はじめに

「IT保守ベンダーを変更することになった」――情シス担当者なら、一度は経験する局面です。

ところが、いざ引き継ぎが始まると、

ドメイン管理者パスワードが見つからない
誰がどのSaaSの管理者か分からない
過去のサーバー証明書更新履歴が引き継がれない
LANケーブルがどこに繋がっているか図面がない

といったトラブルが発生しがちです。

本記事では、情シス担当者・新ベンダーが旧ベンダーから受け取るべき引き継ぎ項目を30個にまとめ、技術的な観点でチェックリスト化しました。コマンド例も含めて実用的に書いています。

引き継ぎ全体のタイムライン

契約終了の3ヶ月前 ────────────► 切替日 ────────► 完了
│                                   │
├ T-90:  全契約・全資産の棚卸し       │
├ T-60:  認証情報・管理者権限の整理   │
├ T-30:  ドキュメント精査・実機確認   │
├ T-14:  新ベンダーへの引き継ぎ会議   │
├ T-7 :  権限切り替えのリハーサル     │
└ T-0 :  権限切り替え当日            ├ T+7: 旧ベンダー権限の完全削除
                                    └ T+30: 引き継ぎ漏れの最終確認

カテゴリ1：認証・アカウント情報（最重要）

旧ベンダーが管理者権限を持っているアカウントを完全に把握することが、最優先のタスクです。

✅ 1. Active Directory / Entra ID の Domain Admin / Global Admin 一覧

# AD Domain Admins メンバー一覧
Get-ADGroupMember -Identity "Domain Admins" | Select-Object Name, SamAccountName

# AD Enterprise Admins メンバー一覧
Get-ADGroupMember -Identity "Enterprise Admins" | Select-Object Name, SamAccountName

# Entra ID Global Administrator 一覧（Microsoft Graph PowerShell）
Connect-MgGraph -Scopes "RoleManagement.Read.Directory"
$role = Get-MgDirectoryRole -Filter "displayName eq 'Global Administrator'"
Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id

✅ 2. 全管理者権限ロールの棚卸し

Entra ID には Global Admin 以外にも、Exchange Administrator, SharePoint Administrator, Intune Administrator など多数のロールがあります。

# 全ディレクトリロールと割り当てメンバーを出力
Get-MgDirectoryRole | ForEach-Object {
    $role = $_
    Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id | ForEach-Object {
        [PSCustomObject]@{
            Role = $role.DisplayName
            Member = $_.AdditionalProperties.displayName
            UPN = $_.AdditionalProperties.userPrincipalName
        }
    }
} | Export-Csv -Path "EntraID_Roles.csv" -NoTypeInformation

✅ 3. SaaSサービスの管理者アカウント

代表的なSaaSと、確認すべき管理者画面：

サービス	管理者URL	確認項目
Microsoft 365	admin.microsoft.com	Global Admin、ライセンス管理者
Google Workspace	admin.google.com	特権管理者、ユーザー管理者
Slack	[workspace].slack.com/admin	Owner、Admin
Zoom	zoom.us/account	Owner、Admin、Billing Admin
Adobe Creative Cloud	adminconsole.adobe.com	System Admin、Product Admin
HubSpot	app.hubspot.com	Super Admin
AWS / Azure / GCP	各クラウド管理コンソール	Root / Owner、IAMロール

✅ 4. サービスアカウント・APIキーの一覧

人間以外のアカウント（バックアップ用、監視用、CI/CD用）も漏れなく確認。

# ServicePrincipalName が設定されたADアカウント一覧
Get-ADUser -Filter * -Properties ServicePrincipalNames |
    Where-Object { $_.ServicePrincipalNames } |
    Select-Object Name, ServicePrincipalNames

✅ 5. パスワードボルトの引き継ぎ

旧ベンダーが1Password Business / Bitwarden / LastPass などを使ってパスワードを管理している場合、

ボルト全体のエクスポート（CSV/1PUX/JSON）
各社員アカウントの所有権移管
新ベンダー側ボルトへのインポート方法

を明確化しておくこと。

カテゴリ2：ネットワーク構成

✅ 6. ネットワーク構成図（物理 / 論理）

最新版が存在しない場合は、引き継ぎ前に必ず作成依頼してください。**「現物見ながら描く」**ことを契約に含めるのが理想です。

✅ 7. IPアドレス払い出し一覧（IPAM情報）

社内VLAN 10.x.x.x/24:
  10.x.x.1     ルータ
  10.x.x.10    AD DC1
  10.x.x.11    AD DC2
  10.x.x.20    ファイルサーバー
  10.x.x.100-149  DHCPプール

CSVまたはExcelで管理されているのが理想です。

✅ 8. ファイアウォール（UTM）のルール一覧

# FortiGate例
show firewall policy
show vpn ipsec phase1-interface
show vpn ssl settings

ルールエクスポート → 新ベンダーが解読できる形式（コンフィグファイル + 解説Excel）で受領。

✅ 9. DNSレコード（社内・外部）

# 内部DNS（AD統合）のエクスポート
Get-DnsServerResourceRecord -ZoneName "example.local" |
    Export-Csv "internal_dns.csv"

外部DNSは、AWS Route53 / お名前.com / VALUE-DOMAINなどのコンソール権限を移管。

✅ 10. SSL証明書の管理状況

各証明書の発行先・有効期限・更新方法
自動更新（Let's Encrypt / ACME）の設定有無
証明書秘密鍵の保管場所

カテゴリ3：サーバー・端末

✅ 11. サーバー一覧と役割

サーバー名	OS	役割	IP	物理/仮想	保守満了日
DC01	Windows Server 2022	ADドメインコントローラ	10.x.x.10	仮想	2027/3
FILE01	Windows Server 2019	ファイルサーバー	10.x.x.20	物理	2026/9
...

