Microsoft Agent 365とは？5月1日GA・$15/userのAIエージェント統制プレーンを徹底解説

Microsoft Agent 365の要点（3つの判断材料）

導入判断の材料は次の3点に集約されます。

位置づけ：エージェントを「作る」基盤ではなく、組織内の全エージェントを「観察・統制・防御」する統制プレーン。アイデンティティ基盤はMicrosoft Entra（Entra Agent ID）。
料金：単体は$15／ユーザー／月（約¥2,250前後）。ただしこれは統制層だけの料金で、前提ライセンス（E5等）とエージェントの構築・実行コスト（Copilot Studio／Azure消費課金）は別途かかる。
向き不向き：多数のエージェントが乱立する大企業（特にE5既存環境）には有効。エージェントが数個しかない中小企業には統制コストが見合いにくい。

そもそもAIエージェントの仕組み自体を整理したい場合は、上位概念をまとめたAIエージェントとは？仕組み・種類・できることを先に読むと、この記事の理解が早くなります。

Microsoft Agent 365とは何か（コントロールプレーンの正体）

Microsoft Agent 365は、組織内のAIエージェントを一元的に把握・制御する「エージェントのためのコントロールプレーン」です。Microsoftは2025年11月18日のIgnite 2025で「The control plane for AI agents（AIエージェントのための統制基盤）」として発表し、2026年5月1日に商用セグメント向けにGAしました。

人間の従業員にIDを与え、権限を割り当て、ログを監査し、入退社（ライフサイクル）を管理するのと同じことを、AIエージェントに対して行うのがAgent 365の発想です。エージェントにも人と同等の検証可能なID（Entra Agent ID）を付与し、条件付きアクセスや監査の対象にします。

ポイントは管理対象の広さです。Agent 365は次のすべてを横断してカバーします。

Microsoft製エージェント（Copilot Studioで作成したものなど）
サードパーティ／パートナー製エージェント
OSS・カスタム（自社開発）エージェント
ユーザー端末上で動くローカルのコーディングエージェント（いわゆるシャドウAI）
AWS BedrockやGoogle Cloud上のエージェント（マルチクラウド同期、現時点ではプレビュー）

つまりAgent 365は、特定のベンダーのエージェントだけを管理する仕組みではなく、社内に存在するあらゆるエージェントの「統合レジストリ（台帳）」兼「司令塔」として設計されています。Microsoftは「2028年までに世界で13億のAIエージェントが稼働する」というIDCの予測を引き合いに、体系的な統制の必要性を訴えています。

なぜ今Agent 365が必要なのか（シャドウAIという課題）

Microsoft 365管理センターで端末上のコーディングエージェント（シャドウAI）をIntuneポリシーでブロックする画面

出典: Microsoft Security Blog

Agent 365が登場した背景には、「統制されていないエージェントは企業にとってリスクになる」という問題意識があります。Microsoftは、ガバナンスのないAIエージェントが社内で“二重スパイ（double agents）”のように振る舞いかねないと警告しています。

具体的に懸念されるのは次のようなリスクです。

シャドウAI：情シスが把握していないエージェント（OpenClaw、GitHub Copilot CLI、Claude Codeなどのコーディングエージェント）が従業員のPCで勝手に動いている。
過剰権限：エージェントが必要以上のデータ・ツールにアクセスできてしまう。
データ漏洩：エージェント経由で機密データが外部に流出する。
プロンプトインジェクション：悪意ある指示を埋め込まれ、エージェントが意図しない動作をする。

こうしたリスクは、エージェントが「便利だから」と現場主導で増えるほど深刻になります。実際、Copilot系エージェントを介したデータ流出の手口は具体的に指摘されており、Copilotエージェント経由の情報漏洩リスクやOpenClawの危険性と安全な使い方で扱われているような問題が、企業規模で同時多発しうる状況になっています。

Agent 365は、この「乱立するエージェントをまず可視化し、最小権限とポリシーで囲い込み、脅威を検知する」という三層の防御を1つの基盤で提供することを狙っています。AIエージェント全般の守り方を体系的に押さえたい場合はAIエージェントのセキュリティ完全ガイドも合わせて確認してください。

