GDAP（詳細な委任管理者特権）とは？

Microsoftでは、お客様環境のセキュリティ強化を目的として、 パートナー企業による管理アクセスにGDAP（Granular Delegated Admin Privileges：詳細な委任管理者特権）の利用を推奨しています。

本記事では、GDAPの概要やメリット、お客様に実施いただく内容について分かりやすくご説明します。

GDAPとは？

GDAPとは、Microsoftパートナーがお客様のMicrosoft Entra テナントを管理する際に、 必要な権限のみを、必要な担当者に対して、必要な期間だけ付与できる仕組みです。

従来の管理方式（DAP）と比べ、より安全なアクセス管理が可能となり、 Microsoftが推奨するゼロトラストの考え方に沿った運用を実現できます。

なぜGDAPが必要なのですか？

近年、クラウドサービスを狙ったサイバー攻撃や不正アクセスが増加しています。 そのためMicrosoftでは、「必要最小限の権限のみを付与する」という考え方を推奨しています。

GDAPを利用することで以下のメリットがあります。

• セキュリティリスクの低減
• 不要な管理者権限の排除
• 監査・コンプライアンス対応の強化
• アクセス権限の有効期限管理
• お客様環境の安全な運用

DAPとGDAPの違い

従来のDAP

• 広範囲な管理者権限が付与される
• 権限の細かな制御が難しい
• 有効期限がない

GDAP

• 必要な権限のみ付与可能
• 担当者単位で管理可能
• 有効期限を設定可能
• Microsoft推奨の管理方式

弊社がお願いしているGDAP権限について

弊社では、お客様環境のセキュリティを考慮し、GDAPにおいて必要最小限の権限のみをお願いしております。 現在、弊社が利用するMicrosoft Entraロールは以下の2つです。

• クラウド アプリケーション管理者（Cloud Application Administrator）
• サービス サポート管理者（Service Support Administrator）

クラウド アプリケーション管理者

弊社が提供するPartnerHubストアサイトとMicrosoft Partner Centerの連携を行い、 お客様からのご注文やライセンス発注処理を円滑に実施するために利用しています。

本権限は、連携に必要なエンタープライズアプリケーションやサービスプリンシパルの管理に利用されるものであり、 お客様環境に対して広範な管理権限を行使することを目的としたものではありません。

サービス サポート管理者

お客様からご依頼いただいたMicrosoft製品・サービスに関するお問い合わせについて、 弊社がお客様に代わってMicrosoftへサポートリクエストを起票・管理するために利用しています。

これにより、お客様ご自身でMicrosoftサポートへお問い合わせいただくことなく、 弊社が窓口となって調査依頼や進捗確認を実施し、円滑なサポートをご提供することが可能となります。

お客様に実施いただくこと

GDAP利用開始時には、弊社から送付される承認依頼をグローバル管理者様にて承認していただきます。

1. 弊社からGDAP承認依頼メールを送付
2. グローバル管理者様がリンクを開く
3. 内容をご確認のうえ承認
4. 弊社によるサポート開始

なお、GDAPでは付与される権限の内容をお客様自身で確認することが可能です。

よくあるご質問（FAQ）

Q. パートナーに管理者権限を付与しても問題ありませんか？

GDAPでは必要最小限の権限のみが割り当てられるため、 従来のDAPよりも安全性が向上しています。

Q. 権限は永久に有効ですか？

いいえ。GDAPには有効期限が設定されており、期限到来後は自動的に失効します。（自動延長可）

Q. お客様側で権限を取り消すことはできますか？

はい。Microsoft 365管理センターから、いつでもGDAP関係を削除できます。

Q. 承認しない場合はどうなりますか？

弊社による対象テナント環境の管理作業やサポートの一部をご提供できなくなる場合があります。恐れ入りますが原則必須作業としてご協力お願いします。

まとめ

GDAPは、お客様環境をより安全に運用するためのMicrosoft推奨の管理者委任方式です。

• 必要最小限の権限のみ付与
• 有効期限によるアクセス管理
• セキュリティリスクの低減
• Microsoft推奨のゼロトラスト対応
• 安全かつ迅速なサポートの実現

弊社では、お客様へ安全かつ高品質なサポートをご提供するため、GDAPを利用しております。 ご理解とご協力のほどよろしくお願いいたします。