設計書は書かない。実環境から生成する。
パラメーターシート生成ツール（Active Directory ／ Microsoft 365 ／ Azure）
人が手で書いたパラメーターシートは、書き終えた瞬間から腐りはじめます。運用で設定を変えても、誰もシートまで直さないからです。 実環境から直接生成すれば、いつ出しても正しい。そして2回目以降は、前回から何が変わったかが出ます。
これは作業の代行ではなく、御社の環境の中で動かしていただくツールです。収集も、整形も、差分も、すべて御社のネットワークの中で完結します。 構成情報がこちらに渡ることは、一度もありません。
御社の中から出ません。
たぶん、こうなっています。
納品時のシートが最後の更新
構築のときに作ったExcelが、そのまま数年放置されている。「これ、いつの情報ですか」に誰も答えられない。
棚卸しのたびに人力
監査、移行、担当交代。そのたびに管理画面を開いて、PowerShellを叩いて、Excelに貼る。同じ作業を、何年も繰り返している。
変わったことに気づかない
誰かが設定を変えた。悪意はない。ただ記録が残っていないので、後から「いつからこうだったのか」が追えない。
原因は、担当者の怠慢ではありません。
「実環境」と「シート」が別々に存在していることが原因です。人が手で同期させる前提の仕組みは、忙しくなった瞬間に必ず壊れます。壊れない仕組みは一つだけ——シートを実環境から毎回作り直すことです。
そうすれば、更新を忘れることが構造的に起きません。更新という作業自体が無くなるからです。
何を、どこまで書き出すか。
下記は標準の収集範囲です。「この項目も欲しい」「これは要らない」は、シートの定義ごと調整できます。
🔑 Active Directory
- フォレスト・ドメインの構成、機能レベル、FSMO の配置
- ドメインコントローラーの一覧（OS、役割、複製の状態）
- サイト・サブネット・サイトリンク
- OU 構造、グループポリシーの一覧とリンク先
- 信頼関係、DNS ゾーンとレコード
- 特権グループのメンバー、サービスアカウント
📦 Microsoft 365 ／ Entra ID
- テナント設定、ドメイン、ライセンスの購入数と割当数
- ユーザー・ゲスト・グループ（種別、メンバー、所有者）
- Exchange、Teams、SharePoint、OneDrive の構成
- 条件付きアクセスポリシー、管理者ロールの割当
- アプリ登録、エンタープライズアプリケーションと権限
☁️ Azure
- サブスクリプション、リソースグループ、タグ
- リソース一覧（種別、SKU、リージョン、構成値）
- 仮想ネットワーク、サブネット、NSG のルール
- ロール割り当て（誰が、どこに、何の権限を）
- Azure Policy の割当と準拠状況
🖥️ Windows Server ／ Hyper-V
- サーバー一覧、役割と機能、更新プログラムの適用状況
- ディスク・ボリューム・ネットワークアダプターの構成
- Hyper-V ホストと仮想マシンの割当リソース
- クラスター構成（ノード、クォーラム、リソース）
🧭 この一覧にないものもご相談ください。「読み取りで取得できる情報」であれば、たいてい対象にできます。逆に、取得できないものは「取得できません」と申し上げます——推測で埋めたシートは、無いより危険だからです。
読む人に合わせて、同じ内容を別の形で。
組織によって「正式な資料」の形は違います。そこを議論しても仕方がないので、全部出します。
📊 Excel（.xlsx）
日本語の見出し、項目ごとのシート分け、フィルター、列幅調整まで済ませた状態でお渡しします。受け取ってそのまま棚卸しに使える形です。
「Excelは古い」とは考えていません。受け取る人がExcelで確認・共有するなら、そこまで自動化して初めて作業が短くなります。（→ 実際に作った事例）
📄 Word（.docx）／ HTML
章立てされた設計書の体裁で出力します。表紙、目次、章番号、更新履歴つき。そのまま提出物・納品物として使える形です。
PDFが必要な場合は、WordまたはHTMLから御社側で出力していただきます。追加ソフトを入れずに動かすことを優先した結果です（印刷用のスタイルは当てた状態でお渡しします）。
🧩 JSON Lines（.jsonl）
これが正本です。1行1レコードなので、数万件でも1行ずつ処理でき、メモリを使い切りません。差分の計算、他システムへの取り込み、将来のコード化（IaC）の出発点になります。