3本柱：Observe・Govern・Secure

Microsoft Defenderのエージェントマップでエージェント・人・データのつながりを可視化する画面

出典: Microsoft Security Blog

Agent 365の機能は「Observe（観察）」「Govern（統制）」「Secure（防御）」の3本柱で整理されています。それぞれが既存のMicrosoft 365管理センター・Entra・Purview・Defenderと連携して動く点が特徴です。

柱	役割	主な構成要素
Observe（観察）	エージェント環境をリアルタイムに可視化。導入状況・アクティビティ・正常性を一元的に把握し、リスクシグナルを早期検知	エージェントレジストリ、レジストリ同期、エージェントマップ
Govern（統制）	ライフサイクル管理・アクセス制御・コンプライアンスを企業全体で統一。適切な権限・ポリシー・レビューを徹底	Microsoft 365管理センター、Microsoft Entra、Microsoft Purview
Secure（防御）	Microsoftのエンタープライズ級ID・データ・脅威防御をAIエコシステム全体に拡張。エンドツーエンドで保護	Entra（リスクベースアクセス制御）、Purview（情報保護・DLP）、Defender（脅威検知・リアルタイム保護）

Observe（観察）：まず全エージェントを台帳化する

Observeの中心はエージェントレジストリです。組織内のすべてのエージェントを単一ビューでインベントリ化し、導入・アクティビティ・正常性を把握します。さらにエージェントマップでエージェント・人・データのつながりを可視化し、Microsoft DefenderとIntuneの連携で、ユーザー端末上のコーディングエージェント（シャドウAI）も検出します。未承認のエージェントは隔離（quarantine）も可能です。

Govern（統制）：権限とライフサイクルを最小権限で締める

Governでは、Microsoft 365管理センター・Entra・Purviewから、エージェントのオンボード／非アクティブ化といったライフサイクル管理、アクセス制御、コンプライアンス、レビューを一元的に実施します。ユーザー・データ・ツール・MCPサーバーへのアクセスを最小権限で制御するのが基本方針です。

Secure（防御）：ID・データ・ランタイムの三層で守る

Secureは、Entra Agent IDによるID・認証・条件付きアクセス、Purviewによる情報保護・DLP、Defenderによる継続的な脅威検知・リアルタイム保護を組み合わせます。マルウェア的な挙動を示すコーディングエージェントのランタイムブロックや、危険なWeb宛先への接続制限、プロンプトインジェクション対策などが含まれます（一部のDefender拡張機能は2026年6月以降に順次提供とされ、時期は流動的です）。

「作る」Copilot Studioと「統制する」Agent 365の役割の違い

多くの担当者が最も混同しやすいのが、Agent 365・Copilot Studio・Microsoft Agent Frameworkの役割の違いです。役割は明確に分かれており、前者2つは「作る・実行する」側、Agent 365は「横断して統制する」側です。

製品	主な役割	対象ユーザー	できること
Copilot Studio	エージェントを作る（ローコード）	業務部門・市民開発者	ノーコード／ローコードでエージェント構築・公開
Microsoft Agent Framework	エージェントを作る（プロコード）	開発者	SDKでカスタムエージェントを開発
Microsoft Foundry	エージェントを作る・実行する	開発者・MLエンジニア	モデル選択を含むエージェント開発・運用基盤
Microsoft Agent 365	作られたエージェントを統制する	情シス・セキュリティ管理者	観察・統制・防御を横断適用
Microsoft Entra（Agent ID）	エージェントにIDを与える	情シス	認証・条件付きアクセス・IDガバナンス

つまり実際の運用では、Copilot Studioで文書処理エージェントを作り、Agent 365でそのガバナンスを管理するといった「作る側＋統制する側」の組み合わせになります。Microsoft製エージェントの作り方そのものを知りたい場合はMicrosoft 365 Copilotエージェントとはで構築側を整理しています。

「Microsoftのモデルだけ」ではないという誤解

Agent 365をめぐる典型的な誤解が、「Microsoftの独自モデルしか統制できないのでは」というものです。実際にはエージェントが動くモデルは複数系統あり、Agent 365はそれらで動くエージェントを横断して統制します。

OpenAI（GPT系）：Copilotの既定モデル群
Microsoft MAI（自社モデル）：プレビュー提供
Anthropic Claude（Foundry経由）：Copilot Studioのモデルピッカーから選択可
オープンウェイト（DeepSeek／Qwen／Llama等）