✅ 12. ハイパーバイザー設定

VMware ESXi / Hyper-V / Proxmox 等のホスト設定、ライセンス、vCenter情報。

✅ 13. バックアップ設定

# Veeam Backup & Replication ジョブ一覧
Get-VBRJob | Select-Object Name, ScheduleEnabled, NextRun

バックアップ先（NAS、クラウド、テープ）
リテンション設定
復旧テストの実施履歴

✅ 14. PC資産台帳

メーカー、機種、シリアル番号、購入日、保守期限
利用者、配備拠点
BitLocker回復キー（Entra IDまたはADにエスクロー済みか）

# AD上の全コンピュータアカウントのOS情報
Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate |
    Select-Object Name, OperatingSystem, LastLogonDate |
    Export-Csv "pc_inventory.csv"

✅ 15. MDM登録状況（Intune / Jamf / Kandji）

# Intune管理対象デバイス一覧
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice |
    Select-Object DeviceName, OperatingSystem, ComplianceState |
    Export-Csv "intune_devices.csv"

カテゴリ4：ライセンス・契約

✅ 16. 全ソフトウェアライセンスの一覧

製品名、ライセンス種別（永続/サブスクリプション）、本数、有効期限
ライセンスキー、アクティベーションサーバー情報

✅ 17. SaaSサブスクリプション

契約者名義、課金プラン、自動更新の有無、解約条件
課金カード（旧ベンダー名義になっていないか要確認）

✅ 18. ハードウェア保守契約

各機器の保守業者、保守期間、24時間/平日対応の区分

カテゴリ5：ドキュメント・ナレッジ

✅ 19. 設定変更履歴

いつ、誰が、何を変更したか
変更理由（特に「なぜそういう構成になっているか」）

✅ 20. インシデント対応履歴

過去2〜3年のインシデント記録（再発リスクの把握）。

✅ 21. 運用手順書

月次・日次・週次の運用作業
緊急時の連絡フロー

✅ 22. 業務アプリケーション固有の設定

業務システム（販売管理・会計・人事等）の設定ファイル保管場所
ベンダーサポート連絡先

カテゴリ6：セキュリティ

✅ 23. アクセス権マトリクス

ファイルサーバー、SharePoint、共有フォルダの権限一覧。

# 特定共有フォルダのACL確認
Get-Acl "\\fileserver\share" | Select-Object -ExpandProperty Access |
    Select-Object IdentityReference, FileSystemRights, AccessControlType

✅ 24. EDR / アンチウイルス設定

管理コンソールURL、管理者アカウント
例外設定の一覧（誤検知対策）
検知通知の宛先

✅ 25. ログ収集状況

どのログがどこに保管されているか
保管期間（コンプライアンス要件と整合しているか）

✅ 26. インシデント対応の体制

セキュリティインシデント発生時のエスカレーション先
外部対応窓口（弁護士、JPCERT/CC、警察）

カテゴリ7：物理設備

✅ 27. サーバールーム情報

鍵の所在
入退室管理（誰が入室記録を持っているか）
電源・空調・UPSの保守業者

✅ 28. 配線図

LANケーブルがどの機器に繋がっているか
パッチパネル番号と用途
拠点間WANの物理ルート

✅ 29. 各拠点の機器設置場所

複数拠点ある場合、各拠点のラック・機器の写真・図面。

✅ 30. 廃棄予定機器

旧ベンダーが「次回廃棄予定」と認識していた機器の一覧（廃棄漏れを防ぐ）。

引き継ぎ後にやるべきこと

旧ベンダーの権限を完全削除

引き継ぎ会議が終わっても、旧ベンダーのアカウントが残っているケースがあります。契約終了後7日以内に以下を実施してください。

# Entra IDの旧ベンダーアカウント無効化
Update-MgUser -UserId "vendor-admin@yourcompany.com" -AccountEnabled $false

# AD上の旧ベンダーアカウント無効化
Disable-ADAccount -Identity "vendor-admin"

引き継ぎ漏れの最終確認

T+30（切替30日後）に、以下を確認：

旧ベンダーへの問い合わせが0件で運用できているか
月次運用作業がすべて新ベンダーで完結しているか
引き継ぎ漏れインシデントが発生していないか
旧ベンダーへの最終支払いが完了しているか

まとめ

IT保守ベンダーの切り替えは、**「契約解除」ではなく「情報の引き渡し」**です。

引き継ぎ漏れがあると、

旧ベンダーが退場した後にトラブル対応の責任者不在
セキュリティインシデント発生時に対応者がいない
ライセンス契約の自動更新で意図しない請求

といった問題が数ヶ月後に顕在化します。

契約の3ヶ月前から計画的に進めることをお勧めします。

著者

亀田英佑 / 株式会社BTNコンサルティング代表取締役
中小企業向け情シスアウトソーシング「情シス365」運営

ベンダー切り替え支援、引き継ぎテンプレート提供も対応しています。

情シス365: https://www.josis365.com
問い合わせ: https://meetings-na2.hubspot.com/e-kameta