人が読む形式は、すべてここから生成される派生物です。
📝 Markdown ／ CSV
Markdownは社内Wiki・プルリクエストでのレビュー向け。CSVは他システムへの取り込み用。差分がテキストで読めます。
エンジニアが多い組織では、Markdownが一番使われます。
🧩 設計の要：正本は JSON Lines、人が読む形式はすべて派生物
- 1回の収集から、全フォーマットが同時に出ます。フォーマットごとに別作業をしません
- だから「Excelだけ古い」「Wordの数字とExcelの数字が違う」が起きません
- 項目を足したいときは定義を1か所直すだけ。全形式に反映されます
- Excelを手で編集したくなったら、それはシートの定義に足りない項目があるということ。定義側に足します
- 収集項目の定義ファイルだけはYAMLです。ここは人が書いて、コメントも入れる場所だからです。人が書くものはYAML、機械が出すものはJSON——この一線で分けています
📌 正本になぜYAMLを使わないのか。構成情報には CN=Admin,OU=IT のようなDN、09:00 のような時刻、1.10 のようなバージョン、国コードの NO が当たり前に入ります。YAMLはこれらを勝手に数値や真偽値へ変換してしまうことがあり、同じ意味の内容を複数の書き方で表現できるため、中身が変わっていないのに差分が出る事故が起きます。差分が商品の中心である以上、ここは選べませんでした。
数万ユーザーの環境を、前提にしています。
「小さい環境なら動くツール」は世の中にあります。問題は、大きい環境で止まらないかどうかです。設計で先に解いてあります。
メモリを使い切らない
収集も出力も差分も、1行ずつ流して処理します。全件をメモリに載せる作りにしていないので、件数が増えても必要なメモリはほぼ変わりません。
差分は「変わった件数」に比例する
各レコードに指紋（ハッシュ）を持たせ、まず指紋だけを突き合わせます。5万件あっても、実際に変わるのは通常数百件。計算量は総件数ではなく変更件数で決まります。
Excelの上限を踏まない
Excelは1シート約104万行が上限で、実際は10万行を超えると開くのも苦痛です。閾値を超えたら自動で分割し、全件はCSV／JSON Linesへ逃がします。
🔑 突き合わせに「変わらないID」を使うこと。ここが一番大事です。
差分を DN（識別名）や表示名で突き合わせると、数万規模では破綻します。OUを1つ移動しただけで「削除された＋追加された」の2件に見えるからです。人事異動で500人動いたら、差分が1,000件出て、誰も読みません。
このツールは Active Directory なら objectGUID、Entra ID / Microsoft 365 ならオブジェクトID、Azure なら正規化したリソースID——移動しても改名しても変わらない値で突き合わせます。だから上の例は、「DNが変わった」という1件の変更として出ます。
差分が読めるかどうかは、ここで決まります。
大量取得への対応
- Microsoft Graph — 必要な項目だけを指定し、ページングで取得。スロットリング（429）を受けたら、指示された時間だけ待って再開します。数万件では必ず起きるので、最初から織り込んでいます
- Active Directory — LDAPのページ検索と、必要属性のみの指定。全属性を引かないので、DCへの負荷を抑えられます
- 中断からの再開 — 途中で止まっても、取得済みのところから続けられます
人が読むものは、増やしません
5万ユーザーのExcelを渡されて、最初から最後まで読む人はいません。だから人が読む成果物の分量は、環境の大きさに比例させません。
- サマリー（件数・内訳・前回比）— 数十行
- 差分（変わったものだけ）— 通常 数百行 ← ここが本命
- 全件 — 閾値を超えたら分割、またはCSV／JSON Linesで別添
Word・HTMLも同じで、全件は載せません。載せるのは構成のサマリーと差分だけです。
📊 性能は、合成データで測った値をお出しします。「◯万ユーザーで何分・メモリ何MB」を、測定条件つきで明示します。実顧客環境での実測値として書くことはしません（そう書けるのは、実際にお使いいただいた後です）。
2回目からが、本題です。
1回作るだけなら、現状の記録にすぎません。同じものを定期的に出すと、「変化」が見えるようになります。
