この 2 つは役割も管理対象もまったく異なる権限です。 本記事では、混同されやすい Entra ID のグローバル管理者 と Azure サブスクリプションの所有者（Owner） の違いについて解説します。
図解：ID 管理（Entra ID）と Azure 管理（サブスクリプション）の関係
まずは全体像です。Entra ID は「人・認証」の基盤であり、 Azure サブスクリプションは「リソース・課金」の管理単位です。 管理対象が異なるため、同じ権限ではありません。
Entra ID（ID・認証の管理）
- ユーザー／グループ
- MFA・条件付きアクセス
- 管理者ロール
Azure サブスクリプション（リソース・課金）
- 仮想マシン／ネットワーク
- リソース作成・削除
- 課金管理
グローバル管理者でも Azure リソース操作は不可（RBAC が別途必要）。
Azure Owner でも Entra ID 全体の管理は不可。
図：Entra ID は「人・認証」、Azure サブスクリプションは 「リソース・課金」を管理する別の管理単位
よくある誤解
- グローバル管理者だから Azure のすべてを操作できる
- Azure サブスクリプションの Owner なら Entra ID も管理できる
- どちらか一方の権限があれば十分
これらはいずれも誤解です。 理由は、それぞれが管理する 「範囲」 が異なるためです。
Entra ID のグローバル管理者とは？
Entra ID のグローバル管理者は、 組織（テナント）全体の ID・認証を管理するための最高権限です。
主な管理対象
- ユーザーおよびグループ
- MFA・条件付きアクセス
- 管理者ロールの割り当て
注意点
グローバル管理者であっても、 Azure サブスクリプション内のリソース操作権限は持ちません。 Azure を操作するためには、Azure 側で RBAC（Owner／Contributor など）の ロール付与が別途必要です。
Azure サブスクリプションの Owner とは？
Azure サブスクリプションの Owner は、 特定の Azure サブスクリプション内のリソースを完全に管理できる権限です。
主な管理対象
- Azure 仮想マシン、ストレージ、ネットワーク
- リソースの作成・変更・削除
- RBAC（ロールベース アクセス制御）の管理
- 課金対象となるリソースの管理
注意点
Azure サブスクリプションの Owner であっても、 Entra ID 全体のユーザー管理や認証設定（MFA、条件付きアクセス等）は行えません。 それらは Entra ID 側の管理者ロールが担当します。
違いが一目で分かる比較表
| 項目 | グローバル管理者 | Azure Owner |
|---|---|---|
| 管理対象 | Entra ID（テナント全体） | Azure サブスクリプション |
| ユーザー管理 | ○ | × |
| MFA・条件付きアクセス | ○ | × |
| Azure リソース操作 | ×（RBAC が別途必要） | ○ |
| 影響範囲 | 組織全体 | 特定サブスクリプション |
まとめ
Entra ID のグローバル管理者は 「人・認証・テナント全体」の管理を、 Azure サブスクリプションの Owner は 「Azure リソースと課金」の管理を担います。
同じ「管理者」でも役割は明確に分かれているため、 実運用では最小権限の原則を意識した権限設計が重要です。