プロジェクト終了後も、外部ユーザーのアクセスが残る

結論は、外部IDの失効を情シスの定期確認だけに依存させず、契約・委託・プロジェクトの終了日をアクセス終了の起点にすることです。各ゲストに責任を持つスポンサーを割り当てます。

なぜ外部IDは残るのか

ゲストIDは、従業員の人事マスターと連動しないことがあります。招待した担当者が異動し、契約管理者はEntra IDを見ず、情シスは契約終了を把握していない。この分断により、利用目的が終わってもアクセスが残ります。

ユーザーオブジェクトを削除するだけでは不十分な場合もあります。参加グループ、アプリ割り当て、SharePointやTeams等のリソース、アクセスパッケージ、直接付与された権限を確認する必要があります。

責任を四つに分ける

1. 契約期間と委託範囲を管理する責任
2. 外部IDを招待・発行する責任
3. 業務上の継続利用を確認するスポンサー責任
4. 期限到来時にアクセスを停止し、証跡を残す責任

同じ担当者が複数を兼ねることはできますが、誰が判断し、誰が実行し、誰が確認するかは文書で区別します。スポンサーが退職・異動した場合の再割り当ても必要です。

解決までの進め方

1. 外部IDを棚卸しする所属組織、利用目的、招待者、スポンサー、最終サインイン、アクセス先を一覧化します。
2. 契約情報と突合する契約番号、開始日、終了日、更新条件、再委託の有無をIDへ関連付けます。
3. 付与単位を整理する個別付与を減らし、グループやアクセスパッケージで必要なリソースをまとめます。
4. 有効期限を設定するプロジェクト・契約期間を基準にし、延長時は再承認を求めます。
5. アクセスレビューを行うスポンサーまたはリソース所有者が、継続理由を定期確認します。
6. 終了時の削除を確認するグループ、アプリ、共有先、SaaS側IDまで停止結果を確認します。

相談が必要な状態

• ゲストIDのスポンサーや利用目的が分からない
• 契約終了日とアクセス期限が連動していない
• 招待者が退職・異動したゲストが残っている
• 外部ユーザーへ個別権限を直接付与している
• アクセスレビューを実施しても判断根拠が残らない