Azure Active Directoryの「既定のディレクトリ」とは

こんにちは、上坂です。

今日は久しぶりにAzureADの話です。
最近のAzureネタはデータ周りが多くネタがない、というのもありますけど。

まずAzureを最初に使い始めたときによくわからないのがAzureADの「既定のディレクトリ」ではないでしょうか。
１つしかサブスクリプションを使用していない人にはなんのことだかわからないと思います。
2つ以上のサブスクリプションを使用している方にとって、「既定のディレクトリ」とは謎の存在だと思うのです。というか私には謎の存在でした。
今日はこちらを簡単に解説したいと思います。

まず、最初に認識しておく必要があるのは、

Azureのサブスクリプションと、AzureADのディレクトリは無関係

であることです。
Azureのサブスクリプションの上位にはAzureアカウント、という管理単位があり、必ず存在しています。
Azureアカウントを作ると同時に１つ必ずサブスクリプションを作成しますので、まずAzureアカウントとサブスクリプションは１：１です。

Azureアカウント：Azureサブスクリプション＝１：１

そしてこの時に作られたAzureサブスクリプションのAzureADには「既定のディレクトリ」が作られ、Azureアカウントのユーザーが存在しています。

Azureアカウント：Azureサブスクリプション：「既定のディレクトリ」：ユーザー＝１：１：１：１

全部１つずつです。わかりやすいですね。
このサブスクリプションにユーザーを増やせば、例えば共同管理者を２人追加するなどすれば、次のようになります。

Azureアカウント：Azureサブスクリプション：「既定のディレクトリ」：ユーザー＝１：１：１：３

このユーザーですが、「既定のディレクトリ」に追加されています。

さて、問題はここからです。Azureアカウントの下には複数のAzureサブスクリプションを追加することができます。
追加したサブスクリプションに、新しい共同管理者を追加することにしましょう。すると、次の様になります。

Azureアカウント：Azureサブスクリプション：「既定のディレクトリ」：ユーザー＝１：２：１：３

ここで注意したいのは、サブスクリプションを増やしても、「既定のディレクトリ」は増えない、ということです。
「既定のディレクトリ」は、AzureADのディレクトリのことなのですが、このディレクトリはAzureアカウント、Azureサブスクリプションとは独立して存在しているのです。
その独立しているディレクトリを、サブスクリプション側が「あ、俺そこ使うわ」と関連付けているだけなのです。

「既定のディレクトリ」はサブスクリプションごとに変えることができます。変え方は簡単です。

クラシックポータルにサブスクリプションの「サービス管理者」でログインしてください。共同管理者ではダメです。
一番下の「設定」をクリックします。「既定のディレクトリ」を変更したいサブスクリプション選択状態にして、画面下の「ディレクトリの編集」をクリックします。