増えたもの
新しいユーザー、追加されたポリシー、作られたリソース。申請されていないものが混ざっていないかを確認できます。
変わったもの
設定値、権限、メンバー、SKU。変更前と変更後を並べて表示します。ここがいちばん見られます。
消えたもの
削除されたアカウント、外れた権限、廃止されたリソース。消えるべきものが消えているかの確認にも使えます。
○ 差分が出せると、こうなります
- 「いつの間にか変わっていた」がなくなる。変わった時期が絞り込める
- 監査で「変更管理はどうしていますか」に、記録を出して答えられる
- 移行・更改の前後で、意図した変更だけが入ったかを確認できる
- 担当交代のとき、引き継ぎ資料が自動で最新になっている
- インシデントの原因調査で、「その日の前後で何が変わったか」を即答できる
× 差分では分からないこと
- 誰が変えたか——これは監査ログの領域です。差分は「変わった事実」までを示します
- 変更が正しかったかどうか——判断は人がします。ここは自動化しません
- 収集の間に起きて元に戻った変更——スナップショットの比較なので、間の出来事は写りません
💡 差分に「意図した変更／確認が必要」を記入する欄を用意します。ここを埋めたものが、そのまま変更管理の記録になります。全部を自動化しようとせず、人が判断する場所を1か所に集めるのが、続けられる形だと考えています。
御社の中で動きます。外へは出ません。
構成情報には、ユーザー名・メールアドレス・グループ名など個人情報にあたるものが大量に含まれます。数万人規模なら、なおさらです。 それを社外へ持ち出さないのが、この商品の設計の前提です。作業を代行する形は取りません。
× この商品がやらないこと
- 御社の環境にこちらから接続する
- 出力ファイルをこちらへ送っていただく
- 収集したデータをこちらのサーバーに保管する
- クラウドサービスへアップロードする
- 実行のたびにライセンス認証で外部と通信する
○ 実際に起きること
- ツール一式をファイルでお渡しします（オフラインで持ち込み可）
- 御社の管理者が、御社のサーバー上で実行します
- 収集・整形・差分の計算まで、すべてその場で完結します
- 出力ファイルは御社が指定したフォルダに出るだけです
- こちらが受け取るものは、何もありません
🔒 動作の前提（意図的に、極限まで削っています）
- インターネット接続は不要です。閉域網のまま動きます。ライセンス認証の通信もありません
- Windows 標準の Windows PowerShell 5.1 で動作します。追加インストールは不要です
- 読み取りのみ。作成・変更・削除を行うコマンドを一切含みません
- 管理者権限は不要です。一般ユーザーの読み取り権限で動く範囲を標準としています
- コード署名済みでお渡しします。改ざんされていないことを御社で検証できます
- 中身は全部読めます。難読化しません。実行前にレビューしていただけます
- 常駐しません。エージェントを入れません。実行が終われば何も残りません
それでも残る、正直な注意点
出力ファイルそのものは、機密です。数万人分の氏名・アドレス・グループ・権限が入ります。生成した後の保管場所とアクセス権は、御社で決めて管理してください。ここはこちらでは守れません。
氏名・アドレスを伏せた出力モードを用意します。安定キーはハッシュ化され、表示名は伏せられます。差分の計算はそのまま動きます（キーで突き合わせるため）。構成の把握が目的なら、こちらで足りることがほとんどです。
ファイルの中身は収集しません。ドキュメント本文、メール本文、データベースの中身は対象外です。パラメーターシートに必要ないためです。
不具合のご連絡について
「動かない」ときにお送りいただくのは、実行ログだけです。ログには収集した値そのものを書きません——書くのは、どの処理でどんなエラーが起きたか、件数はいくつだったか、だけです。ログの中身も、送信前に御社でご確認いただけます。
「調査のために実データを送ってください」とは言いません。そう言わなくて済むように作るのが、こちらの仕事だと考えています。
料金（仮）
作業ではなくツールをお使いいただく形なので、料金は年間ライセンスです。 実行回数に上限はありません。週に1回でも毎日でも、料金は変わりません——こちらの手間が増えないからです。
- 実行回数は無制限
- 全形式の出力（Excel／Word／HTML／JSON Lines／Markdown／CSV）
