できない」といった属人的なリスクがつきまといますが、自動化することでこの種の抜け漏れを構造的に減らせます。こちらもMicrosoft Entra ID Governanceライセンスが前提となる機能です。

ゲストアカウントをExcelで棚卸しする

　「Microsoft Teams」や「SharePoint」に外部ユーザーを招待したものの、誰がいつまで必要としているアクセスなのか把握しきれない。そこで、年に一度「Microsoft Excel」で一覧を書き出し、各部門にメールで確認を依頼する。こうした棚卸し業務に心当たりのある方も多いはずです。

　ここで役に立つのが、Microsoft Entraのアクセスレビュー（Access Reviews）機能です。この製品で、棚卸し作業自体をある程度自動化できます。アクセスレビュー機能は、グループのメンバーやアプリケーションに割り当てられたユーザーとして、ゲストのアクセス状況を管理する仕組みです。レビューの依頼先を、アクセス権を付与した部門やオーナー自身に設定できるため「情シスが棚卸しを肩代わりする」運用から「利用実態を知っている現場が自ら判断する」運用へと転換できます。未回答の場合に自動削除するポリシーも設定可能です。

　なお、この機能の利用には「Microsoft Entra ID P2」またはMicrosoft Entra ID Governanceのライセンスが必要です。

PCを1台ずつ開梱してセットアップする

　新入社員用のPCを情シスが開梱し、初期設定を実施、必要なアプリケーションを入れ、ポリシーを適用してから配送する。この「情シスがPCをセットアップする」プロセスも、見直しの余地があります。

　Microsoftは、Windows PCを初期設定して、すぐ業務利用できる状態にするための「Windows Autopilot device preparation」を用意しています。同製品と、MDM（モバイルデバイス管理）ツール「Microsoft Intune」を組み合わせると、未開封のデバイスをそのままユーザーに配送し、デバイスのプロビジョニング中に「Windows Autopilot device preparation」の構成を配信できます。ユーザーが初回サインインした時点で、必要なアプリケーションやポリシーがバックグラウンドで自動配布される仕組みです。

　この機能を用いると、情シスが個々の端末を開梱しOSの初期設定やアプリケーションのインストールを実施する作業は不要になります。配布するアプリケーションの一覧、適用するセキュリティ設定といった展開ポリシーを一度作成しておけば、以降に届く新規端末にも同じ内容を自動的に適用できます。対応する端末の台数が増えても、情シス側の作業量が比例して増えることはありません。ただし、対象OSや前提条件が細かく定められているため、導入前には配布する端末と設定要件の一致を確認しておく必要があります。

「PCがおかしい」と言われるたびにリモート接続する

　「PCの動きが重い」「特定のアプリケーションが起動しない」といった問い合わせのたびに、リモート接続して一時ファイルを削除し、サービスを再起動し、設定値を修正する。この繰り返し作業に多くの時間を取られている情シス担当者は少なくありません。

　Microsoft Intuneの「Remediations」（修復機能。旧称：プロアクティブな修復）を使うと、こうした定型的なトラブル対応を自動化できます。修復は、検出スクリプトと修復スクリプトのペアで構成されるスクリプトパッケージです。検出スクリプトで設定の不整合や不具合の有無をチェックし、問題が見つかった場合にのみ修復スクリプトがバックグラウンドで自動実行される仕組みです。VPN（仮想プライベートネットワーク）設定の自動補正や特定サービスの自動復旧といった用途に使われます。

　問い合わせを受けてからリモート接続して原因を切り分け、手順を1つずつ実行するという対応を、あらかじめ用意したスクリプトパッケージの実行に置き換えることができます。対象は主に「Windows 10」および「Windows 11」のEnterpriseまたはEducationエディションの端末です。

端末トラブルが発生してから後手で直す

　先に紹介した修復機能は、個別のトラブルに対して検出・修復スクリプトを実行する仕組みでした。ただし、この機能をオンデマンドで使うだけでは「ユーザーから連絡が来て、初めて対応する」という後手の運用から抜け出せません。

　修復機能のスクリプトは、対象デバイスを指定した上で定期実行するように設定できます。全端末を定期的にスキャンし、検出結果を実行レポートとして蓄積することで、ユーザーが問い合わせてくる前に「不調の兆候がある端末」を一覧で洗い出せるようになります。検出件数や修復結果をレポートで追えるため、修復が効いている領域と、まだ手作業対応が残っている領域を切り分けることも可能です。

　これにより障害の連絡を受けてから対応する運用から、レポートを見て問題の芽を先に摘む運用へ変えることが可能になります。この転換によって、情シスが対応する時点ではすでに「軽微な設定不整合」ではなく「深刻化したトラブル」になっている、という事態を避けやすくなります。

