アクセス制御とセッション制御に関するエンドユーザーのためのトラブルシューティング

この記事では、Microsoft Defender for Cloud Apps 管理者向けに、エンドユーザーが経験した一般的なアクセスとセッションの制御の問題を調査して解決する方法に関するガイダンスを提供します。

最小限必要なものを確認する

トラブルシューティングを開始する前に、環境がアクセスとセッション制御に関する次の最小限の一般的な要件を満たしていることを確認してください。

ユーザー監視ページが表示されない

Defender for Cloud Appsを介してユーザーをルーティングするときに、セッションが監視されていることをユーザーに通知できます。 既定では、ユーザー監視ページが有効になっています。

このセクションでは、ユーザーの監視ページが有効になっていても期待どおりに表示されない場合に実行することをお勧めするトラブルシューティング手順について説明します。

推奨される手順

1. Microsoft Defender ポータルで、 [設定]>[クラウド アプリ]を選択します。

2. [アプリの条件付きアクセス制御] で、[ユーザーの監視] を選択します 。 このページには、Defender for Cloud Apps で使用できるユーザーの監視オプションが表示されます。 次に例を示します。

   

3. [アクティビティが監視されていることをユーザーに通知する] オプションが選択されていることを確認します。

4. 既定のメッセージを使用するか、カスタム メッセージを指定するかを選択します。

   メッセージの種類	詳細
   既定値	ヘッダー: [アプリ名がここに表示されます] へのアクセスが監視されます 本文は次のようになります。 セキュリティを強化するために、組織では [アプリ名がここに表示されます] へのアクセスを監視モードで許可します。 アクセスは Web ブラウザーからのみ使用できます。
   カスタム	ヘッダー: このボックスを使用して、監視対象のユーザーに通知するカスタム見出しを指定します。 本文は次のようになります。 このボックスを使用して、質問の連絡先など、ユーザーに関するその他のカスタム情報を追加します。また、プレーンテキスト、リッチテキスト、ハイパーリンクの入力をサポートしています。

5. [プレビュー] を選択して、アプリにアクセスする前に表示されるユーザー監視ページを確認します。

6. [保存] を選択します。

Microsoft 以外の ID プロバイダーからアプリにアクセスできない

エンド ユーザーがマイクロソフト以外の ID プロバイダーからアプリにログインした後に一般的なエラーを受け取った場合は、マイクロソフト以外の IdP 構成を検証します。

推奨される手順

1. Microsoft Defender ポータルで、 [設定]>[クラウド アプリ]を選択します。

2. [接続アプリ] で、[アプリの条件付きアクセス制御アプリ] を選択します。

3. アプリの一覧で、アクセスできないアプリが表示されている行の末尾にある 3 つの点を選択し、[アプリの編集] を選択します。

   1. アップロードされた SAML 証明書が正しいことを検証します。

   2. 有効なSSO URLがアプリ構成に指定されていることを確認します。

   3. カスタム アプリの属性と値が ID プロバイダの設定に反映されていることを検証します。

   次に例を示します。

   .

4. それでもアプリにアクセスできない場合は、 サポート チケットを開いてください。

「問題が発生しました」ページが表示される

プロキシ セッション中に、「問題が発生しました」ページが表示されることがあります。 これは、次の場合に発生することがあります。

• ユーザーがしばらくアイドル状態になってからログインする
• ブラウザーを更新し、ページを読み込むのに想定以上の時間がかかる
• マイクロソフト以外の IdP アプリが正しく構成されていない

推奨される手順

1. エンド ユーザーが、Microsoft 以外の IdP を使用して構成されているアプリにアクセスしようとしている場合は、「Microsoft 以外の IdP からアプリにアクセスできない」と「アプリの状態: セットアップの続行」を参照してください。

2. エンド ユーザーがこのページに予期せず到達した場合は、次の操作を行います。

   1. ブラウザー セッションを再起動します。
   2. ブラウザーから履歴、Cookie、キャッシュをクリアします。

クリップボードのアクションやファイルのコントロールがブロックされていない

データ流出や侵入のシナリオを防ぐために、切り取り、コピー、貼り付けや、ダウンロード、アップロード、印刷などのファイル コントロールなどのクリップボード アクションをブロックする機能が必要です。

この機能により、企業はエンド ユーザーのセキュリティと生産性のバランスを取ることができます。 これらの機能で問題が発生している場合は、次の手順に従って問題を調査します。

