Microsoft Entra IDでは、人事システムやID管理製品など、外部システムを起点にユーザーを作成・更新する方法が複数あります。本記事では、代表的な4方式の違いと使い分けを整理します。
4つの方式を比較
| 方式 | 主な方向 | 主な用途 | 対象 | ライセンス・課金 |
|---|---|---|---|---|
| HRドリブン プロビジョニング | Workday / SuccessFactors → Entra ID | 対応HR製品からの自動連携 | ユーザー | Entra ID P1以上。対象ユーザーにも要件あり |
| API駆動型プロビジョニング | 任意のシステム → bulkUpload API → Entra ID | 人事マスターとの継続同期 | ユーザー | Entra ID P1以上。 |
| SCIM Provisioning API | 外部SCIMクライアント → Entra ID | SCIM 2.0による連携 | ユーザー・グループ | P1以上＋Azureサブスクリプションの関連付け＋API従量課金 |
| Microsoft Graph API | 任意のシステム → Graph API → Entra ID | 独自ロジックによる直接操作 | ユーザー・グループほか | 操作内容に応じた権限・ライセンスが必要 |
HRドリブン プロビジョニング
人事システムをID情報のマスターとして、従業員情報をEntra IDへ自動反映する仕組みです。代表例はWorkdayとSAP SuccessFactorsです。
Workday / SAP SuccessFactors → Microsoft Entra Provisioning Service → Microsoft Entra ID
オンプレミスActive Directoryを経由する構成では、Provisioning AgentとMicrosoft Entra Connectを組み合わせます。入社・異動・退職に合わせたユーザー作成、属性更新、無効化などを自動化できます。
利用にはEntra ID P1またはP2、およびHR製品側のライセンスが必要です。Microsoft公式情報では、HRシステムからプロビジョニングされる対象ユーザーについてもP1以上のサブスクリプションライセンス要件が示されています。
API駆動型プロビジョニング
独自の人事システムやCSV、DBなどの情報を、外部の自動化処理で取得・変換し、Entra IDのAPI駆動型インバウンドプロビジョニングへ投入する方式です。CSVをそのまま送信するのではなく、通常はbulkUpload APIが受け付ける形式へ変換します。
人事システム → データ取得・変換 → bulkUpload API → Microsoft Entra Provisioning Service → Microsoft Entra ID
Entra側では、属性マッピング、既存ユーザーとの照合、対象範囲（スコープ）などを設定します。これにより、同期処理の一部をProvisioning Service側に任せられます。
この機能はEntra ID P1、P2、またはEntra ID Governanceで利用できます。対象ユーザーのライセンス要件やAPI利用上限は、契約内容と最新の公式情報を確認してください。
API駆動型プロビジョニングとGraph APIの違い
Microsoft Graph APIでは、呼び出し側のプログラムからユーザーやグループを直接操作します。
人事システム → 自前の同期ロジック → Microsoft Graph API → Entra ID
既存ユーザーかどうかの判定、新規作成と更新の判断、属性差分、退職者の無効化、エラー時の再実行などを基本的に自分で実装します。
一方、API駆動型プロビジョニングでは、bulkUpload APIへデータを渡した後の照合、マッピング、スコープ判定などをProvisioning Service側に任せられます。単発の直接操作や独自処理を重視するならGraph API、人事マスターとの継続的なライフサイクル同期を重視するならAPI駆動型プロビジョニングが候補になります。
SCIM Provisioning API
SCIM Provisioning APIでは、Entra IDがSCIMサービスプロバイダーとして動作し、外部システムがSCIMクライアントとしてEntra IDのSCIMエンドポイントを呼び出します。
人事システム / ID管理製品 → SCIM 2.0 → Microsoft Entra ID
SCIM 2.0を使って、ユーザーの作成・更新・削除、グループの作成・更新・削除、グループメンバーシップの管理などを標準化された方式で実行できます。既存のID管理製品がSCIMクライアント機能を持つ場合に利用しやすい方式です。
利用にはEntra ID P1以上に加え、Azureサブスクリプションの関連付けとAPI利用料の課金設定が必要です。API呼び出しは従量課金の対象となるため、導入前に料金と上限を確認してください。
Microsoft Graph API
Microsoft Graph APIを使えば、Entra IDのユーザーやグループを直接操作できます。ユーザー作成・更新・削除、グループ作成、メンバー追加・削除などが可能です。
一般的なディレクトリ操作はEntra ID Freeでも実行できる場合がありますが、必要なアプリケーション権限、管理者同意、操作対象の機能によって条件が異なります。たとえば動的グループや特権操作など、別途P1以上が必要となる機能もあります。
コメント