セキュリティアラートを1件ずつ人間が調査する

　セキュリティアラートが上がるたびに、担当者が関連ファイルを検証し、端末の状態を切り分け、初期対応を行う。この一連の調査業務も、全てを人力でこなすには限界があります。

　そこで紹介するのが、セキュリティツール「Microsoft Defender for Endpoint」の自動調査と修復（AIR）機能です。アナリストの調査手順を模したロジックで、アラート発生後の一次調査と初期対応を自動的に実行します。自動調査と応答の機能は、Microsoft Defenderの既定のウイルス対策保護に組み込まれています。自動化レベルは環境ごとに設定可能で、悪意ある成果物への対応を完全に自動化することも、承認を挟む形で半自動化にすることもできます。

　この機能を活用する上で大切なのは「セキュリティ判断の全てを自動化する」のではなく「一次調査は自動化し、人間は高度な最終判断に集中する」という役割分担です。なお、Microsoft LearnのAIR関連ドキュメントには、2026年9月1日以降、自動調査と応答が独立した調査エクスペリエンスとしては動作しなくなり、Microsoft Defenderのデフォルトのウイルス対策保護スタックに既に組み込まれ、自動的に実行される旨の記載があります。導入・運用にあたっては、最新の公式情報を確認することをお勧めします。

共有フォルダやTeamsのアクセス権を年1回Excelで確認する

　「ゲストアカウントをExcelで棚卸しする」の章ではゲストなど外部ユーザーの棚卸しを取り上げました。一方、社内ユーザー同士でも、異動や組織変更を経るうちに「なぜこの権限を持っているのか誰も分からない」というアクセス権が蓄積してしまうことがあります。年に一度、グループの一覧を抽出し、部門長にメールで確認を依頼し、回答を集約して手動で更新する。この作業に心当たりのある方もいるかと思います。

　社内ユーザーを対象にしたアクセスレビューの自動化も、Microsoft Entraのアクセスレビューの機能で実現できます。アクセスレビュー機能を使うと、組織のガバナンスやリスク管理、コンプライアンスの取り組みに沿って、グループメンバーシップやアプリケーションへのアクセスを制御できます。

　外部ゲストと社内ユーザーの両方にこの仕組みを適用すると、情シスがグループ一覧を抽出してメールを送り、回答を集めて手作業で反映するという一連の作業がなくなります。レビュー依頼は対象部門やオーナーに自動的に送られ、期限内に回答がなかった場合の削除処理もあらかじめ設定した内容に沿って自動実行されます。年1回の棚卸しにかかっていた工数のうち、情シスが手を動かす部分は大幅に減ります。

自動化処理が正常に動いたかを人間が毎回確認する

　ここまで自動化について紹介しました。様々な作業を自動化できることが分かりましたが、最後に大切な点をお伝えします。それは、「自動化した処理が本当に正常に動いているか」を、人間が目視で確認していないか、という点です。入退社処理の完了確認、処理ログのExcel転記、エラー件数の手動集計にまた時間を取られていては、自動化した意味が薄れてしまいます。

　この課題に対応するのが、Microsoft Entra Lifecycle Workflowsの「Workflow Insights」です。Workflow Insightsを使うと、テナント全体で集計されたワークフローの実行状況を確認できます。過去7日、14日、30日といった期間でフィルターをかけながら、成功したワークフローやタスクの件数を数値で把握できるため、正常に動いているケースを都度確認する必要がなくなります。

　自動化はゴールではなく、運用の入り口に過ぎません。人間が見るべき対象を「全ての正常ケース」から「例外、つまりエラーが発生したケースだけ」に絞り込むこと。それこそが、自動化を導入した情シスが最終的に目指すべき姿だといえるでしょう。

まとめ

　ここまで紹介した10の手作業には、共通点があります。それは、どれも「担当者の経験や勤勉さに支えられて、なんとか回っている業務」だという点です。自動化されていない状態がすぐに問題を起こすわけではないため、後回しにされやすい一方で、対応漏れや属人化のリスクは静かに積み上がっていきます。

　明日から着手できることとして、まずは自社で導入しているMicrosoft 365やEntra ID、Intuneのライセンス種別を確認し、Entra ID Governanceが含まれているかどうかをチェックすることから始めてみてください。今回紹介した10の手作業のうち、いくつかは追加コストなしで、既存のライセンス内で実現できる可能性があります。全てを一度に自動化する必要はありません。まずは自社で最も手間がかかっている、あるいは最もリスクが高いと感じる1つを選び、そこから着手することをお勧めします。