Microsoft Entra External IDとは？B2BとCIAMの違い・テナントの使い分けを実務目線で解説

自社で作ったWebアプリやサービスに、社外の人がログインする仕組みを用意したい——エンジニアをやっていると、遅かれ早かれこのテーマにぶつかります。「取引先の担当者にだけ社内の管理画面を触らせたい」「一般ユーザーがGoogleアカウントで会員登録できるようにしたい」。どちらも”社外の誰か”を認証する話ですが、実は必要になる仕組みはまったく別物です。

Microsoftの世界でこの「社外向けID管理」を担うのがMicrosoft Entra External IDです。ところが公式のMicrosoft Learnを開くと、B2B・CIAM・外部テナント・ユーザーフロー……と用語が一気に押し寄せてきて、「で、自分のケースはどれを使えばいいの？」と手が止まってしまう。私自身、External IDを触りはじめた頃にまさにここで迷いました。

「External IDって、昔のAzure AD B2Cと何が違うの？B2Bと顧客向けって結局どう使い分けるの？」

この記事は、External IDシリーズの全体像をつかむためのハブ記事です。具体的なユーザーフローの作成手順やアプリ統合は子記事に譲り、ここでは「External IDとは何者か」「B2Bと顧客向け（CIAM）の違い」「テナントの使い分け」「ユーザーフローとIDプロバイダー連携の考え方」を、公式Learnの正確さは押さえつつ日本語で噛み砕いて解説します。読み終わるころには、「自分がやりたいことにはどの仕組みを選べばいいか」を自分で判断できるようになります。

Microsoft Entra External IDとは（旧Azure AD B2Cの後継）
一番大事な使い分け：B2Bコラボと顧客向け（CIAM）の違い
外部テナントと社内テナントの使い分け
ユーザーフローとは：サインアップ／サインイン体験を”定義”する仕組み
IDプロバイダー連携：Google・Facebook・メールでサインインする
まとめ
さらに深く学ぶ：External ID 実務シリーズ

Microsoft Entra External IDとは（旧Azure AD B2Cの後継）

まず立ち位置から整理します。ふだんエンジニアがEntra ID（旧Azure AD）で管理するのは、基本的に自社の社員です。社員証を配り、部署でグループ分けし、社内のAzureやMicrosoft 365にログインさせる——これがいわば”社内向け”のID管理ですね。

これに対してMicrosoft Entra External IDは、その名のとおり社内ではなく「外部の人」を認証・管理するためのソリューションです。取引先のパートナー、業務委託先、そして自社サービスを使う一般の消費者。こうした社員以外の人たちがアプリにサインインする仕組みを、Entraの枠組みの中でまとめて提供してくれます。

ここで「あれ、それって前にあったAzure AD B2Cと同じでは？」と感じた方は鋭いです。実はExternal IDは、旧Azure AD B2Cの後継にあたります。Azure AD B2Cは、一般消費者向けのサインアップ・サインインを提供する専用サービスとして長く使われてきました。Microsoftはこの顧客向けID管理（CIAM）の機能を、パートナー向けのB2Bコラボレーションと一つのブランドに束ね、「Microsoft Entra External ID」として整理し直したわけです。

つまり、External IDは「まったく新しい別物」というより、これまで別々だった”社外向けID”の考え方を一つの傘の下にまとめた新世代のブランドだと捉えるのが正確です。B2Cという名前でノウハウを積んできた方にとっては、その延長線上にあるものと考えて差し支えありません。B2C時代の背景やキャリア面での学び方については、以前 Azure AD B2Cの基本とキャリアに活かす学び方でまとめているので、”前身”としての歴史を押さえたい方はそちらも合わせて読むと、新旧のつながりがはっきりします。

新規で学びはじめるなら、これからはB2CではなくExternal IDの外部テナントを前提に考えていくのが基本方針になります。本記事以降のシリーズも、この新しい形を軸に進めていきます。

一番大事な使い分け：B2Bコラボと顧客向け（CIAM）の違い

External IDを理解するうえで、最初にして最重要のポイントがこれです。External IDには、目的の異なる2つの使い方があるということ。ここを混同したまま設定を始めると、必ず途中で迷子になります。私も最初、この区別を曖昧にしたまま触って、後から「そもそも選ぶテナントが違った」と気づいたクチです。

B2Bコラボレーション：パートナーを”招待”して一緒に働く

1つ目がB2Bコラボレーションです。これは、取引先や業務委託先といった別の会社の人を、自社の環境に招待して一緒に作業してもらう使い方です。イメージとしては、自社ビルの受付で「ゲスト」のパスを発行して、必要な会議室にだけ入ってもらう感じですね。招待された相手はゲストユーザーとして自社のEntra IDに加わり、共有したいTeamsやSharePoint、社内アプリにアクセスできるようになります。

