多要素認証と条件付きアクセスを段階導入する

なぜ、先にこれをやるのか

Microsoft 365への不正アクセスの多くは、特殊な攻撃ではなく、どこかで漏れたIDとパスワードをそのまま試されて成立します。パスワードを複雑にしても、漏れてしまえば意味がありません。要素をもう一つ足すこと、これが最も費用対効果の高い一手です。追加の製品を買う必要はありません。

この手順を終えると、どうなるか

Microsoft 365にアクセスする全社員へ、多要素認証を要求している状態になります。ただし、いきなり全員に強制はしません。緊急用の管理者アカウントを用意し、少人数で試し、レポート専用モードで影響を見る。この順番を守ることが、この手順の本体です。

条件付きアクセスで難しいのは、設定を作る作業ではありません。誰を対象外にするか、利用者にどう案内するか、スマートフォンを持たない社員をどうするか。決めるべきはこの3つです。

前提条件

1. 現在の設定を記録する

1. Microsoft Entra管理センターを開きます。
2. 保護 > 条件付きアクセス > ポリシーを確認します。
3. 既存ポリシーの名称、状態、対象、除外、許可制御を記録します。
4. セキュリティの既定値群を使用中か確認します。

ここを飛ばして新しいポリシーを追加すると、同じ利用者に複数の条件が重なり、後から原因が追えなくなります。面倒でも、変更前の画面と設定値を必ず残してください。

2. 緊急用管理者を準備する

• 通常の管理作業には使わない
• 他の管理者と同じスマートフォンだけに依存させない
• 利用を監視し、使用時は理由を記録する
• 条件付きアクセスポリシーから明示的に除外する

このアカウントは、全員が締め出されたときの最後の鍵です。ポリシーから除外する代わりに、長く固有のパスワードと、金庫に相当する保管場所を用意してください。除外することと、守りを緩めることは別です。

3. 試験用ポリシーを作成する

1. 保護 > 条件付きアクセス > ポリシー > 新しいポリシーを開きます。
2. 名前を CA-001-Require-MFA-AllResources-Pilot とします。
3. 対象に試験グループを指定します。
4. 除外に緊急用管理者アカウントを指定します。
5. ターゲットリソースはすべてのリソースを基本とします。
6. 許可制御で多要素認証を要求するを選択します。
7. ポリシーの状態をレポート専用にして保存します。

4. 影響を確認する

試験利用者に通常どおり仕事をしてもらい、次を確認します。

• Outlook、Teams、OneDriveへアクセスできる
• スマートフォン交換時の再登録手順が分かる
• 現場で電波が弱い場合でも認証可能か
• 共有アカウントや複合機が対象に混ざっていないか
• サインインログ上で期待したポリシーが評価されているか

問題がなければ試験グループで有効化し、その後は部門単位で広げます。一度に全社へ広げないでください。問い合わせが集中し、現場が止まります。

5. 完了確認

• 緊急用管理者でサインインできる
• 試験利用者全員が認証方法を登録した
• サインインログで成功・失敗理由を確認した
• 問い合わせ先を社員へ通知した
• 対象と除外を設計書へ記録した

うまくいかなかったときの戻し方

不具合が出たとき、ポリシーは削除せずレポート専用へ戻してください。削除すると原因調査に必要な設定が失われます。締め出しが発生した場合は、除外済みの緊急用管理者で状態を変更します。

公式情報

• Microsoft Entra 条件付きアクセスの概要
• 条件付きアクセスのターゲットリソース
• 条件付きアクセスのトラブルシューティング