Agent 365自体はモデルを動かす製品ではなく、どのモデルで作られたエージェントであっても「統制する」点が特徴です。

Agent 365でできること（主要機能）

Agent 365の機能は、3本柱（Observe・Govern・Secure）に加えて、開発・運用を支える要素で構成されています。主要なものを整理します。

エージェントレジストリ：Microsoft製・非Microsoft製を含む全エージェントの統合台帳。
レジストリ同期（プレビュー）：AWS BedrockやGoogle Cloudのエージェントを自動発見しインベントリに同期。
エージェントマップ：エージェント・人・データの関係を可視化。
ローカル／クラウドエージェント検出：Defender＋Intune連携で端末上のシャドウAIを発見。
Entra Agent ID：エージェントに検証可能なIDを付与し、条件付きアクセス・IDガバナンス・ネットワーク制御を適用。
Work IQ／ツールカタログ：Copilot・カレンダー・メール・SharePoint・OneDrive・Teams・Word・Dataverse／Dynamics 365などに、安全かつ監査可能にアクセスするツール群。
Tools Gateway：自前（BYO）のMCPサーバーをゲートウェイ経由でルーティングし、管理センターから統制・可観測性を確保。
Agent 365 SDK／CLI：開発者向けの構成・自動化手段。
Windows 365 for Agents（米国プレビュー）：エージェント専用の管理されたクラウドPC環境。

MCP（Model Context Protocol）はAgent 365が外部ツールやデータに安全につなぐ際の前提技術です。MCPそのものを理解したい場合はMCPとは？仕組みとできることを参照してください。

対応エージェントの動作モード（GA・プレビューの差）

Agent 365が管理できるエージェントには複数の「動作モード」があり、提供状況が異なります。ここを混同すると「自律エージェントが今すぐ使える」と誤解しやすいので、表で切り分けます。

動作モード	概要	提供状況
delegated access（OBO／委任アクセス）	ユーザーに代わって動作	GA
own access（裏方動作）	独立した認証情報で動作	GA
own access（チームワークフロー）	チームのワークフローで動作	Public Preview
Agent identity authentication（完全自律）	エージェント自身のIDで自律動作	Frontier program（限定）

委任型と裏方動作型はGAで利用できますが、完全自律モードは限定プログラム（Frontier）扱いで一般提供ではありません。「自律エージェントをすぐに本番投入できる」と期待して発注すると、提供状況のギャップに直面します。

GA機能とプレビュー機能の切り分け（誤発注を防ぐ）

Amazon Bedrockのエージェントをレジストリに同期するプレビュー機能の画面

出典: Microsoft Security Blog

GA直後のため、「提供済み」と「プレビュー／今後提供予定」が混在しています。導入判断を誤らないよう、現時点（2026年6月）の整理を示します。

機能	提供状況（2026年6月時点）
エージェントレジストリ／管理センターでの統制	GA
委任アクセス・裏方動作エージェントの管理	GA
Entraネットワーク制御のCopilot Studioエージェント拡張	GA
ローカル／クラウドエージェント検出（シャドウAI）	GA
マルチクラウドレジストリ同期（AWS／Google）	プレビュー
Windows 365 for Agents	米国プレビュー
チームワークフロー型エージェント	Public Preview
完全自律（Agent identity authentication）	Frontier program（限定）
アセットコンテキストマッピング	2026年6月以降順次提供

プレビュー機能は仕様・提供時期が変わりやすいため、PoC（実証）の範囲を「GA機能」に絞ると安全です。

Microsoft Agent 365の料金とTCO（隠れコストに注意）

Agent 365の料金はユーザー単位で、単体プランは$15／ユーザー／月です。ただし、これは統制層（ガバナンス・セキュリティ）の料金だけであり、実際の総保有コスト（TCO）はもう少し複雑です。

プラン	価格（米国）	円換算の目安	備考
Microsoft Agent 365 単体	$15／ユーザー／月	約¥2,250前後／ユーザー／月	年契約・スタンドアロン提供
Microsoft 365 E7（Agent 365含むバンドル）	$99／ユーザー／月	約¥14,800前後／ユーザー／月	E5＋M365 Copilot＋Entra Suite＋Agent 365を統合した新スイート