推奨される手順

セッションがプロキシ化されている場合は、次の手順に従ってポリシーを確認します。

1. Microsoft Defender ポータルの [クラウド アプリ] で、 [アクティビティ ログ]を選択します。

2. 詳細フィルターを使用し、[適用されたアクション] を選択して、その値を [ブロック] に設定します。

3. ブロックされたファイル アクティビティがあることを確認します。

   1. アクティビティがある場合は、アクティビティをクリックしてアクティビティ ドロワーを展開します。

   2. アクティビティ ドロワーの [全般] タブで、一致するポリシー リンクを選択し、適用したポリシーが存在することを確認します。

   3. ポリシーが表示されない場合は、「アクセス ポリシーとセッション ポリシーを作成するときの問題」を参照してください。

   4. 既定の動作が原因でアクセスがブロック/許可されている場合は、これは、システムがダウンし、既定の動作が適用されたことを示しています。

      1. 既定の動作を変更するには、Microsoft Defender ポータルで、[設定] を選択します。 次に、[クラウド アプリ] を選択します。 次に、[アプリの条件付きアクセス制御] で [既定の動作] を選択し、既定の動作をアクセスの [許可] または [ブロック] に設定します。

      2. Microsoft 365 管理ポータル に移動し、システムのダウンタイムに関する通知を監視します。

4. ブロックされたアクティビティが依然として表示されない場合は、 サポート チケットを開いてください。

ダウンロードは保護されていません

エンド ユーザーは、アンマネージド デバイスに機密データをダウンロードする必要がある場合があります。 これらのシナリオでは、Microsoft Purview 情報保護でドキュメントを保護できます。

エンド ユーザーがドキュメントを正常に暗号化できない場合は、次の手順を使用して問題を調査します。

推奨される手順

1. Microsoft Defender ポータルの [クラウド アプリ] で、[アクティビティ ログ] を選択します。

2. 詳細フィルターを使用し、[適用されたアクション] を選択して、その値を [保護] に設定します。

3. ブロックされたファイル アクティビティがあることを確認します。

   1. アクティビティがある場合は、アクティビティをクリックしてアクティビティ ドロワーを展開します。

   2. アクティビティ ドロワーの [全般] タブで、一致するポリシー リンクを選択し、適用したポリシーが存在することを確認します。

   3. ポリシーが表示されない場合は、「アクセス ポリシーとセッション ポリシーを作成するときの問題」を参照してください。

   4. 既定の動作が原因でアクセスがブロック/許可されている場合は、これは、システムがダウンし、既定の動作が適用されたことを示しています。

      1. 既定の動作を変更するには、Microsoft Defender ポータルで、[設定] を選択します。 次に、[クラウド アプリ] を選択します。 次に、[アプリの条件付きアクセス制御] で [既定の動作] を選択し、既定の動作をアクセスの [許可] または [ブロック] に設定します。

      2. Microsoft 365 のサービス正常性ダッシュボード に移動し、システムのダウンタイムに関する通知を監視します。

   5. 機密ラベルまたはカスタム アクセス許可を使用してファイルを保護している場合は、 アクティビティの説明で、ファイル拡張子が次のサポートされているファイル タイプのいずれかであることを確認してください。

      • Word: docm、docx、dotm、dotx

      • Excel: xlam、xlsm、xlsx、xltx

      • PowerPoint: potm、potx、ppsx、ppsm、pptm、pptx

      • 統合ラベル付けが有効になっている場合の PDF

   ファイルの種類がサポートされていない場合は、セッション ポリシーで、[ネイティブ保護でサポートされていないファイルやネイティブ保護が失敗したファイルのダウンロードをブロックする] を選択することができます。

4. ブロックされたアクティビティが依然として表示されない場合は、 サポート チケットを開いてください。

サフィックス付きアプリの特定の URL に移動し、汎用ページにランディングする

シナリオによっては、リンクに移動すると、ユーザーがリンクの完全なパスではなく、アプリのホームページに移動することがあります。

推奨される手順

Microsoft Edge以外のブラウザーを使用していて、ユーザーがリンクの完全なパスではなくアプリのホームページに移動した場合は、元のURLに .mcas.ms を追加して問題を解決します。

たとえば、元の URL が、

https://www.github.com/organization/threads/threadnumber の場合、これを https://www.github.com.mcas.ms/organization/threads/threadnumber に変更します。

Microsoft Edgeユーザーは、ブラウザー内保護の恩恵を受け、リバースプロキシにリダイレクトされず、 .mcas.ms サフィックスを追加する必要はありません。 コンテキストの損失が発生しているアプリの場合は、 サポート チケットを開いてください。

ダウンロードをブロックすると PDF プレビューがブロックされる

PDFファイルをプレビューまたは印刷すると、アプリによってファイルのダウンロードが開始されることがあります。 これにより、Defender for Cloud Apps では、確実にダウンロードがブロックされ、データがご利用の環境から漏えいしないように対処します。

たとえば、Outlook Web Access (OWA) のダウンロードをブロックするセッション ポリシーを作成した場合に、PDF ファイルのプレビューまたは印刷がブロックされ、次のようなメッセージが表示されることがあります。

