Microsoft の推奨は、グローバル管理者を5人未満にすることです。 日常の作業は、権限の小さい管理者ロール（ユーザー管理者、ヘルプデスク管理者など）に分けて、グローバル管理者は「ほかのロールでは足りないとき」だけ使う、という考え方です。2026年11月時点の公式資料にもとづいて、人数の確認と、減らし方を整理します。
この記事は、個人による非公式の解説です。仕様やプランは変わる可能性があるため、作業の前に、末尾の「参考」の公式資料を確認してください。
なぜ、5人未満なのか
グローバル管理者は、Microsoft Entra の管理設定のほとんどを、読み取り・変更できます。例外はありますが、Microsoft 365 全体の設定も、ほぼ操作できます。さらに、自分の権限を引き上げて、データを読み取ることもできます。公式資料は、「攻撃される面を小さくするため」に、人数を絞るよう勧めています。
人数が多いほど、そのアカウントが乗っ取られる可能性も、操作ミスの可能性も増えます。グローバル管理者が5人以上になると、Entra 管理センターの概要ページに、警告のカードが表示されます。
あわせて、権限の大きいロール（資格情報を更新できるロールなど）の割り当ては、10未満に抑えるのが推奨です。10を超えると、ロールと管理者のページに警告が出ます。
現在の人数を確認する
- Entra 管理センターに、サインインする
- 「Entra ID → ロールと管理者」を開く
- 「グローバル管理者」を選び、割り当てられている人（と、グループ）を確認する
- 概要ページの「グローバル管理者」のカードで、特権ロールの割り当て数も確認する
見つかった人を、「必要な人」「ほかのロールで足りる人」「すでに不要な人」に分けます。緊急用アカウントを人数に含めるかは、公式資料に明記がありません。 含めても5人未満に収まる運用が、わかりやすく安全です（これは公式資料の記載ではなく、この記事の提案です）。緊急用アカウントについては、別の記事で解説しています。
役割の分け方
Microsoft Entra には、65を超える組み込みのロールがあり、Exchange、SharePoint、Intune などのロールもあります。作業ごとに、必要最小限のロールを選びます。公式資料は、作業ごとの最小のロールを一覧にした資料（Least privileged role by task）を案内しています。
たとえば、次のようなロールがあります。
| 作業 | 検討するロール |
|---|---|
| 標準ユーザーのパスワードのリセット、サインアウト | ユーザー管理者、またはヘルプデスク管理者 |
| メールボックス・メールフローの設定 | Exchange 管理者 |
| SharePoint の設定 | SharePoint 管理者 |
| セキュリティ関連の設定 | セキュリティ管理者 |
公式資料でも、標準ユーザーのパスワードリセットは、ユーザー管理者やヘルプデスク管理者で行え、ほかの管理者のサインアウトにだけ、グローバル管理者が必要とされています。グローバル管理者は、「既存のロールでは作業できない、緊急の場面」に限って使う、というのが公式の説明です。
あわせて、次の運用も推奨されています。
- すべての管理者アカウントに、MFA を必須にする
- 日常の作業用アカウントと、管理作業用のアカウントを、分ける（管理者が、MFA を求められる回数も減ります）
- オンプレミスから同期したアカウントではなく、クラウド専用のアカウントに、ロールを付ける
- 必要なときだけ権限を使う仕組み（Privileged Identity Management。Entra ID P2 などが必要）を使い、定期的にロールの割り当てを見直す（アクセスレビュー。Entra ID Governance または P2 などが必要）
減らす手順
- 現在のグローバル管理者を、一覧にする
- それぞれの人が、普段している作業を、本人に確認する
- その作業に合う、権限の小さいロールを、先に割り当てる
- 本人が、そのロールで作業できることを確認する
- グローバル管理者の割り当てを外す
- 緊急用アカウントを含め、少なくとも、サインインできる管理者が複数いる状態を保つ
3と4を先にやるのが、作業が止まらないコツです。
設定を変える前に：影響範囲・業務が止まるか・戻し方
| 操作 | 影響範囲 | 業務が止まるか | 戻し方 |
|---|---|---|---|
| 人数と作業の棚卸し | なし（見るだけ） | 止まりません | 不要 |
| 権限の小さいロールを追加で割り当てる | 対象の1人 | 止まりません | ロールの割り当てを外す |
| グローバル管理者を外す | 対象の1人 | そのロールでは行えない作業ができなくなります（ほかの管理者のサインアウト、全体に関わる設定など） | グローバル管理者を、再び割り当てる（別のグローバル管理者が必要） |
| 最後のグローバル管理者を外す | 組織全体 | 管理作業が止まる可能性があります | 緊急用アカウントでサインインして復旧する |
外す前に、緊急用アカウントでサインインできることを確認してください。クライアントなど、他社のテナントで作業する場合は、必ず相手の承認を取り、相手の責任者と、残す管理者を決めてから行ってください。
まとめ
グローバル管理者は5人未満、権限の大きいロールの割り当ては10未満が、Microsoft の推奨です。まず、現在のグローバル管理者が何人いるかを数えてください。 5人以上なら、手順1〜4の順に、ロールを分けていくのが安全です。
自社の設定の全体を確認したい場合は、M365・社内IT 自己点検（16問・約3分・無料）も使えます。管理者の設定に関する設問が含まれています。
参考
2026年11月時点で確認した公式資料です。
- Best practices for Microsoft Entra roles：https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/best-practices
- Configure Security Defaults for Microsoft Entra ID：https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults
- Step 1 - Prevent user sign-in and block access to Microsoft 365：https://learn.microsoft.com/en-us/microsoft-365/admin/add-users/remove-former-employee-step-1?view=o365-worldwide
- Manage emergency access admin accounts：https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access