- 差分機能を含みます
- 期間中のアップデートを含みます（Microsoft側の仕様変更への追随）
- ツールについての技術サポート（メール）
※ 環境の読み解き・現場サポートは別途 顧問契約
- 収集項目の定義を御社に合わせて作り込み
- 既存のシート様式に合わせた出力の設計
- 初回実行の立ち会い（オンライン）
- 運用手順書の作成
- 不要であれば、なくて構いません（ツールだけで動きます）
- 御社の納品物として使っていただける形
- 御社のフォーマット・ロゴに合わせた出力
- 環境数に応じたパック料金
- えびすだの名前は出さなくて構いません
- お客様先へ持ち込んでの実行も、当然可能です
📝 環境の規模（ドメイン数・テナント数・サブスクリプション数）で変わります。上記はすべて仮の想定価格（税別）です。ライセンス認証の通信は行いません。期限が切れてもツールが止まることはなく、アップデートとサポートの提供が終わるだけです（動かなくして人質にするようなことはしません）。
ツールの面倒は見ます。
御社の環境の面倒は、顧問契約で。
ここを曖昧にすると、お互いに困ります。ライセンス料に含まれるのは「ツールについてのサポート」で、「御社の環境についてのサポート」は含みません。 線引きを先に書いておきます。
○ ライセンスに含まれます
- ツールが動かない・落ちる——不具合として調査し、直します
- 使い方、オプション、定義ファイルの書き方のご質問
- 出力形式の仕様についてのご質問
- Microsoft側の仕様変更への追随（アップデートの提供）
- 新しい収集項目のご要望（採否は判断しますが、伺います）
× 含みません（顧問契約でお受けします）
- 出力の読み解き——「この値はまずいのか」「何から直すべきか」
- 御社環境固有の調査——「なぜここがこうなっているのか」
- 実行の立ち会い・伴走（初回は導入支援でお受けできます）
- AD／M365／Azure そのもののトラブル対応
- 結果を踏まえた設計・改善のご相談
- 急ぎの対応・時間を指定しての対応
なぜ分けるのか。正直に申し上げます。
ツールのサポートは、ご利用が何社に増えても、こちらの手間がほとんど増えません。不具合は1回直せば全社に効くからです。だから実行回数を無制限にでき、ライセンス料も抑えられます。
一方、御社の環境を見て考える仕事は、かけた時間がそのまま費用になります。これを定額のサポートに混ぜてしまうと、①手厚く使う会社と、そうでない会社の間で不公平になる ②全体の応答が遅くなり、結局どの会社にも十分に応えられなくなる——のどちらかが必ず起きます。
分けておいたほうが、結果としてどちらもきちんと提供できます。
🧭 現場サポートが必要なら → 顧問契約
出力の読み解き、環境の調査、設計の相談、トラブル対応。ツールの外側は、まとめて顧問契約でお受けします。非同期チャット中心なので、思いついたときに投げていただく形です。
ツールを持っている方には特に相性が良いはずです。「差分にこれが出たんですが、まずいですか？」——この一言を投げられる相手がいるかどうかで、ツールの価値はまるで変わります。
顧問プランを見る →進め方
🧪 買う前に、必ず動かしてから決めてください。評価版をお渡しします。中身は難読化していないので、御社のセキュリティご担当が1行ずつ読んで問題ないことを確認したうえで、本番環境へ持ち込んでいただけます。「読めないものを本番のドメインコントローラーで実行してください」とは、口が裂けても言えません。
診断とは、別のものです。
よく混同されるので、先に整理しておきます。同じ収集結果から、目的の違う2つの成果物が出ます。
📋 パラメーターシート（このページ）
「今どうなっているか」を、そのまま記録する。良し悪しの判断はしません。台帳・設計書・引き継ぎ資料として使うものです。
用途: 納品物、監査対応、移行前の現状把握、担当交代、変更管理
💡 両方まとめてご依頼いただくのが、いちばん効率的です。収集は1回で済むためです。その場合はお見積りを調整します。継続的な監視や攻撃検知まで必要な場合は、Microsoft純正の機能のほうが適しているので、そちらをご案内します。
よくいただく質問
うちの会社指定のExcelフォーマットに合わせられますか？
ただし正直に申し上げると、既存フォーマットが「人が手で書く前提」で作られている場合、そのまま埋めると不自然になることがあります（自由記述の備考欄など）。その場合は、埋められる欄と埋められない欄を分けてご相談します。空欄を推測で埋めることはしません。
