Active Directory（AD）は、今も多くの企業で認証やユーザー管理の基盤として利用されています。一方、クラウドサービスや多様なデバイス、ゼロトラストを前提とする環境が広がるなか、企業ITのすべてをAD前提で設計し続けることの課題も見えています。本記事では、ADへの過度な依存が企業ITに与える影響と、段階的な見直し方を考えます。
企業ITをAD前提で構築し続けることは合理的なのか
Windows PCや社内システムの認証、ユーザ管理などを担うActive Directory（AD）は、多くの企業ITで中核的な役割を果たしてきました。エクスジェン・ネットワークスが2024年に実施した調査では、中堅企業の52.7％、中小企業の51.1％がID・アカウント管理にActive Directoryを利用していると回答しています。最新の調査ではないものの、ADが企業ITに深く組み込まれていることを踏まえれば、現在も多くの企業で利用が続いているとみてよいでしょう。
しかし、企業ITを取り巻く環境は大きく変わっています。企業が利用するシステムは社内サーバ中心からクラウドサービスへ移り、業務で使われるデバイスもWindows PCだけでなく、Macやスマートフォン、タブレットへと広がりました。従業員が社外からシステムへアクセスする機会も増え、社内ネットワークの内側と外側を明確に分ける従来の境界も曖昧になっています。こうした変化を受け、企業IT全体をAD前提で構築し続けることは、現在では必ずしも合理的な選択とは言えなくなっています。
ID管理専業ベンダーのエクスジェン・ネットワークスが公開した「数字で見るID管理2024」によると、中堅企業の52.7％、中小企業の51.1％がID・アカウント管理にActive Directoryを利用しています。
【URL】https://www.exgen.co.jp/column/ent-011.html
Microsoft自身も「ADの最小化」を打ち出す
こうしたADへの依存を見直し、認証基盤をオンプレミス中心からクラウド中心へ移行すべきという考え方は、以前から提唱されてきました。Oktaは「Rethinking Reliance on Active Directory」というホワイトペーパーの中で、Active Directoryはクラウドアプリケーションやスマートフォン、リモートワークが普及する以前に設計された技術であり、企業ITの変化に合わせて、認証基盤もクラウドを前提とした設計へ移行していく必要があると提言しています。
また、Gartnerも近年、ゼロトラストやクラウド時代に対応するため、企業の認証基盤やID管理の仕組み全体をモダナイゼーションしていく重要性を指摘しています。個別の仕組みをそれぞれ最適化するのではなく、認証やID管理の仕組みを企業全体で捉え、包括的に設計していくという考え方です。
そして2025年頃からは、Microsoft自身も、ADへの依存を段階的に減らしていく方向性を明確に示すようになりました。同社はMicrosoft Learnで公開している「クラウドへの移行」や「クラウドファーストの ID 管理: IT アーキテクト向けガイダンス」の中で、「AD 最小化」という考え方を示しています。これは、既存のADを一度に置き換えるのではなく、ADが必要なシステムは当面維持しながら、新しく導入するシステムやサービスではADへの依存を増やさず、Microsoft Entra IDを中心としたクラウドベースの認証基盤へ段階的に移行していくというものです。
では、なぜここまでADへの依存を見直す動きが広がっているのでしょうか。その背景には、企業IT全体をAD前提で構築し続けることで、運用やコスト、セキュリティ、サービス導入など、さまざまな課題が生じるようになってきたことがあります。
Oktaが公開しているホワイトペーパー「Rethinking Reliance on Active Directory」。Active Directoryへの依存を見直し、クラウド時代に適した認証基盤への移行を提言しています。
【URL】https://www.okta.com/resources/whitepapers/rethinking-reliance-on-active-directory/
MicrosoftがMicrosoft Learnで公開している「クラウドへの移行」。オンプレミスのActive Directoryへの依存を段階的に減らしていく「AD 最小化」の取り組みについて解説しています。
【URL】https://learn.microsoft.com/ja-jp/entra/architecture/road-to-the-cloud-introduction
ADに依存し続けることで生じる6つの課題
企業IT全体をAD前提で構築し続けると、具体的にはどのような課題が生じるのでしょうか。主なものとして、次の6つが挙げられます。
①運用・維持コストがかかる
オンプレミスのADを運用し続けるには、ドメインコントローラの保守や監視、バックアップ、更新、障害対策などが必要です。可用性を確保するために複数のサーバを構成したり、拠点ごとに設備を用意したりすれば、ハードウェアやライセンス、運用にかかる費用も増えていきます。
