10〜50人の会社のアカウント管理：AD／Entra ID／Google Workspace／何も入れない、の判断表

小さな事業のIT・バックオフィス公開

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日

結論

  • 先に決めるのは製品ではなく、**「人の名簿の正本をどこに1つ置くか」**です。入社・退職のたびに直す場所が1か所になっていれば、どの方式でも回ります。
  • 判断を分ける前提条件は4つです。①社内に、Windowsの認証（ドメイン参加）が前提のサーバや業務ソフトがあるか ②メールとファイル共有がどのクラウドにあるか ③社外・在宅で使うパソコンが多いか ④サーバの面倒を見る人がいるか。
  • すでにMicrosoft 365かGoogle Workspaceを契約している会社は、その中にディレクトリ（利用者とグループの名簿）がすでにあります。新しく何かを入れる前に、それを正本として使い切れているかを見ます。
  • オンプレのActive Directory（AD）を新しく建てるのは、①に当てはまる場合に絞って検討します。建てた後は、サーバの更新・バックアップ・障害対応が続くためです。

料金とライセンスの区分は、この記事では扱いません。各社の公式ページで、取得日つきで確認してください。

1. 4つの方式は何が違うか

方式何であるか（公式の説明の要約）得意なこと前提・注意
オンプレのAD（Active Directory Domain Services）社内のサーバ（ドメインコントローラ）で動くディレクトリ。ドメイン参加、グループポリシー、LDAP、Kerberos／NTLMの認証を提供する社内ネットワークの中のWindowsパソコン、ファイルサーバ、ドメイン参加が前提の業務ソフトの一元管理サーバを自社で維持する。社外のパソコンやクラウドのサービスは、そのままでは対象にならない
Microsoft Entra IDクラウドで提供される、利用者・グループ・アプリへのサインインの管理。Microsoft 365の利用者の名簿はここにあるMicrosoft 365や他のクラウドサービスへのサインインの一本化、条件付きのアクセス制御、社外のパソコンを含む管理（端末の管理は別の管理サービスと組み合わせる）グループポリシーやKerberosそのものではない。パソコンを直接参加させた場合（Entra 参加）は、Entra IDのアカウントでサインインする。Microsoftの資料では、この形でも社内ネットワーク上では社内のファイルサーバ等にシングルサインオンできるとされている
Google Workspaceのディレクトリ（Cloud Identity）利用者とグループをクラウドで一元管理するサービスGoogle Workspaceと、連携したクラウドサービスへのサインインの一本化Windowsパソコンへのサインインを Googleアカウントで行う仕組み（Google Credential Provider for Windows）は、対応するWindowsのエディションが決まっている。LDAP前提の機器をつなぐ機能（Secure LDAP）は、使えるエディションが限られる。どちらも公式ヘルプで確認
何も入れないパソコンごとのローカルアカウントと、サービスごとのアカウントを、台帳で管理する導入の手間が無い名簿の正本が「台帳」になる。台帳の更新が止まると、退職者のアカウントが残る。人数が増えるほど破綻しやすい

ADとEntra IDを併用する形（社内のADの利用者・グループをEntra IDへ同期する）もあります。Microsoftは同期の仕組みとして、軽量のエージェントを社内に置き、設定をクラウド側で管理する方式（Microsoft Entra Cloud Sync）を案内しています。パソコンを社内のADに参加させたうえでEntra IDにも登録する形（ハイブリッド参加）は、Microsoftの資料によると、パソコンが定期的に社内のドメインコントローラと通信できることが前提です。社外に出たままのパソコンが多い会社には向きません。

