組織が管理しているアプリからのみ Microsoft 365 へのアクセスを許可する
条件付きアクセスは Azure AD の機能のひとつで、Microsoft 365 へのアクセスに制限をかけてセキュリティ強化を行えます。条件を指定することで M365 へのアクセス制限が可能です。
- 条件付きアクセスについては [条件付きアクセスを用いて Microsoft 365 へのアクセスを制御する] [組織のネットワーク以外からの Microsoft 365 への接続をブロックする] でも触れていますので、よろしければあわせてご覧ください。
条件付きアクセスでは [アクセス権の付与] という設定により、多要素認証が有効なユーザーのみアクセスを許可する、Microsoft Intune のコンプライアンス ポリシーに準拠しているデバイスからのみアクセスを許可するなど、条件を満たした場合にのみアクセスできるよう設定が可能です。
アクセス権の付与で設定できる条件
最初に必要なことは、実現したいアクセス制限のシナリオを整理することです。条件付きアクセスは基本的にアクセスをブロックする事を目的とした機能なので、どのような条件でアクセスを禁止するかで考えると要件定義および設定が行いやすくなります。
| 多要素認証を要求する |
多要素認証機能を使用し、サインインすること |
| デバイスは準拠しているとしてマーク済みである必要があります |
デバイスが Intune のコンプライアンス ポリシーで準拠されていること |
| Hybrid Azure AD Join を使用したデバイスが必要 |
Hybrid Azure AD 参加済みデバイスであること |
| 承認されたクライアント アプリが必要です |
マイクロソフトが承認しているアプリからのアクセスであること |
| アプリの保護ポリシーが必要 |
Intune の アプリ保護ポリシーが割り当てられているアプリからのアクセスであること |
| パスワードの変更を必須とする ※ Azure AD Premium P2 必要 |
次回サインイン時にパスワードの変更を行うこと |
この記事では、以下の条件で設定を例として設定方法を解説します。
- 組織ネットワーク以外からの Microsoft 365への接続をブロックする
- 対象ユーザーは全社員とし、Microsoft 365 のサービスすべてを対象とする
※ 緊急アクセス用管理者アカウントは対象外とする
条件付きアクセスの設定
この記事では以下の条件で設定を行う方法をご紹介します。
- モバイル端末からアクセスする際は、Intune のアプリ保護ポリシーが適用されているアプリからのみ Microsoft 365 へのアクセスを許可する
- 条件付きアクセス画面で [ポリシー] – [新しいポリシー] をクリックします。
- 名前を付けます。
- [ユーザーとグループ] 内のリンクをクリックし、以下の設定を行います。
・ 対象 ： すべてのユーザー
・ 対象外 ： [ユーザーとグループ] を選択し、ブロック対象外とする特殊アカウント (緊急アクセス用管理者アカウントなど) を登録する
- [クラウド アプリまたは操作] 内のリンクをクリック、以下の設定を行います。
・ 適用対象： すべてのクラウド アプリ
Azure AD に組み込まれている Microsoft クラウド アプリや Azure AD に手動で追加したクラウド アプリのことを指します (Office など、デバイスにインストールして利用するアプリのことではありません)
・ 対象 ： すべてのユーザー
・ 対象外：[ユーザーとグループ] を選択し、ブロック対象外とする特殊アカウント (緊急アクセス用管理者アカウントなど) を登録する
- [条件] 内のリンクをクリックします。
- 「デバイス プラットフォーム」 内のリンクをクリックし、以下の設定を行い、[完了] をクリックします。
・ 構成 ： はい
・ 対象 ： デバイス プラットフォームの選択で [Android]、[iOS] をオン
- 「許可」 内のリンクをクリックし、以下の設定を行います。そして、[選択] をクリックします。
・ [アクセス権の付与] を選択
・ [アプリの保護ポリシーが必要] をオン
- [レポート専用] を選択し、[作成] をクリックします。
条件付きアクセスの設定を作成したとき初回は必ず [レポート専用] を選択してください。動作確認せずに [オン] で作成した場合、設定ミスがあったときに全ユーザーが Microsoft 365 にアクセスできなくなる可能性があります。[レポート専用] を選択するとブロックは行われずに、Azure AD のサインインログにブロック結果が記載されます。制御結果の確認方法は、[組織のネットワーク以外からの Microsoft 365 アクセスをブロックする] 記事の [条件付きアクセスの動作確認] を参照ください
