はじめに

IDaaS（Identity as a Service）とは

種類	説明
ディレクトリサービス	ユーザ、グループ、アプリケーション、デバイス、リソース操作のためのアカウント(マネージドID) を管理します。
認証	各サービスを利用するための認証基盤を担います。「SAML」や「Open ID Connect」といったフェデレーションプロトコルにより、Salesforceといったクラウドサービスへのシングルサインオン（1度の認証で複数サービスを利用可能とすること）を実現します。
ID連携(プロビジョニング)	「SCIM」といったプロビジョニングプロトコルにより外部サービスにIDを連携します。
認可	「Microsoft Graph」等の API について、許可された権限内でディレクトリのリソースを扱えるよう制御します。その際、「OAuth」, 「Open ID Connect」といったプロトコルが利用されます。
IDの保護	「Azure AD identity protection」といった機能で匿名 IP アドレスからのログイン等、リスクの高いユーザに対するアラート、また自動でサインインのブロックを行います。
Active Directory とのディレクトリ同期	「Azure AD Connect」、または「Azure AD Connect Cloud Provisioning」といったツールで、後述の「Active Directory」とディレクトリを同期します。

Microsoft 社は、Windows Server 上で Azure AD と似た名称の「Active Directory」というディレクトリサービスの機能を提供してきました。
- 近年は、PaaS 版 AD として「Azure Active Directory Domain Services」もあります。
私見ですが、以下は AD と Azure AD の違いです。

観点	Active Directory	Azure Active Directory	備考
プロトコル	LDAP, Kerberos, NTLM	SCIM, OAuth, SAML, Open ID Connect など
ドメイン	ドメインを親子関係で階層化し、複数のドメインツリーから成る「フォレスト」を形成する。	ドメインは階層化しない。別ドメインのユーザは Azure AD B2B で自ドメインに招待する。
アクセス対象	プロトコル「Kerberos」でドメインに参加したサーバーにアクセスする。	プロトコル「SAML」,「Open ID Connect」でドメイン外のクラウドサービスにアクセスするケースが多い。	「Active Directory Federation Service」を利用すれば、ADでもドメイン外のクラウドサービスにアクセスはできる。
オブジェクト	プロトコル「LDAP」により木構造で管理する。例えば、ユーザオブジェクトの場合、「cn=user,ou=accounts,dc=example,dc=com」といった DN (Distinguish Name) で表す。	木構造で管理しない。
グループポリシー	ou (Organizational Unit) にオブジェクト (ユーザ, グループ, コンピュータ等) を格納しグループポリシーを適用する。	グループポリシーはない。代わりに、Microsoft Intune と組み合わせてデバイスのアクセスを管理する。

AD では ou というユーザやグループ等のオブジェクトを格納し、グループポリシーを適用する機能があります。
Azure AD の AU はユーザやグループ等を格納できる点は類似しています。ただ、Azure AD ではグループポリシーの機能はないため、AD のようにグループポリシーを適用する利用方法はありません。AU に対して特定の管理者を割り当てることはできます。

以下では、AU にユーザを格納し、AU に対するライセンス管理者を設定する例を記載しています。

公式ドキュメントより、AU の管理者には Azure AD Premium P1 ライセンス、または、P2 ライセンスが必要です。事前に、AU の管理者とするユーザに本ライセンスを割り当てます。今回は、auadmin というユーザが該当します。
全体管理者で Azure Portal にログインし、[Azure Active Directory] - [管理単位] - [追加]を開き、AU を作成します。
i. AU の名前を設定します。

ii. AU に対する管理者を設定します。今回は、手順1 の auadmin をライセンス管理者として設定します。

iii. 最後に確認画面で AU を作成します。
[Azure Active Directory] - [管理単位] で、作成した AU を選択し、［メンバーの追加］を実行します。今回は、auuser というユーザを AU の管理対象として設定します。
AU のライセンス管理者である auadmin で Azure Portal に再ログインします。
[Azure Active Directory] - [ユーザー]より、AU の管理対象である auuser を開きます。［ライセンス］の［割り当て］が許可されていることが確認できます。
[Azure Active Directory] - [ユーザー]より、 AU で管理対象外のユーザを開きます。以下のように、ライセンスの［割り当て］が許可されていないことが確認できます。