Microsoft Entra ID と Junify の違い、パスワードベース SSO で共有アカウントを使わせるときの使い分け

共有アカウントを使う人が全員 Microsoft Entra ID(Microsoft の ID 管理サービス)にアカウントを持ち、ログインした後の管理が要らないなら、Entra ID のパスワードベースのシングル サインオン(SSO)で、パスワードを見せずに使わせられます。社外の人も、ゲストとして招けば使えます。Junify が補うのは、Entra ID にアカウントのない人が使う共有アカウントと、ログインした後のセッション(サービスに入ったままの状態)やダウンロード、録画、認証アプリのコードの入力まで扱いたいアカウントです。

Entra ID のパスワードベース SSO が担うこと

Entra ID は、SAML(ID 管理サービスとサービスをつなぐ規格)に対応したサービスに、会社のアカウントで一度ログインすれば入れるようにします。SAML に対応せず、ID とパスワードで入るサービスには、パスワードベースの SSO を使います。Edge か Chrome の拡張機能「マイ アプリのセキュリティで保護されたサインイン拡張機能」がログイン画面に入力します。

共有アカウントでは、管理者が使う人のグループを作ってサービスに割り当て、共有の ID とパスワードをグループに一度だけ登録します。使う人は、マイ アプリ(自分に割り当てられたサービスが並ぶ画面)でサービスを選んで入り、パスワードは表示されません。使える人は、グループの出入りで変えられます。一部のサービスでは、Entra ID がパスワードを定期的に自動で変える設定もできます。

誰がいつサービスを開いたかは、Entra ID のサインインの記録に残り、CSV で出せます。

共有アカウントの公式資料は、使う一人ずつに Entra ID P1・P2 などの契約プランを求めています。P1 は Microsoft 365 E3 や Business Premium にも含まれます。

公式資料で確かめた Entra ID の範囲

Entra ID にアカウントのない人

マイ アプリを使うには Entra ID の組織のアカウントが要り、社外の人はゲストとして自社の Entra ID に招きます。個人の Microsoft アカウントで招いたゲストは、いまは拡張機能へのサインインに対応していません。

二段階認証とログインした後の操作

認証アプリに出るコードを拡張機能が入力する機能は、公式資料では確かめられませんでした。複数人で使うときの問題は共有アカウントの二段階認証の記事にまとめています。

パスワードベース SSO の公式資料には、ログインした後のダウンロードを止める機能や、画面を録画する機能は書かれていません。別製品の Microsoft Defender for Cloud Apps はブラウザーでのダウンロードや印刷を止められますが、対象は主に SAML などでつないだサービスで、パスワードベース SSO のサービスが対象かは確かめられませんでした。

ログインした後のセッション

公式資料は、Entra ID では「アプリケーションによって発行されたセッション トークンを直接取り消すことはできません」としています。継続的アクセス評価のうち、利用者を止めたときなどにほぼすぐ効く部分は、どの契約でも使えます。対象は Exchange、SharePoint、Teams などで、最大 15 分遅れることがあり、ゲストには対応していません。パスワードベース SSO のサービスのセッションを終わらせる機能は確かめられませんでした。

Junify が担うこと

Junify では、管理者が共有アカウントを登録し、使ってよい人を決めます(割り当て)。担当者は自分のスマホの Junify アプリで本人確認をするので、Entra ID のアカウントやメールアドレスがない人も使えます。

パスワードは Chrome の拡張機能が入力して担当者には見せず、ブラウザーにもパスワードマネージャーにも保存されません。担当者がいまパスワードを知っているアカウントは、導入時に変えて Junify だけが持ちます。そのあとは割り当てを外せば入れず、退職のたびに変えて配り直す作業がなくなります。

Entra ID の拡張機能は、公式資料によるとシークレット モードや InPrivate モードには対応していません。Junify のログインは拡張機能が管理する Chrome のシークレットウィンドウで動き、業務のサービスのクッキーは普段の Chrome に入りません。管理者が遠隔でセッションを終えると、シークレットウィンドウがすべて閉じ、そのパソコンのログイン状態も消えます。位置や IP の条件から外れれば、ログインした後でもそのアカウントのタブを閉じ、そのサービスのクッキーを消します。SAML に対応していないサービスでも同じです。

誰が・いつ・どのアカウントを使ったかは一人ずつ残り、CSV で出せます。ダウンロードはアカウントごとに許可・禁止でき、アップロードと印刷は検知して管理者に知らせます。録画と AI による要約もできます。認証アプリ方式の二段階認証なら、そのコードも Junify が入力します(SMS やメールのコードは対象外)。

Entra ID と Junify を併用するとき

社員のアカウントと SAML に対応したサービスは Entra ID のままにします。

共有アカウントは、使う人が全員 Entra ID にアカウントを持ち、ログインした後の管理が要らないものは、パスワードベース SSO のままで足ります。それ以外は Junify に置きます。SAML に対応していないサービスの扱い方の全体は、SAML に対応していない SaaS に SSO に近い運用を作る方法にまとめています。

どちらが合うか

Entra ID の欄には公式資料に書かれていることだけを置き、書かれていないことは「確かめられなかった」としています(できないという意味ではありません)。

Entra ID だけで足りるのは、共有アカウントを使う人が全員 Entra ID にアカウントを持ち、記録がサインインの記録で足り、ログインした後の操作を管理しなくてよい会社です。Edge やスマホから使わせたい場合や、対応するサービスのパスワードを自動で変えたい場合も Entra ID で扱えます。

Junify が合うのは、Entra ID にアカウントのない人も共有アカウントを使う会社や、ログインした後のセッション・ダウンロード・録画・認証アプリのコードまで扱いたい会社です。