条件付きアクセスの動作確認
条件付きアクセスの [ポリシーの有効化] を [オン] に変更し、モバイルデバイスでアプリ保護ポリシーが展開されていないアプリから Microsoft 365 にアクセスします。[アプリの保護ポリシーが必要] の条件を満たしていないため、アクセスがブロックされることを確認します。
まとめ
条件付きアクセスは、多要素認証や Microsoft Intune などの他の機能と組み合わせたアクセス制御が可能です。セキュリティ機能を組み合わせて利用することで、より安全性が高い環境で Microsoft 365 が利用できます。
関連記事として、以下もぜひご覧ください。
・条件付きアクセスを用いて Microsoft 365 へのアクセスを制御する
・組織のネットワーク以外からの Microsoft 365 への接続をブロックする
・組織で利用する iOS/iPadOS デバイスを Microsoft Intune で管理する
・組織で利用する Android デバイスを Microsoft Intune で管理する
・Microsoft Intune で iOS/iPadOS デバイスの機能を制御する
・Microsoft Intune で Android デバイスの機能を制御する
・Microsoft Intune から iOS/iPadOS にアプリを自動配布する
・Microsoft Intune : iOS/iPadOS アプリのデータを保護する
・Microsoft Intune から Android にアプリを自動配布する
Microsoft 365 管理者向けコース
- CI520-O 今からはじめる Azure AD 基礎
Microsoft 365、Microsoft Azure では、ユーザーの管理や認証を行うしくみとして Azure AD が採用されています。本コースでは Azure AD の基礎を理解し、組織のセキュリティ向上につながる設定や運用を行っていただくことをめざします。Azure AD を「何となく使っているけれど一度基本からしっかり理解を深めたい」という方や、これから Microsoft 365 の管理者になる AD をそもそも知らない方などにおすすめのコースです。 - CI531-H シナリオベースで理解する Microsoft 365 セキュリティ機能
Microsoft 365 で利用できるセキュリティ機能と、それぞれが何のために利用するものかシナリオベースで解説します。 “どんな” 機能が利用できて、”何に” 対するセキュリティ対策になり、利用するためにはどのような設定が必要かを整理します。 - CI525-H Office 365 とクラウドサービスの認証ベストプラクティス (Azure AD 編)
Microsoft 365 をはじめとするクラウドサービスへのユーザー認証の設計と実装について学習します。Azure AD では、SAML、OpenID Connect、OAuth2.0 など、様々なID 連携プロトコルを利用して 365 だけでなく、SaaS や PaaS などのクラウドサービスにシングルサインオンするために必要な実装やシングルサインオン環境を実現するために必要な知識を習得します。 - CI532-H EMS で実現するクラウド IT インフラ管理
企業でのデバイス管理や展開をおこなう方を対象に、EMS を利用した “モダンマネージメント” を実践していただこうと考えています。豊富な実習を通してクラウドベースでの IT インフラ管理へ移行する方法を習得し、管理の考え方もクラウドベースにシフトしていきましょう。 - CI535-H Microsoft 365 を利用したインシデント対応
Microsoft 365 E5 を利用している企業を対象に、サイバー攻撃の検知や対応を具体的に行う方法について解説し、インシデント対応プロセスをどのように進めていくべきかについてベストプラクティスを探っていきます。 - CI510-H 管理者のための Microsoft Teams – 活用シナリオ理解と管理手法
IT 管理者向けに Microsoft Teams 活用のためのシナリオや、必要となる管理知識を解説します。Teams の導入/展開にあたり、理解しておかないといけない運用管理の手法や注意事項をご理解いただけます。
オンライン コースも提供中！