ここでの主役は”協業”です。相手は自分の会社のアカウント（メールアドレス）を持っている前提で、そのアカウントのまま招待メール経由でこちらの環境に入ってきます。人数も、消費者向けサービスに比べればずっと限定的。「顔の見える少数の外部関係者と、既存の社内資産を安全に共有する」のがB2Bだと考えてください。

顧客向け（CIAM）：不特定多数の消費者にサインインを提供する

2つ目が顧客向けの構成、いわゆるCIAM（Customer Identity and Access Management）です。こちらは、自社が公開しているWebアプリやモバイルアプリに、不特定多数の一般ユーザーが自分で会員登録してログインする使い方。ECサイトの新規登録、会員制サービスのサインアップ、といえばピンとくるはずです。

B2Bと決定的に違うのは、相手が”招待される人”ではなく”自分から登録してくる人”だという点です。こちらから一人ずつ招待していたら、一般公開サービスは成り立ちませんよね。だからCIAMでは、ユーザー自身が名前やメールを入力してアカウントを作れる「サインアップ画面」を用意します。しかも相手は数千・数万人規模になりうるので、ブランドに合わせた見た目のログイン画面や、Google・Facebookなどでのソーシャルログインといった、消費者向けならではの体験が重要になります。旧Azure AD B2Cが担っていたのは、まさにこの領域です。

ざっくり覚えるなら、「取引先を招く＝B2B」「お客さんを迎える＝CIAM」。招くのか、迎えるのか。この一言で自分のケースがどちらか判断できます。

この「B2Bか、CIAMか」の判断がすべての出発点になります。というのも、どちらを選ぶかで次に決める”テナント”がまるごと変わってくるからです。次の章で、そこを見ていきましょう。

外部テナントと社内テナントの使い分け

Entraの世界では、ID情報の入れ物のことをテナントと呼びます。マンションでいう一棟まるごとの建物、と考えると分かりやすいです。社員の情報が入っている自社の建物が社内テナント（従業員向けテナント）で、ここには社員のアカウントやグループ、社内アプリの設定が収まっています。

External IDを使うとき、この建物をそのまま使うのか、顧客専用の別棟を新しく建てるのかが、B2BとCIAMで分かれます。ここが今回いちばん実務に効く判断です。

B2Bは「社内テナント」をそのまま使う

パートナーを招待するB2Bコラボレーションでは、既存の社内テナントをそのまま使います。招待した相手は、その社内テナントに”ゲスト”として追加されるだけ。新しく建物を建てる必要はありません。すでに社員が使っている建物の一角に、ゲスト用の部屋を割り当てるイメージですね。

これは理にかなっています。B2Bの目的は「社内の資産を外部の人と共有すること」なので、共有したいTeamsやアプリがある社内テナントに相手を呼び込むのが自然だからです。だからB2Bのために新しいテナントを作ることは、基本的にありません。

CIAMは「外部テナント」を専用に建てる

一方、顧客向けのCIAMでは、顧客専用の「外部テナント（external tenant）」を新しく作ります。社員が入っている社内テナントとは完全に分離された、まったく別の建物です。

なぜわざわざ分けるのか。理由はシンプルで、社員と一般消費者を同じ建物に住ませたくないからです。何万人もの一般ユーザーのアカウントが、社員と同じテナントに混ざっていたら管理は混乱しますし、セキュリティ設定の粒度もまったく違います。顧客向けには、ブランドに合わせたログイン画面やソーシャルログインといった消費者向けの機能を思い切って設定したい。それを社員の環境と切り離してやるために、顧客専用の外部テナントを別途用意するわけです。

ここは旧Azure AD B2Cの流儀を引き継いでいる部分でもあります。B2Cの時代も、消費者向けには専用のB2Cテナントを別に作るのが定石でした。External IDの外部テナントは、その考え方をより新しい形にしたものだと捉えてください。

まとめると、判断はこうです。取引先を招くB2Bなら社内テナントをそのまま。お客さんを迎えるCIAMなら外部テナントを新設。「どのテナントで作業を始めるか」で最初に間違えると後戻りが大きいので、手を動かす前にこの1点だけは必ず確定させてください。

ユーザーフローとは：サインアップ／サインイン体験を”定義”する仕組み

外部テナントを用意して、いよいよ顧客向けのログイン体験を作る段になると出てくるのがユーザーフローという概念です。ここが初心者にとって最初のヤマなので、考え方だけ先に押さえておきましょう。

