[Entra ID] テナント制限 (TRv2) を有効化する

Last updated at 2025-11-25Posted at 2025-11-24

はじめに

テナント制限 (TRv2) を構成するためには、テナント側で 有効化 の作業が必要です。
本記事では、このテナント側の操作手順を画面キャプチャ付きで紹介しています。

注意
本記事で TRv2 を有効化するだけではテナント制限は機能しません。
以下の私の記事で説明しているステップ２（デバイスへの適用）の構成を行うことで、テナント制限が機能するようになります。

[Entra ID] テナント制限の実現方式を整理してみた
https://qiita.com/carol0226/items/6139f8c7eb2283dd6a10

1．Microsoft Entra 管理センターを開く
https://entra.microsoft.com

2．Entra ID セクションを開き、External Identities を選ぶ

3．テナント間アクセス設定 を選び 既定の設定 を選択。その後画面下部の テナント制限の既定値を編集する を押します。

4．最初は、下図の赤枠のように ポリシーの作成 と表示されているため、この部分をクリックします。

ポリシー ID が表示されている場合
「ポリシーの作成」になっておらず、ポリシー ID が表示されていた場合は、以前に、テナント制限を利用していた可能性があります。その場合はこのまま先へ進んでください。

5．以下のようにポリシー ID が発行されれば OK です。

以上の設定で、テナント側の設定は完了です。

参考：デフォルト値
この時点では、以下のように外部のユーザー・グループ・アプリケーションがすべて アクセスのブロック になっています。そのため、自組織以外のテナントの利用は、すべてブロックされるようになっています。

（外部のユーザーとグループ）

（外部アプリケーション）

公開情報：手順１：既定のテナント制限を構成する
https://learn.microsoft.com/ja-jp/entra/external-id/tenant-restrictions-v2?wt.mc_id=MVP_407731#step-1-configure-default-tenant-restrictions

この設定は、特定の提携している企業のテナントだけはアクセスを許可させたい場合に行うオプション設定です。テナント制限v2 を構成する上で「必須」ではありません。
お付き合いのある特定の外部テナントへのアクセスだけを、特別に許可したい場合のみ、設定してください。

ポイント
パートナー会社やお客様のテナントのみ許可させたい場合には、本機能を利用します。
許可したテナントにはサインインができるようになり、その他のテナントがブロックされます。

シナリオ
以下のシナリオを想定した手順です。

設定手順
1．前章に続いて テナント間アクセス設定 の 組織の設定 タブを開き、① ＋組織の追加 を押します。続いて、② の欄 に、利用を許可するテナントのドメイン名　を入力し、➂ 追加 を押します。

2．以下の通知が表示されれば OK です。

3．以下のように追加した組織が表示されるため テナント制限 の場所の赤枠（既定値から継承）を押します。

4．以下の画面で 設定のカスタマイズ を選択し、アクセスを許可 を選択します。
なお、ここで、すべてのユーザー でなくとも、特定のユーザーやグループのみに絞ることも可能です。

5．続いて、外部アプリケーション タブを選び、アクセスを許可 を選択します。
ここで、すべての外部アプリケーション でなくても、特定の外部アプリケーションを指定することも可能です。指定が終わったら保存を押します。

6．以下の通知が表示されれば OK です。

7．以下のように 構成済み に変更されれば OK です。

動作検証
このあと、テナントに参加したデバイスで InPrivate モードを開き、以下の３パターンの認証でテストし、想定通りの結果となれば、OK です。