条件付きアクセスとは

現在のセキュリティ境界は組織のネットワークの外にまで広がり、ユーザーとデバイスの ID が含まれるようになっています。 組織は、アクセス制御に関する決定を行う過程で、これらの ID ドリブン シグナルを使用できるようになっています。 Microsoft Entra 条件付きアクセスは、決定のためにシグナルをまとめ、組織のポリシーを適用します。 条件付きアクセスは Microsoft のゼロ トラスト ポリシー エンジンであり、ポリシー適用の決定時にさまざまなソースからのシグナルを考慮します。

条件付きアクセスポリシーの最も単純なものは、if-then ステートメントであり、ユーザーは、リソースにアクセスする場合は (if)、アクションを完了する必要があります (then)。 たとえば、ユーザーが Microsoft 365 などのアプリケーションまたはサービスにアクセスする場合、アクセスを取得するために多要素認証を実行する必要があります。

管理者は、次の 2 つの主要な目標に直面しています。

• 場所や時間を問わず、ユーザーの生産性を向上させること
• 組織の資産を保護すること

条件付きアクセス ポリシーを使用して、必要に応じて適切なアクセス制御を適用して組織のセキュリティを維持します。

一般的なシグナル

条件付きアクセスでは、アクセスに関する決定を行う際にさまざまなソースからのシグナルが考慮されます。

これらのシグナルには、次のものが含まれます。

• ユーザーまたはグループ メンバーシップ
  • 特定のユーザーとグループをポリシーの対象にすることができるため、管理者はアクセスをきめ細かく制御できます。
• IP の場所に関する情報
  • 組織では、ポリシーに基づく決定を行うときに使用できる、信頼された IP アドレス範囲を作成できます。
  • 管理者は、国/地域全体の IP 範囲を指定して、その範囲からのトラフィックをブロックまたは許可することができます。
• デバイス
  • 条件付きアクセス ポリシーを適用するとき、特定のプラットフォームのデバイスまたは特定の状態であるとマークされたデバイスを使用しているユーザーを使用できます。
  • デバイスのフィルターを使用して、特権アクセス ワークステーションなどの特定のデバイスを対象にポリシーを設定します。
• アプリケーション
  • 特定のアプリケーションにアクセスしようとしているユーザーは、さまざまな条件付きアクセス ポリシーをトリガーできます。
• リアルタイムでの計算されたリスク検出
  • シグナルと Microsoft Entra ID 保護との統合により、条件付きアクセス ポリシーで、危険なユーザーやサインイン動作を特定して修復できます。
• Microsoft Defender for Cloud Apps
  • ユーザーによるアプリケーションへのアクセスとセッションを、リアルタイムで監視および制御できるようにします。 この統合により、クラウド環境へのアクセスと、クラウド環境で実行されるアクティビティの可視性を高めて制御を強化できます。

一般的な決定

• アクセスのブロック
  • 最も制限の厳しい決定
• アクセス権の付与
  • 制限が弱い決定でも、次のオプションのうち 1 つ以上を要求することができます。
    • 多要素認証を要求する
    • 認証強度を必須にする
    • デバイスは準拠としてマーク済みである必要があります
    • Microsoft Entra ハイブリッド参加済みデバイスが必要
    • 承認済みクライアント アプリを必須にする
    • アプリ保護ポリシーを必須にする
    • パスワードの変更を必須にする
    • 利用規約を必須にする

一般的に適用されるポリシー

多くの組織には、次のような一般的なアクセスの問題があり、それらに対して条件付きアクセス ポリシーが役に立ちます。

• 管理者の役割を持つユーザーに多要素認証を要求する
• Azure 管理タスクに多要素認証を要求する
• レガシ認証プロトコルを使用しようとしているユーザーのサインインをブロックする
• セキュリティ情報の登録に信頼できる場所を要求する
• 特定の場所からのアクセスをブロックまたは許可する
• 危険なサインイン動作をブロックする
• 特定のアプリケーションに対して、組織のマネージド デバイスを必要とする

管理者は、ポリシーを最初から作成することも、ポータルのテンプレート ポリシーを使って作成を開始することもできます。また、Microsoft Graph API も使用できます。

管理者エクスペリエンス

条件付きアクセス管理者ロールを持つ管理者は、ポリシーを管理できます。

条件付きアクセスは、Microsoft Entra 管理センターの [保護]>[条件付きアクセス] にあります。

• [概要] ページには、ポリシーの状態、ユーザー、デバイス、アプリケーションの概要と、一般的なアラートとセキュリティ アラート、推奨事項が表示されます。
• [Coverage] (対象範囲) ページには、過去 7 日間に条件付きアクセス ポリシーの対象範囲であったアプリケーションと、そうでなかったアプリケーションの概要が表示されます。
• [監視] ページでは、管理者がサインインのグラフを表示できます。このグラフは、ポリシーの対象範囲の潜在的なギャップを確認するためにフィルター処理できます。

[ポリシー] ページの条件付きアクセス ポリシーは、アクター、ターゲット リソース、条件、適用された制御、状態、日付に基づき、管理者がフィルター処理できます。 このフィルター処理機能を使用すると、管理者は構成に基づいて特定のポリシーをすばやく検索できます。

ライセンス要件

この機能を使用するには、Microsoft Entra ID P1 のライセンスが必要です。 要件に適したライセンスを探すには、「一般提供されている Microsoft Entra ID の機能の比較」を参照してください。

Microsoft 365 Business Premium ライセンスをお持ちのお客様も、条件付きアクセス機能を利用できます。

リスクベースのポリシーでは、P2 ライセンスを必要とする Microsoft Entra ID 保護へのアクセスが必要です。

条件付きアクセス ポリシーと対話するその他の製品と機能には、それらの製品と機能に対する適切なライセンスが必要です。

条件付きアクセスに必要なライセンスの有効期限が切れても、ポリシーが自動的に無効になったり、削除されたりすることはありません。 これにより、お客様のセキュリティ態勢が急激に変更されることなく、条件付きアクセス ポリシーから移行できます。 残りのポリシーは表示と削除できますが、更新できなくなります。

セキュリティの既定値群は ID 関連の攻撃から保護できるようにし、すべての顧客が利用できます。

ゼロ トラスト

この機能は、組織が ID をゼロ トラスト アーキテクチャの 3 つの基本原則に従えるようにします。

• 明示的に検証
• 最小特権の使用
• 侵害の想定

ゼロ トラストや組織で基本原則に従うその他の方法の詳細については、「ゼロ トラスト ガイダンス センター」を参照してください。

次のステップ

• 条件付きアクセス ポリシーを 1 つずつ作成する
• 条件付きアクセスのデプロイを計画する