緊急用アカウント（ブレークグラス）は、クラウド専用のグローバル管理者を2つ以上作り、パスキー（FIDO2）などで守り、金庫に保管して、90日ごとにサインインを試す、というのが Microsoft の推奨です。目的は、MFA の設定ミスや担当者の退職などで、管理者全員が Microsoft 365 に入れなくなる事態から復旧することです。2026年11月時点の公式資料にもとづいて、小規模な会社が使える形に整理します。
この記事は、個人による非公式の解説です。仕様は変わる可能性があるため、作業の前に、末尾の「参考」の公式資料を確認してください。
緊急用アカウントが必要になる場面
公式資料は、次のような場面を挙げています（条件付きアクセスの設定ミスは、条件付きアクセスの公式資料にある例です）。
- 管理者全員の MFA 用の端末が使えない（携帯電話の通信障害、紛失など）
- 最後のグローバル管理者が退職した
- 条件付きアクセスの設定ミスで、全員がサインインできなくなった
- 外部の認証基盤（フェデレーション）に障害が起きた
一人情シスの会社では、「自分が使えなくなったら、誰も入れない」状態になりやすいので、小規模な会社ほど必要です。
作り方の要点
公式資料の要件を、表にまとめます。
| 項目 | 内容 |
|---|---|
| 数 | 2つ以上 |
| 種類 | クラウド専用（.onmicrosoft.com のドメイン）。オンプレミスから同期したり、フェデレーションしたりしない |
| 役割 | グローバル管理者（常時有効。Privileged Identity Management を使う場合は「資格あり」でなく「常時アクティブ」） |
| 認証方法 | パスキー（FIDO2）が推奨。すでに PKI（証明書基盤）がある会社は、証明書ベースの認証でもよい |
| 通常の管理者との違い | 通常の管理者と、同じ認証方法にしない（通常が Authenticator なら、緊急用は FIDO2 キー） |
| 個人との関係 | 特定の個人に紐づけない。社員の私物の端末にも紐づけない |
| 期限 | 認証情報や端末が、期限切れや「長期間未使用による自動削除」の対象にならないようにする |
注意したいのは、緊急用アカウントにも、MFA は必須という点です。Microsoft の必須 MFA は、Azure ポータル、Entra 管理センター、Intune 管理センター、Microsoft 365 管理センターに適用され、緊急用アカウントも例外ではありません。パスキー（FIDO2）か証明書ベースの認証にしておけば、この要件を満たせます。
手順
- Entra 管理センターで、クラウド専用のユーザーを2つ作り、グローバル管理者を割り当てる。名前は、用途がわかるものにする（例：個人名ではなく、緊急用であることがわかる名前）
- それぞれに、FIDO2 セキュリティキーを登録する（先に、組織でパスキー（FIDO2）を有効にしておく）
- 緊急用アカウント専用のセキュリティグループ（例：EmergencyAccess）を作り、2つを入れる
- ブロックや制限をかける条件付きアクセスの設定から、このグループを除外する（下で詳しく）
- キーとアカウント情報を、複数の管理担当者が取り出せる、安全な場所に保管する（公式資料は、耐火金庫を、離れた場所に分けて置くことを勧めています）
- サインインと監査のログを監視し、使われたら通知が届くようにする
- 90日ごとに、サインインを試す
条件付きアクセスの除外と、その代わりの守り
条件付きアクセスで、「特定の条件でサインインを止める」設定を作ると、緊急用アカウントも止まってしまいます。これでは、緊急時に使えません。そこで、ブロック・制限の設定からは、緊急用のグループを除外します。レポート専用モードの設定は、サインインを止めないので、除外は要りません。
除外すると、その分、このアカウントは守りが薄くなります。そのため、公式資料は次の組み合わせを求めています。
- フィッシングに強い方法（FIDO2 キーなど）で守る
- 使われたことが、すぐわかるようにする（ログの監視と通知）
- 使ったあとに、正当な使用だったかを確認する
通知の作り方として、公式資料は Azure Monitor や Microsoft Sentinel を例に挙げています。これらが使えない小規模な環境では、サインインログを定期的に見る運用で代わりにする、という方法も考えられます（これは公式資料の記載ではなく、この記事の提案です）。
設定を変える前に：影響範囲・業務が止まるか・戻し方
| 操作 | 影響範囲 | 業務が止まるか | 戻し方 |
|---|---|---|---|
| 緊急用ユーザーを作成し、グローバル管理者を付ける | 新しい2つのアカウントだけ | 止まりません | ユーザーを削除する |
| FIDO2 を有効にし、キーを登録する | 対象に指定したユーザー | 止まりません | 登録したキーを削除する、または対象を外す |
| 条件付きアクセスから、緊急用グループを除外する | 緊急用の2アカウントだけ。ほかのユーザーの条件は変わらない | 止まりません | 除外を外す |
| 除外を間違える（全員を除外する、など） | 全ユーザー | 保護が外れる可能性があります | 設定を直す。変更前に、現在の設定を控えておく |
グローバル管理者が増えるので、通常の管理者の数（Microsoft の推奨は5人未満）と、緊急用の2つを分けて管理してください。クライアントのテナントで作業する場合は、必ず相手の承認を取り、保管場所と管理者を、相手の責任者と決めてから行ってください。
90日ごとの確認
公式資料は、少なくとも90日ごとに、次の確認をするよう勧めています。IT 担当者が変わったとき、Microsoft Entra のサブスクリプションが変わったときも、同様です。
- 緊急用アカウントに、実際にサインインできるか
- キーが、管理者の誰でも取り出せる場所にあるか
- 使ってよい人の一覧が、最新か
- 緊急時の手順書が、最新か
- ログの監視と通知が、動いているか
確認のサインインをするときは、あらかじめ、セキュリティの担当者にも伝えておきます。確認の操作が、不正な使用と区別できなくなるためです。
まとめ
緊急用アカウントは、「作って終わり」ではなく、保管と確認までが仕事です。まず、いま自社に、管理者全員が使えなくなったときに入れるアカウントがあるかを確認してください。 なければ、手順1〜3から始めるのが安全です。
自社の設定の全体を確認したい場合は、M365・社内IT 自己点検（16問・約3分・無料）も使えます。管理者の設定をまとめて点検できます。あわせて、レガシー認証のブロックを設定する前にも、この緊急用アカウントを除外に入れておくと安全です。
参考
2026年11月時点で確認した公式資料です。
- Manage emergency access admin accounts：https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access
- Best practices for Microsoft Entra roles：https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/best-practices
- Plan for mandatory Microsoft Entra multifactor authentication (MFA)：https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication