Microsoftは2026年7月、Azure Blob StorageのSFTP（SSH File Transfer Protocol）アクセスにおいて、Microsoft Entra IDによる認証を一般提供（GA）として公開した。これまでBlob StorageのSFTP機能を使うには、ストレージアカウントごとにローカルSFTPユーザーを作成し、パスワードを個別管理する必要があった。今回のGAにより、Entra ID認証でMFA・条件付きアクセス・RBAC/ABACとの統合が可能になる。プレビュー期間中に指摘されていたABAC（属性ベースアクセス制御）の権限判定の不整合も解消され、コピーやリネームといったサブ操作への対応も加わった。

SFTPという「枯れたプロトコル」にEntra IDが統合される意味

Azure Blob StorageはネイティブでSFTPプロトコルをサポートしており、レガシーシステムやパートナー企業とのファイル連携で今も広く使われている。従来この機能を利用するには、ストレージアカウントごとにローカルSFTPユーザーを作成し、パスワードやSSH鍵を個別に管理しなければならなかった。ユーザー数が増えるほどローテーション作業や退職者アカウントの削除漏れが積み上がる、典型的な「野良アカウント」問題を抱えやすい仕組みだった。

今回のGAでは、このSFTP認証にMicrosoft Entra IDを利用できるようになった。SFTPクライアント（人間のユーザーでもサービスでも）がEntra IDで認証し、Azure RBAC（ロールベースアクセス制御）やABAC（属性ベースアクセス制御）によってコンテナ単位・パス単位でアクセス権を制御できる。MFAや条件付きアクセスポリシー（デバイス準拠、接続元IP制限、リスクベース制御など）もそのまま適用される。ローカルSFTPユーザー方式と共存できるため、既存環境から段階的に移行することも可能だ。

GA版での品質改善

プレビュー期間中はABACの権限判定に不整合があり、特定の条件下で意図しないアクセスが許可・拒否されるケースが報告されていた。GA版ではこの判定ロジックが修正され、コピーやリネームなどのサブ操作についても正しく権限チェックが行われるようになった。派手さはないが、本番採用の可否を左右する重要な品質向上だ。

実務への影響

日本の製造業・金融業では、パートナー企業とのファイル交換にいまだSFTPを使っているケースが多い。EDI連携やバッチ処理系のシステムでは、SFTPが唯一の外部インターフェースということも珍しくない。こうした環境では、ローカルSFTPユーザーの棚卸しとパスワードローテーションが、地味だが重いIT運用負荷になっている。

実務での活用ポイントは次の通りだ。

  • 既存のローカルSFTPユーザーを洗い出し、Entra ID認証への移行計画を立てる（両方式は共存可能なので段階移行できる）
  • 条件付きアクセスポリシーで接続元IPやデバイス準拠を要求し、ネットワーク層だけに頼らない認証層での制御を強化する
  • RBAC/ABACでコンテナ・パス単位の最小権限アクセスを設計する
  • サービス間連携であればマネージドIDやサービスプリンシパルを使い、そもそもパスワードという資格情報自体をなくす方向を検討する

筆者の見解

SFTPのような枯れたプロトコルは、クラウド移行後も「動いているから触らない」扱いになりがちで、結果としてID管理の穴になりやすい領域だ。今回の変更は華やかさこそないが、そこに正面からEntra IDを統合してきた点は評価したい。

ローカルSFTPユーザーのパスワード管理は、Non-Human Identities（NHI）管理が抜け落ちる典型的な現場だ。人間のアカウントはEntra IDで一元管理していても、サービス用・連携用のアカウントだけ別管理になっているケースは多く、結局そこがボトルネックになって自動化が進まない、という状況をよく見かける。今回のGAでSFTP接続もEntra IDの管制下に置けるようになったことは、ネットワーク層・認証層・認可層の3層防御という観点でも意味が大きい。

欲を言えば、常時有効な資格情報ではなく、Just-In-Timeでの一時的なアクセス権付与ともっと自然に組み合わせられる設計にしてほしいところだ。特権的なファイル転送経路ほど「常時アクセス可能」がリスクになる。とはいえ、地味な機能を一つずつID基盤に統合していくのはMicrosoftらしい堅実な仕事であり、AIをめぐる派手な競争の裏でこうした足元を固める動きこそ、Azureというプラットフォームへの信頼を支えている。目立たないニュースだが、実務で長く効いてくるのはこういうアップデートだ。

出典: この記事は Enterprise Identity Meets Secure File Transfer: Entra ID Public Preview on Azure Blob Storage SFTP の内容をもとに、筆者の見解を加えて独自に執筆したものです。