※円換算は為替・改定で変動します。$15／$99を主、円換算を従として見るのが安全です。

実際にいくらかかるか（3つのコストを分けて考える）

導入判断で重要なのは、$15だけを見ないことです。実際には次の3つが積み上がります。

統制層の料金：Agent 365本体（$15／ユーザー／月、またはE7 $99に内包）。
前提ライセンス：公式は「Microsoft 365 E5を前提とする場合に最適」とし、少なくとも有資格ライセンスが必要。第三者情報ではE5、またはDefender＋Purviewスイート＋FLW、もしくはBusiness Premiumのいずれかが前提とされます（厳密な組み合わせは公式ライセンスFAQで要確認）。
構築・実行コスト：エージェントを動かす推論消費はAgent 365に含まれず、Copilot Studio／Azureの消費課金として別途請求されます（例：Copilot Studio容量パック$200／月＝25,000クレジット、従量$0.01／クレジット、繰り越し不可）。

ここで注意したいのが「2請求分割」です。ガバナンス層はMicrosoft 365請求（席数ベースで予測しやすい）、実行は Azure 請求（従量で変動する）に分かれるため、部署をまたぐと予算の可視性にギャップが生じます。Microsoftはper-agentのコスト見積りツールを提供していますが、ガバナンス＋消費を統合した公式TCOモデルは現時点では未提供で、自社試算が必要です。

なお、1ユーザーが委任型（OBO）エージェントを複数動かしてもライセンスは1本で済む設計です。これは従来の「per-agent-instance（エージェント数）」課金から「per-user（人）」課金へのモデル転換と整理されています。一方、E7はE5＋Agent 365等を統合し、個別合算（約$117）よりも約15%圧縮された価格設定になっているとの情報があります（差額は準公式情報のため、実見積もりは販売チャネル＝EA／EAS／MCA-E／CSPで要確認）。

セキュリティ設計：Entra Agent IDという思想

Agent 365のセキュリティの核は「エージェントにも人と同じIDを与える」という設計思想です。これを担うのがEntra Agent IDで、エージェントに検証可能なIDを付与し、条件付きアクセス・IDガバナンス・IDプロテクション・ネットワーク制御の対象にします。

実装面では、防御を三層で重ねます。

最小権限：承認済みリソースにだけアクセスさせる（Entraの条件付きアクセス）。
情報保護・DLP：Purviewでデータリスクを可視化し、流出を防ぐ。
ランタイム脅威検知：Defenderが実行中の不審な挙動を検知・ブロックする。

特に、ユーザー端末上で動くコーディングエージェント（OpenClawやClaude Codeなど）をシャドウAIとして検出し、危険なWeb宛先への接続制限やプロンプトインジェクション対策を行える点が、従来のエンドポイント管理にはなかった強みです。

競合（Gemini Enterprise／AWS Bedrock AgentCore）との違い

エージェント統制プレーンはMicrosoftだけの概念ではありません。GoogleとAWSも同様の基盤を提供しており、選定時は「既存のクラウド・ID基盤との親和性」で考えるのが現実的です。

観点	Microsoft Agent 365	Google Gemini Enterprise	AWS Bedrock AgentCore
立ち位置	全エージェントの統制プレーン	エージェント構築・運用基盤	エージェント運用・実行基盤
ID基盤	Microsoft Entra（Agent ID）	Google Cloud IAM	AWS IAM
親和性が高い環境	Microsoft 365／Azure既存環境	Google Workspace／GCP環境	AWS既存環境
マルチクラウド	AWS／Googleのエージェントも同期（プレビュー）	主にGoogle中心	主にAWS中心
強み	Office連携・既存セキュリティ製品との統合	Gemini連携・検索／データ基盤	Bedrockモデル群との統合

Microsoft 365 E5をすでに全社導入している企業にとっては、Entra・Purview・Defenderという既存資産をそのままエージェント統制に拡張できる点が最大の差別化要因です。エージェントを作る側の選択肢を広く見たいならAIエージェントおすすめ・主要フレームワークも合わせてどうぞ。

