社用・法人用のWindows PCを配布するとき、意外と決めきれないまま運用が始まってしまうのがID管理の方式です。端末ごとにローカルアカウントを作るのか、社内サーバーのActive Directoryに参加させるのか、クラウドのMicrosoft Entra IDに参加させるのか。この選択は「どの単位でアカウントを管理するか」を決めるものであり、後から変えるほど手間がかかります。この記事では、3つの方式の違いと、企業規模や運用体制に応じた選び方を整理します。
社用WindowsのID管理は大きく3方式
企業用のWindows端末におけるID管理の方式は、大きく次の3つに分けられます。
- ローカルアカウント — 端末の中だけに存在するアカウントで、その端末にログインするためだけに使われます。設定は端末単位で完結します
- Active Directory(ドメイン参加) — 社内に置いたサーバーでアカウントを集中管理し、端末をそのドメインに参加させる方式です。社内ネットワークを前提とした構成になります
- Microsoft Entra ID(クラウド参加) — クラウド側でアカウントを集中管理し、端末をクラウドのテナントに参加させる方式です。インターネット経由での管理を前提とします
なお、社内のActive Directoryとクラウドを連携させ、両方を併用するハイブリッド構成もあります。既存の社内サーバーを残しながらクラウド管理へ段階的に移していく場合に選ばれる形で、実務上は「どちらか一方」ではなくこの中間に落ち着くケースも少なくありません。
管理の観点で見た、できること・できないこと
方式の違いは、機能の多さよりも「管理者が何を一括で行えるか」に現れます。管理業務の代表的な場面ごとに比較すると違いが分かりやすくなります。
- アカウントの一元管理 — ローカルアカウントは端末ごとに独立しているため、一覧で把握する仕組みが別途必要です。Active DirectoryやEntra IDでは、管理側でアカウントをまとめて確認・操作できます
- パスワードポリシーの一括適用 — ローカル運用では端末ごとの設定に依存します。集中管理型の方式では、組織としてのポリシーを配布して揃えられます
- 端末が社外にあるときの管理 — 社内ネットワークを前提とする構成では、社外にある端末への設定反映が届きにくくなります。クラウド側での管理は、インターネットに接続していれば届きやすい構成です
- 退職・異動時の停止 — 集中管理であれば管理側の操作でアカウントを止められますが、ローカルアカウントは端末を回収するか、端末側で操作するまで止められません
ローカルアカウント運用のままだと何が起きるか
端末数が少ないうちは、ローカルアカウント運用でも大きな問題は起きません。ただし台数が増えるにつれて、次のようなずれが積み上がっていきます。
- 端末ごとに管理がばらつく — 誰がどの端末をどの設定で使っているかが端末側にしか存在せず、設定の統一が実質的に難しくなります
- 退職時に確実に止められない — 端末が返却されるまでアカウントは有効なままです。返却が遅れる、私物端末と混在している、といった状況では停止の確認ができません
- 棚卸しの対象が把握できない — そもそも「存在するアカウントの一覧」が作れないため、棚卸し自体が成立しません。台帳で補う方法もありますが、その限界についてはアカウント管理台帳(Excel)の限界で整理しています
アカウント管理の考え方そのものはアカウント管理システムの基本で扱っていますので、方式選定の前に運用ルールを確認しておくと判断しやすくなります。
選び方の目安
どの方式が適しているかは、次のような条件で概ね絞り込めます。
- 社内サーバーが既にあるか — 既にActive Directoryを運用しているなら、それを軸にするか、クラウドと連携させるハイブリッド構成が現実的です。導入済み環境での運用の穴についてはActive Directoryのアカウント管理で扱っています
- 社外・在宅で使う端末が多いか — 持ち出し前提の端末が多い場合、社内ネットワークに依存しないクラウド側の管理が扱いやすくなります。在宅勤務時の論点はテレワークのセキュリティも参考にしてください
- 管理する端末数 — 数台規模ならローカル運用でも回りますが、増えるほど集中管理の利点が大きくなります
- 情シスの体制 — 専任者がいない組織では、サーバーの維持が必要な構成は負担になりやすく、クラウド側で完結する方式のほうが運用しやすい傾向があります
持ち出す端末そのものの扱いについてはノートPC・Surfaceのアカウント管理で別途整理しています。
どの方式を選んでも共通して必要なこと
ここが最も見落とされやすい点ですが、方式の選択はアカウントの管理単位を決めるだけであり、それ自体がログインの強度を上げるものではありません。集中管理に移しても、OSログインがパスワードのみであれば、そのパスワードが漏れた時点で入られる状況は変わりません。むしろ集中管理では一つのアカウントで届く範囲が広がるため、認証の強化はセットで考える必要があります。
Windowsのログイン自体を多要素化する考え方はWindows OSログインの2要素認証、多要素認証の基礎は多要素認証の基本で解説しています。方式の検討と並行して、認証をどう強めるかも決めておくことをおすすめします。
まずは自社の状況を確認する
どの方式が自社に合うかは、端末の使われ方と運用体制によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理と認証の対応状況を確認できます。方式の見直しを検討する前の現状把握としてご利用ください。