従業員テナントと外部テナントでサポートされている機能

Microsoft Entra テナントを構成するには、組織がテナントを使用する方法と管理するリソースに応じて、2 つの方法があります。

• 従業員テナント構成は、従業員、社内ビジネス アプリ、およびその他の組織リソースを対象としています。 B2B コラボレーションは、従業員テナントで外部のビジネス パートナーやゲストと共同作業するために使用されます。
• 外部テナント構成は、コンシューマーまたはビジネス顧客にアプリを公開する外部 ID シナリオでのみ使用されます。

この記事では、従業員テナントと外部テナントで使用できる機能の詳細な比較を示します。

一般的な機能の比較

次の表は、従業員テナントと外部テナントで使用できる一般的な機能を比較したものです。

外観のカスタマイズ

次の表は、従業員テナントと外部テナントで使用できる外観のカスタマイズに関する機能を比較したものです。

独自のビジネス ロジックの追加

カスタム認証拡張機能を使用すると、外部システムと統合することで、Microsoft Entra 認証エクスペリエンスをカスタマイズできます。 カスタム認証拡張機能は基本的にイベント リスナーであり、アクティブになると、独自のビジネス ロジックを定義できる REST API エンドポイントへの HTTP 呼び出しを行います。 次の表は、従業員テナントと外部テナントで使用できるカスタム認証拡張機能のイベントを比較したものです。

ID プロバイダーと認証方法

次の表は、従業員テナントと外部テナントでプライマリ認証と多要素認証 (MFA) に使用できる ID プロバイダーと方法を比較したものです。

Microsoft Entra 外部 ID で使用できる認証方法

一部の認証方法は、ユーザーがユーザー名やパスワードなど、アプリケーションにサインインするときに主な要素として使用できます。 その他の認証方法は、セカンダリ要素としてのみ使用できます。 次の表は、Microsoft Entra 外部 ID でのサインイン、セルフサービス サインアップ、セルフサービス パスワード リセット、多要素認証 (MFA) の間に認証方法を使用できる場合の概要を示しています。

メソッド	サインイン	サインアップ	パスワードのリセット	MFA
メールとパスワード
ワンタイム パスコードの電子メール送信
SMS ベースの認証
Apple フェデレーション
Facebook フェデレーション
Google フェデレーション
Microsoft 個人用アカウント (OpenID Connect)
OpenID Connect フェデレーション
SAML/WS-Fed フェデレーション

アプリケーションの登録

次の表は、それぞれのテナントの種類でアプリケーションの登録に使用できる機能を比較したものです。

アプリケーションのアクセス制御

次の表は、テナントの種類ごとにアプリケーションの承認に使用できる機能を比較したものです。

エンタープライズ アプリケーション

次の表は、従業員と外部テナントでの エンタープライズ アプリケーション の登録に使用できる一意の機能を比較しています。

エンタープライズ アプリケーションの同意とアクセス許可の機能

次の表は、テナントの種類ごとにエンタープライズ アプリケーションで使用できる同意とアクセス許可の機能を示しています。

OpenID Connect と OAuth2 のフロー

次の表は、それぞれのテナントの種類で OAuth 2.0 と OpenID Connect の承認フローに使用できる機能を比較したものです。

OpenID Connect と OAuth2 のフローでの機関 URL

機関 URL は、MSAL がトークンを要求できるディレクトリを示す URL です。 外部テナントのアプリには、常に <tenant-name>.ciamlogin.com という形式を使用します。

次の JSON は、機関 URL を含む .NET アプリケーション用の appsettings.json ファイルの例を示しています。

{
    "AzureAd": {
        "Authority": "https://<Enter_the_Tenant_Subdomain_Here>.ciamlogin.com/",
        "ClientId": "<Enter_the_Application_Id_Here>"
    }
}

条件付きアクセス

次の表は、それぞれのテナントの種類で条件付きアクセスに使用できる機能を比較したものです。

使用条件ポリシー

次の表は、テナントの各種類の利用規約ポリシーで使用できる機能を比較しています。

アカウント管理

次の表は、それぞれのテナントの種類でユーザー管理に使用できる機能を比較したものです。 表に記載されているように、特定のアカウントの種類は、招待またはセルフサービス サインアップを通じて作成されます。 テナントのユーザー管理者は、管理センターを使用してアカウントを作成することもできます。

パスワード保護

次の表は、それぞれのテナントの種類でパスワード保護に使用できる機能を比較したものです。

トークンのカスタマイズ

次の表は、それぞれのテナントの種類でトークンのカスタマイズに使用できる機能を比較したものです。

単一サインイン

シングル サインオン (SSO) を使用すると、ユーザーが資格情報を要求される回数を減らすことで、よりシームレスなエクスペリエンスを実現できます。 ユーザーは資格情報を 1 回入力します。確立されたセッションは、同じデバイスと Web ブラウザー上の他のアプリケーションが、それ以上のプロンプトを表示せずに再利用できます。 次の表は、テナントの種類ごとに SSO に使用できる機能を比較しています。

アクティビティ ログとレポート

次の表は、さまざまな種類のテナントのアクティビティ ログとレポートで使用できる機能を比較しています。

Microsoft Graph API

外部テナントでサポートされているすべての機能は、Microsoft Graph API を使用した自動化でもサポートされています。 外部テナントでプレビュー段階にある機能の一部が、Microsoft Graph を通じて一般提供される場合があります。 詳細については、「Microsoft Graph を使用して Microsoft Entra ID とネットワーク アクセス機能を管理する」を参照してください。

次のステップ

• 顧客 ID とアクセス管理 (CIAM) の計画