導入の始め方：情シスがまず準備すること

Agent 365の導入は「いきなり全社展開」ではなく、可視化から段階的に進めるのが現実的です。実務での進め方を整理します。

シャドウAIの棚卸し：Defender＋Intuneでローカルのコーディングエージェントを検出し、社内に何が存在するかを把握する。
前提ライセンスの確認：自社がE5（または有資格ライセンス）要件を満たしているかを公式ライセンスFAQで確認する。
レジストリで台帳化：エージェントレジストリにエージェントを登録し、導入・アクティビティ・正常性を可視化する。
最小権限ポリシーの設計：Entraの条件付きアクセスとPurviewのDLPで、アクセス範囲とデータ保護を定義する。
PoCはGA機能に限定：マルチクラウド同期や自律モードなどプレビュー機能は検証範囲から切り分ける。
コスト試算：$15だけでなく、前提ライセンスとCopilot Studio／Azureの消費課金を含めたTCOで判断する。

なお、Microsoft 365チャネル経由でEntra Agent ID登録されたエージェントは自動検出されますが、それ以外は接続・登録の追加手順が必要です。Accenture・Deloitte・PwC・KPMG・TCSなどのサービスパートナーが、導入ワークショップやガバナンス設定のマネージドサービスを提供しています。

こんな企業におすすめ

Agent 365が効果を発揮するのは、エージェントの「数」と「統制の必要性」が一定以上ある企業です。

すでにMicrosoft 365 E5を全社導入しており、Entra・Purview・Defenderを活用している大企業
Copilot StudioやサードパーティのAIエージェントが部門ごとに乱立し始め、統制が追いついていない組織
規制業界（金融・医療など）で、エージェントの監査ログ・最小権限・データ保護を厳格に求められる企業
従業員端末でコーディングエージェント（シャドウAI）が広がりつつあり、可視化と防御を急ぎたい情シス

よくある質問（FAQ）

Q. Microsoft Agent 365はエージェントを作れますか？
いいえ。Agent 365はエージェントを「作る」基盤ではなく、作られたエージェントを横断して観察・統制・防御する統制プレーンです。構築はCopilot StudioやMicrosoft Agent Frameworkが担います。

Q. $15／ユーザー／月だけで使えますか？
使えません。$15は統制層のみの料金です。前提ライセンス（E5など）と、エージェントの構築・実行にかかるCopilot Studio／Azureの消費課金が別途必要です。TCOで判断してください。

Q. Microsoft製以外のエージェントも管理できますか？
できます。サードパーティ製・OSS・カスタム、さらに端末上のコーディングエージェント（シャドウAI）も対象です。AWS／Google上のエージェント同期は現時点でプレビューです。

Q. 1人が複数のエージェントを動かすとライセンスは増えますか？
委任型（OBO）エージェントを複数動かしても、ユーザー単位ライセンスは1本で済む設計です。

Q. 完全自律のエージェントはすぐ使えますか？
完全自律（Agent identity authentication）モードはFrontier programの限定提供で、一般提供ではありません。委任アクセス・裏方動作型がGAで利用できます。

Q. Microsoft 365 Copilotのエージェントとは何が違いますか？
Copilot側は「作って動かす」エージェント体験、Agent 365は「それらを統制する」基盤です。詳しくはMicrosoft 365 Copilotエージェントとはを参照してください。

まとめ

Microsoft Agent 365は、組織に増え続けるAIエージェントを観察・統制・防御するためのコントロールプレーンです。2026年5月1日にGAし、料金は$15／ユーザー／月（またはE7 $99に内包）。ただし実際の負担は、前提ライセンス（E5等）とエージェントの構築・実行コストを足したTCOで見る必要があります。

最大の価値は、エージェントにEntra Agent IDという「人と同じID」を与え、最小権限・DLP・ランタイム脅威検知の三層でシャドウAIを含めて統制できる点にあります。マルチクラウド同期や完全自律モードはまだプレビュー／限定提供のため、PoCはGA機能に絞るのが安全です。

向いているのは、E5環境でエージェントが乱立し始めた大企業や規制業界。エージェントが少数の中小や、前提ライセンスを持たない企業は、効果とコストを慎重に比べてから判断するのが賢明です。導入前にはまずAIエージェントのセキュリティ完全ガイドで守るべき範囲を確認しておくと、統制設計の精度が上がります。