条件付きアクセス: デバイスのフィルター

管理者が条件付きアクセス ポリシーを作成する際、一般的なタスクとして、環境内の特定のデバイスを対象または対象外にすることができます。 デバイスの条件フィルターを使用すると、管理者は特定のデバイスを対象にすることができます。 管理者は、デバイス フィルターでサポートされている演算子とプロパティのほか、条件付きアクセス ポリシーで使用可能なその他の割り当て条件を使用することができます。

一般的なシナリオ

組織がデバイスのフィルター条件を使用して有効にできるようになったシナリオは複数あります。 この新しい条件を使用する方法の例を、次のシナリオで示します。

• 特権リソースへのアクセスを制限します。 この例では、次の条件を満たすユーザーから Windows Azure Service Management API にアクセスできるようにするとします。
  • 特権ロールが割り当てられている。
  • 多要素認証が完了している。
  • 特権を与えられたかセキュリティで保護された管理ワークステーションで、かつコンプライアンスの構成証明が済んでいるデバイス上にある。
  • このシナリオでは、組織は次の 2 つの条件付きアクセス ポリシーを作成します。
    • ポリシー 1: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求し、デバイスは準拠としてマーク済みである必要があります。
    • ポリシー 2: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、device.extensionAttribute1 が SAW に等しいというルール式を使用するデバイスのフィルターを除外し、アクセス制御についてブロックします。 Microsoft Entra デバイス オブジェクトで extensionAttributes を更新する方法について説明します。
• サポートされていないオペレーティング システムを実行しているデバイスから組織のリソースへのアクセスをブロックします。 この例では、Windows 10 より前の Windows OS バージョンからリソースへのアクセスをブロックするとします。 このシナリオでは、組織は次の条件付きアクセス ポリシーを作成します。
  • すべてのユーザーが、すべてのクラウド アプリにアクセスし、device.operatingSystem が Windows に等しい、かつ、device.operatingSystemVersion が "10.0" で始まるというルール式を使用してデバイスのフィルターを除外し、アクセス制御についてブロックします。
• 特定のデバイスの特定のアカウントに多要素認証を要求しないでください。 この例では、Teams 電話や Surface Hub デバイスなどの特定のデバイスでサービス アカウントを使用する場合は多要素認証を要求しないとします。 このシナリオでは、組織は次の 2 つの条件付きアクセス ポリシーを作成します。
  • ポリシー 1: サービス アカウントを除くすべてのユーザーが、すべてのクラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求します。
  • ポリシー 2: ユーザーとグループを選択し、サービス アカウントのみを含むグループを含め、すべてのクラウド アプリにアクセスし、device.extensionAttribute2 が TeamsPhoneDevice に等しくないというルール式を使用して対象外デバイスのフィルターを指定し、アクセス制御についてブロックします。

条件付きアクセス ポリシーを作成する

デバイスのフィルターは、条件付きアクセス ポリシーを作成するときのオプションのコントロールです。

次の手順を使用すると、[一般的なシナリオ] 内の最初のシナリオをサポートする 2 つの条件付きアクセス ポリシーを作成できます。

ポリシー 1: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求し、デバイスは準拠としてマーク済みである必要があります。

1. 条件付きアクセス管理者以上として Microsoft Entra 管理センターにサインインします。
2. [保護]>[条件付きアクセス]>[ポリシー] に移動します。
3. [新しいポリシー] を選択します。
4. ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
5. [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。

   1. [Include] (含める) で、[ディレクトリ ロール] を選択し、名前に管理者を持つすべてのロールを選択します。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、管理単位スコープやカスタム ロールなど、その他の種類のロールには適用されません。

   2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。

   3. 完了 を選択します。

6. [ターゲット リソース]>[クラウド アプリ]>[含む]>[アプリの選択] の下の Windows Azure Service Management API を選択し、[選択] を選択します。
7. [アクセス制御]>[許可] で [アクセス権の付与]、[多要素認証を要求する]、[デバイスは準拠しているとしてマーク済みであることが必要] を選択して、[選択] を選択します。
8. 設定を確認し、 [Enable policy](ポリシーの有効化) を [オン] に設定します。
9. [作成] を選択して、ポリシーを作成および有効化します。

ポリシー 2: 管理者ロールを持ち、Microsoft Azure Service Management API クラウド アプリにアクセスし、device.extensionAttribute1 が SAW に等しいというルール式を使用するデバイスのフィルターを除外し、アクセス制御がブロックになっているすべてのユーザー。

1. [新しいポリシー] を選択します。
2. ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
3. [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。

   1. [Include] (含める) で、[ディレクトリ ロール] を選択し、管理者名のあるすべてのロールを選択します。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、管理単位スコープやカスタム ロールなど、その他の種類のロールには適用されません。

   2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。

   3. 完了 を選択します。

4. [ターゲット リソース]>[クラウド アプリ]>[含む]>[アプリの選択] の下の Windows Azure Service Management API を選択し、[選択] を選択します。
5. [ 条件] で、 デバイスをフィルター処理します。
   1. [構成] を [はい] に切り替えます。
   2. [Devices matching the rule](ルールに一致するデバイス) を [Exclude filtered devices from policy](フィルター選択されたデバイスをポリシーから除外する) に設定します。
   3. プロパティを ExtensionAttribute1、演算子を Equals、値を SAW に設定します。
   4. [Done] を選択します。
6. [アクセス制御]>[許可] で、 [アクセスのブロック] 、 [選択] の順に選択します。
7. 設定を確認し、 [Enable policy](ポリシーの有効化) を [オン] に設定します。
8. [作成] を選択して、ポリシーを作成および有効化します。

属性値の設定

拡張属性の設定は、Microsoft Graph API を使って実現されています。 デバイス属性の設定の詳細については、「デバイスの更新」という記事を参照してください。

デバイスのフィルター Graph API

デバイスのフィルター API は、Microsoft Graph v1.0 のエンドポイントで使用できます。また、エンドポイント https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/ を使用してアクセスできます。 新しい条件付きアクセス ポリシーを作成するときにデバイスのフィルターを構成するか、既存のポリシーを更新してデバイスのフィルター条件を構成できます。 既存のポリシーを更新するには、既存のポリシーのポリシー ID を追加し、次の要求本文を実行して、Microsoft Graph v 1.0 のエンドポイントでパッチ呼び出しを実行します。 次の例は、SAW デバイスとしてマークされていないデバイスを対象外とするデバイスのフィルター条件を構成する方法を示しています。 ルール構文は、複数の単一式で構成できます。 構文の詳細については、「Microsoft Entra ID のグループに対する動的メンバーシップ グループのルール」をご覧ください。

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

フィルターでサポートされている演算子とデバイスのプロパティ

次のデバイス属性は、条件付きアクセスのデバイスのフィルター条件で使用できます。

デバイスのフィルターを使用したポリシーの動作

条件付きアクセスのデバイスのフィルター条件では、Microsoft Entra ID の登録済みデバイスのデバイス属性に基づいてポリシーが評価されるため、どのような状況でポリシーが適用されるのか、または適用されないのかを理解することが重要です。 次の表は、デバイスのフィルター条件が構成されている場合の動作を示しています。

関連するコンテンツ

• 新学期 - 複雑なフィルターでブール代数を正しく使用する
• デバイスを更新する Graph API
• 条件付きアクセス:条件
• 一般的な条件付きアクセス ポリシー