2. 判断表：前提条件から分岐する

上から順に見て、最初に当てはまった行が出発点です。

#前提条件出発点理由
1すでに社内にADがあり、ドメイン参加が前提の業務ソフト・ファイルサーバが現役ADを続け、クラウドのディレクトリへ同期する。業務ソフトの更改のときに、ADを減らせるかを見直す動いている認証の土台を先に外すと、業務ソフトとファイルサーバが同時に止まる。外すのは、依存するものが無くなってから
2ADは無い。メールとファイル共有はMicrosoft 365Entra IDを正本にする（すでに名簿がある）。パソコンはEntra 参加を検討新しくサーバを建てずに、サインインと退職時の停止を1か所にできる
3ADは無い。メールとファイル共有はGoogle WorkspaceGoogle Workspaceのディレクトリを正本にする。他のクラウドサービスは、対応していればそこからのサインインに寄せる同上。Windowsパソコンのサインインまで寄せるかは、エディションの条件を確認してから
4ADは無い。これからドメイン参加が前提の業務ソフトを入れる予定がある業務ソフトの提供元に 「クラウドのディレクトリで動くか」を先に確認。動かない場合だけADを検討1本の業務ソフトのためにサーバの維持が始まる。代わりの構成があるなら、そちらが軽い
510人前後で、共用のパソコンが少なく、クラウドのサービスも数個何も入れず、台帳で管理。ただし下の「台帳の最低限」を満たす仕組みを入れる手間が、得られる効果を上回ることがある
65に当てはまるが、退職者のアカウントが残っていた・誰が管理者か分からない、が1回でも起きた2または3へ進む台帳の運用が回っていない合図。人数が増える前に正本を仕組みに移す

迷ったときの補助の問い

問い「はい」なら
サーバの更新とバックアップを、責任を持って続ける人が社内か委託先にいるかADを選択肢に残せる。いなければ、クラウドのディレクトリを優先
パソコンの半分以上が、社外・在宅で使われているか社内ネットワークが前提の方式（ADのみ、ハイブリッド参加）は合いにくい
MicrosoftとGoogleの両方を契約しているか正本をどちらか1つに決め、もう一方は同期または手順で追従させる。正本が2つある状態を作らない
複合機・NAS・VPN機器が、利用者の認証にLDAPやADを使っているか機器のメーカーの公式資料で、対応する認証方式を確認してから方式を決める

3. 失敗しやすい点

失敗の型起きる理由手当て
正本が2つになるADとクラウドの両方で、別々に利用者を作る作る場所を1つに決め、もう一方は同期する
管理者が1人だけ導入した人がそのまま唯一の管理者になる管理者は2人。日常用のアカウントと管理用のアカウントを分ける。管理用には2要素認証 → パスワード管理と2要素認証
ADのサーバが1台で、バックアップも無い「動いているから」で後回しになる復元の手順を1回試す。考え方は 3-2-1のバックアップ、停電対策は UPSの容量計算
共有アカウントが残る「全員で1つ」のアカウントは、誰が使ったか分からず、退職時にパスワードを変える必要がある個人ごとのアカウントに置き換える。置き換えられないものは台帳に載せる
権限を個人に付けるグループを作る手間を省く共有フォルダの権限設計

4. 「何も入れない」場合の台帳の最低限（記入して使う）

列書くこと
サービス・機器の名前メール、ファイル共有、会計、ドメイン管理、複合機、Wi-Fiなど
管理者2人。うち1人は経営者か、それに準ずる人
利用者個人ごとのアカウントか、共有か
2要素認証設定済み／未設定。回復用の手段の保管場所
退職時にやること停止／削除／パスワード変更／持ち主の移し替え
最後に確認した日半年に1回

台帳は、どの方式を選んでも残ります。ディレクトリに載らないサービス（ドメインの管理画面、銀行、機器の管理画面など）があるためです。退職時の順番は 退職・外注終了のときに止めるアカウントの一覧 にまとめています。

この記事は方式を選ぶ前の整理です。導入の手順は各社の公式ドキュメントに従い、業界のガイドラインや取引先との契約に認証の要件がある場合は、そちらを先にしてください。

出典（取得日: 2026-09-20）