CSP契約の実際と注意点 / マイクロソフトのクラウドサービスを使うなら「なにはなくともまずAzure Active Directoryが重要」その４

この記事は一連の記事の4番目の記事です。前の記事も併せてご覧ください！

以前の記事

1. マイクロソフトのクラウドサービスを使うなら「なにはなくともまずAzure Active Directoryが重要」

2. M365とAzureを同時に使うときにAzure ADはどのように構成したらいいのか？

3. CSP契約とAzure Active Directoryとの関係

理想的な状態「ではない」ケースが多数あるので注意

ここまで解説してきたことは「理想的な」お話でした。CSP契約を利用しても自組織のAzure Active Directoryを1つに保つことは可能ですし、やろうと思えば管理を任せることもできます。とくに問題ありません。

ですが、残念ながら世の中は理想的にはいかないことが多くあります。ここからは悪い例だけれどもよくあるパターンを見ていきましょう。

CSP契約に統合しようとすると苦労してしまう状況

もともとAzure Active Directoryが複数になってしまっているケースがあります。推奨できませんがすでに見てきた通り油断しているとこの形になってしまいます。実際に、多くの組織でこのような形になっています。

では、ここからCSP契約に統合して管理をお任せしていこうとするとどうなるでしょうか？

多くの場合で、既存のAzure Active Directoryを使う形ではなく、CSPベンダーが独自にAzure Active Directoryを構築しそれを保持する形の提案がなされることになります。サービスとしてどの顧客に対しても同じ形でサービスを提供しないと運用の定型化ができません。CSPベンダーの立場としては顧客の既存のAzure Active Directoryに権限をもらって運用する形は単純に面倒で、個別対応となってしまい、うまみが少なくなってしまうのです。

結果下図のようにAzure Active Directoryは複数存在することになってしまいます。

そのうえで本当に統合するならAzureサブスクリプションに関してはリソースを移行する必要が出てきます。そうしないと管理運用をすべて任せることができません。

このとき、この移行作業は実は簡単な話ではありません。単純にAzureサブスクリプションが信頼するAzure Active Directoryを切り替えれば済む話ではないのです。高額の移行作業費用が発生する場合すらありえます。