ユーザーが数万人います。動きますか？
性能は合成データで測った値を、測定条件つきでお出しします。そのうえで、買う前に御社の環境で評価版を動かして、実測してください。数字を信じてくださいとは申し上げません。
収集した情報を、そちらに送る必要はありますか？
不具合のご連絡でお送りいただくのも実行ログだけで、ログには収集した値そのものを書きません（どの処理でどんなエラーが起きたか、件数はいくつだったか、だけです）。送信前に中身をご確認いただけます。
「調査のために実データを送ってください」とは言いません。そう言わずに済むように作るのが、こちらの仕事だと考えています。
インターネットに繋がらない環境でも動きますか？
ツール一式はファイルでお渡しするので、USBメモリ等で持ち込んでいただけます。もちろんコード署名済みなので、改ざんされていないことを御社側で検証できます。
ライセンスが切れたら、ツールは止まりますか？
ツールを動かなくして更新を迫るようなことはしません。ただし、Microsoft側の仕様は変わり続けるので、更新を止めると、いずれ取得できない項目が出てきます。継続の価値はそこにあると考えています。
Excelを手で直したくなったら、どうすればいいですか？
直したくなったということは、シートの定義に足りない項目があるか、項目名が実態に合っていないということです。そちらをお知らせいただければ、定義のほうを直します。次回から、その形で出るようになります。
「毎回同じ箇所を手で直している」は、仕組みが間違っているサインです。
取得できない情報はありますか？
そうした項目は、シートに「自動取得の対象外」と明記してお渡しします。推測で埋めることはしません。間違ったシートは、無いより危険だからです。
個人情報が含まれるのが気になります。
そのうえで、氏名・アドレスを伏せた出力モードを用意しています。突き合わせ用のIDはハッシュ化され、表示名は伏せられます。差分の計算はそのまま動きます（IDで突き合わせているため）。構成の把握が目的なら、こちらで足りることがほとんどです。
ただし通常モードの出力ファイル自体は機密です。生成後の保管場所とアクセス権は、御社で管理してください。ここはこちらでは守れない部分なので、はっきり申し上げておきます。
ドメインコントローラーで実行することに、抵抗があります。
①読み取りのみ——作成・変更・削除を行うコマンドを含みません
②管理者権限は不要——一般ユーザーの読み取り権限で動く範囲を標準にしています
③常駐しません・エージェントも入れません——実行が終われば何も残りません
④中身は難読化していません——1行ずつ読んで確認してから持ち込めます
⑤コード署名済み——改ざんされていないことを検証できます
なお、DCで実行する必要があるのはAD収集だけで、管理用の端末から実行する形でも構いません。
使い方や環境のことを、どこまで聞けますか？
一方、「この値はまずいのか」「なぜここがこうなっているのか」「何から直すべきか」といった御社の環境についてのご相談は、ライセンスには含みません。顧問契約としてお受けします。
意地悪をしているのではありません。ツールの不具合は1回直せば全社に効きますが、環境を見て考える仕事は、かけた時間がそのまま費用になります。混ぜてしまうと、手厚く使う会社との間で不公平になるか、全体の応答が遅くなってどの会社にも十分に応えられなくなるかのどちらかが必ず起きます。分けておいたほうが、どちらもきちんと提供できます。
実行に立ち会ってもらえますか？
2回目以降も継続的に伴走してほしい場合は、顧問契約をご検討ください。ただ、多くの場合は必要ありません。2回目からは前回の出力を渡して実行するだけですし、そもそもツール単体で完結するように作ってあります——顧問契約を前提にした作りにはしていません。
これはIaC（コード化）とは違うのですか？
ただし出力の正本が JSON Lines（機械可読）なので、IaCへ進むときの出発点になります。「今の構成が機械可読になっている」状態は、コード化の前提そのものです。
いきなりIaCに進むのが難しい組織にとって、ここは現実的な第一歩になると思います。
1回だけ使って終わりでもいいですか？
ただその日から古くなっていくことだけはお伝えしておきます。せっかく手元にツールがあるので、四半期に1回でも回しておくと、差分が資産になります。