②専門知識を持つ管理者を確保しにくい
ADを安全かつ安定的に運用するには、権限設計やグループポリシー、認証方式、バックアップ、障害復旧などに関する専門知識が欠かせません。担当者の退職や異動によって運用ノウハウが失われると、管理が属人化し、設定変更やトラブル対応が難しくなる可能性があります。
③クラウドサービスとの連携が複雑になりやすい
ADを前提としないSaaSやクラウドサービスを導入する場合、Microsoft Entra IDなどのクラウドID基盤との同期や、サービスごとの認証連携が必要になることがあります。利用するサービスが増えるほど、ユーザ情報や権限、認証経路の管理も複雑になり、障害が起きた際の原因の切り分けにも手間がかかります。
④新しいサービスの選択肢が狭まる
ADを前提としていると、新しいサービスを導入する際にも「ADと連携できるか」が重要な選定条件になりがちです。本来は機能や使いやすさ、セキュリティ、業務への適合性を基準に選ぶべきサービスを採用できなかったり、認証連携のための追加開発や検証に時間と費用がかかったりする場合があります。
⑤Windows以外のデバイスを導入しにくい
MacやiPhone、iPad、Androidデバイスは、Windows PCを中心とした従来のAD環境とは異なり、MDMなどを利用したクラウドベースの管理が中心です。既存の運用に新たな管理基盤や手順を加えなければならないため、導入時の設計や検証、運用体制の整備に手間がかかり、結果としてWindows以外のデバイスを選びにくくなります。
⑥侵害された場合の影響範囲が大きい
ADにはユーザや端末、システムへのアクセス権限が集約されているため、攻撃者にとって価値の高い標的となります。特権アカウントを奪われると、サーバやPCへのアクセス権限を悪用されたり、グループポリシーを通じてマルウェアを展開されたりするなど、被害が組織全体へ広がる恐れがあります。
Ciscoは2025年11月に公開したブログで、同社のセキュリティ研究部門「Cisco Talos」が2024年に対応した重大なインシデントの60％でアイデンティティを狙った攻撃が確認され、そのうち44％がActive Directoryを標的としていたことを明らかにしています。
【URL】https://blogs.cisco.com/security/identity-driven-firewalls-shaping-the-future-of-adaptive-security
ADへの依存を減らすことは簡単ではない
このようにADへの依存にはさまざまな課題がありますが、実際には、そこから抜け出すことが難しいケースもあるでしょう。長く運用してきた企業ほど、基幹システムやファイルサーバ、業務アプリケーションなどがADと密接に結び付いており、認証基盤だけを切り離して見直すことが現実的ではないためです。グループポリシーや運用ルールも積み重なっており、移行には多くの工数と検証が必要になります。特に中堅・中小企業では、専任の担当者や十分な予算を確保できないケースもあり、見直しの必要性を認識していても、日々の運用を優先せざるを得ない企業も少なくありません。
しかし、移行が難しいからといって、現状を維持し続けるという選択は、これからの企業ITにとって大きなリスクになりかねません。対応を先送りする間にも既存システムとの結び付きは増え、運用はさらに複雑になり、将来の移行に必要な工数やコストも膨らんでいきます。
現在の企業ITに求められているのは「何を持っているか」ではなく、「変化に対応できるか」です。新しいSaaSやAI、新しいデバイスを必要だと判断したとき、すぐに導入できる企業と、「既存システムとの兼ね合いで難しい」と立ち止まってしまう企業では、時間の経過とともに競争力にも差が生まれていきます。
長年にわたり積み重ねられたADへの依存は、企業ITを支える資産である一方、新しい技術やサービスの導入を妨げるようになれば、企業の変化を阻む負債にもなり得ます。企業ITの役割は、既存システムを維持することだけではなく、経営や現場が必要とする技術を、必要なときに取り入れられる環境を整えることです。「技術的にできません」ではなく、「導入できます」と言えるIT基盤を整えておくことが、企業の変化を支える力になります。
Active Directoryを一度に置き換えることが難しいのであれば、まずは、現在どのシステムが本当にADを必要としているのかを整理し、新しく導入するシステムでは「本当にADとの連携が必要なのか」という視点で見直し、できるだけADへの依存を増やさないという考え方から始めることが重要です。こうした積み重ねが、IT基盤を「変化の足かせ」ではなく、「企業の資産」へと変えていく第一歩になるでしょう。
ADへの依存を減らし、特定のシステムやデバイスに縛られないIT基盤を整えることで、Macなどの新しいデバイスや、SaaS、AIといった新しい技術を必要なときに取り入れやすくなります。IT基盤の選択肢を広げることは、企業が新しい働き方やビジネスに挑戦できる環境をつくることにもつながります。