ユーザーフローとは、ひとことで言えば「ユーザーがサインアップ・サインインするときに、画面上で何が起きるかを定義した一連の流れ」です。会員登録のときに、メールアドレスとパスワードを聞くのか、名前や会社名も入力させるのか、メール認証を挟むのか、Googleログインのボタンを出すのか——こうした「登録・ログイン画面の振る舞い」をコードを書かずに設定として組み立てられる仕組みだと考えてください。

たとえるなら、店舗の入口に立つ受付マニュアルのようなものです。「来店したお客さまには、まず名前を伺い、次にメール認証をお願いし、Googleアカウントでの入店も受け付ける」——この受付手順をあらかじめ決めておけば、アプリ側は「うちのユーザーフローを使ってログインさせて」と指定するだけで、その手順どおりの画面が表示されます。アプリのコードにログイン画面を作り込む必要がなくなるのが、大きなメリットです。

そしてこのユーザーフローの中で、登録時にどんな情報を集めるか（属性収集）や、ログイン画面をどう自社ブランドに寄せるか（ブランディング）を設定していくことになります。実際の作成手順やブランディングのカスタマイズは、このシリーズの子記事でハンズオン形式でじっくり扱うので、ここでは「ユーザーフロー＝ログイン体験の設計図」という核だけ持ち帰ってもらえれば十分です。

IDプロバイダー連携：Google・Facebook・メールでサインインする

顧客向けのログインで欠かせないのが、IDプロバイダー（Identity Provider、略してIdP）連携です。これはユーザーフローとセットで理解しておくと、CIAMの全体像がぐっと見えてきます。

そもそもIDプロバイダーとは、「この人が本人であることを保証してくれる発行元」のことです。GoogleやFacebook、Appleといった大手アカウントがその代表格ですね。私たちが普段いろんなサービスで「Googleでログイン」ボタンを押しているとき、裏では「Googleが本人確認を代行し、その結果をサービス側が受け取る」という連携が働いています。

External IDでは、このソーシャルログインを外部テナントに組み込めるようになっています。連携先としてよく使われるのは、大きく次の考え方に分かれます。

メール＆パスワード（ローカルアカウント）は、外部のサービスに頼らず、自社の外部テナント内でユーザーが直接アカウントを作る方式です。いちばんベーシックで、まずはこれだけでも会員登録は成立します。それに加えてソーシャルIDプロバイダーとしてGoogleやFacebookなどを設定しておくと、ユーザーは新しくパスワードを覚えることなく、持っている大手アカウントでワンクリック登録できるようになります。

なぜこれが大事かというと、登録のハードルが一気に下がるからです。消費者向けサービスでは、「登録が面倒だから離脱する」ユーザーが本当に多い。パスワードを新規に設定させるより、「Googleでかんたん登録」を用意したほうが、登録完了率は目に見えて上がります。CIAMがビジネス寄りの機能だと言われるゆえんですね。

設定の流れとしては、まずGoogle側などで連携用のアプリ登録（クライアントIDとシークレットの取得）を行い、それを外部テナントのIDプロバイダー設定に登録し、最後にユーザーフローの中で「このIDプロバイダーを使う」と有効化する、という三段構えになります。ここも具体的な手順は子記事に譲りますが、「ユーザーフローという受付マニュアルの中に、どのIDプロバイダーを受け付けるかを差し込んでいく」という関係だけ押さえておけば、迷わず設定に入れます。

まとめ

この記事では、Microsoft Entra External IDの全体像を、実務で判断に迷う順に見てきました。要点を振り返っておきます。

External IDとは：社外の人（パートナー・消費者）を認証・管理するソリューション。旧Azure AD B2Cの後継で、社外向けIDを一つのブランドに束ねたもの。
B2BとCIAMの違い：取引先を”招く”のがB2B、お客さんを”迎える”のがCIAM。ここの見極めがすべての出発点。
テナントの使い分け：B2Bは社内テナントをそのまま、CIAMは顧客専用の外部テナントを新設。最初に間違えると後戻りが大きい。
ユーザーフロー：サインアップ／サインインの体験を定義する”受付マニュアル”。属性収集やブランディングもここで設定する。
IDプロバイダー連携：メール＆パスワードに加え、Google・Facebookなどのソーシャルログインを組み込める。登録のハードルを下げる要。

ここまで押さえられれば、「自分がやりたいことにはB2Bと外部テナントのどちらが必要か」という設計の入口は固まりました。あとは実際に外部テナントを作り、ユーザーフローを組み、アプリとつないでいく——手を動かすフェーズです。そこはこのシリーズの子記事で、順番に実践していきましょう。