プレビューを許可するには、Exchange 管理者が次の手順を実行する必要があります。

1. Exchange Online PowerShell モジュールをダウンロードします。

2. モジュールに接続します。 詳しくは、「Exchange Online PowerShell への接続」を参照してください。

3. Exchange Online PowerShellに接続した後、 Set-OwaMailboxPolicy コマンドレットを使用してポリシーのパラメーターを更新します。

   Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -DirectFileAccessOnPrivateComputersEnabled $false -DirectFileAccessOnPublicComputersEnabled $false
   

   Note

   OwaMailboxPolicy-Default ポリシーは、Exchange Online の既定の OWA ポリシー名です。 一部のお客様は、別の名前で追加の OWA ポリシーを展開したり、カスタム OWA ポリシーを作成したりしていることがあります。 複数の OWA ポリシーがある場合は、特定のユーザーに適用される可能性があります。 そのため、完全なカバレッジを持つには、それらを更新する必要もあります。

4. これらのパラメータを設定した後、PDFファイルと、ダウンロードをブロックするように構成されたセッションポリシーを使用して、OWAでテストを実行します。 [ダウンロード] オプションがドロップダウンから削除され、ファイルをプレビューすることができます。 次に例を示します。

   

類似のサイトの警告が表示される

悪意のあるアクターは、偽装目的で他のサイトの URL に類似した URL を作成することで、ユーザーに別のサイトを閲覧しているように思い込ませることができます。 一部のブラウザーでは、この動作を検出し、URL にアクセスする前にユーザーに警告を出したり、アクセスをブロックしたりしようとします。

まれに、セッション制御下のユーザーは、疑わしいサイト アクセスを示すメッセージをブラウザーから受信することがあります。 この理由は、ブラウザーでサフィックス付きのドメイン (例: .mcas.ms) が疑わしいものとして扱われるためです。

このメッセージはChromeユーザーにのみ表示されます。Microsoft Edgeユーザーは、リバースプロキシアーキテクチャを使用せずにブラウザー内保護を利用できます。 次に例を示します。

このようなメッセージが表示された場合は、Microsoftのサポートに連絡して、関連するブラウザーベンダーに対処してください。

2回目のサインイン("2回目のログイン"とも呼ばれます)

一部のアプリケーションには、サインインするためのディープリンクが複数あります。 アプリ設定でサインインリンクを定義しないと、ユーザーがサインインするときに認識されないページにリダイレクトされ、アクセスがブロックされる可能性があります。

Microsoft Entra IDなどのIdP間の統合は、アプリのサインインをインターセプトしてリダイレクトすることに基づいています。 つまり、2回目のサインインをトリガーせずにブラウザーのサインインを直接制御することはできません。 2回目のサインインをトリガーするには、その目的専用の2回目のサインインURLを使用する必要があります。

アプリでnonceが使用されている場合、2回目のサインインはユーザーに対して透過的であるか、もう一度サインインするように求められます。

エンドユーザーに対して透過的でない場合は、アプリの設定に2回目のサインインURLを追加します。

1. [設定][クラウド アプリ][接続されているアプリ][条件付きアクセス アプリ制御アプリ] に移動します。

2. 関連するアプリを選択し、3つのドットを選択します。

3. [アプリの編集] \ [高度なログイン構成] を選択します。

4. エラーページに記載されているように、2番目のサインインURLを追加します。

アプリがnonceを使用していないと確信している場合は、 「低速サインイン」 の説明に従ってアプリの設定を編集して、これを無効にすることができます。

アプリのトラブルシューティングに関するその他の考慮事項

アプリのトラブルシューティングを行う場合は、次の点を考慮する必要があります。

• 最新のブラウザーのセッション コントロールのサポート Defender for Cloud Apps セッション制御に、Chromium ベースの新しい Microsoft Edge ブラウザーのサポートが追加されました。 Internet Explorer の最新バージョンと Microsoft Edge の従来のバージョンは引き続きサポートされますが、サポートは制限されるため、新しい Microsoft Edge ブラウザーを使用することをお勧めします。

• セッションコントロールの保護の制限"保護" アクションでの共同認証ラベル付けは、Defender for Cloud Appsセッションコントロールではサポートされていません。 詳細については、 「機密ラベルで暗号化されたファイルの共同編集を有効にする」 を参照してください。

関連するコンテンツ

• Microsoft Defender for Cloud Apps の条件付きアクセス アプリ制御でアプリを保護する
• アクセス制御とセッション制御に関する管理者ユーザーのためのトラブルシューティング
• トラブルシューティング - *.mcas.ms、 *.mcas-gov.us、 *.mcas-gov.msとは?