はじめに
クラウド利用と在宅勤務が定着した現在、「境界の内側は安全」という考え方は通用しません。
ユーザーの場所・端末・リスクを都度評価してアクセスを制御する ゼロトラスト が標準になり、その中核が Microsoft Entra ID の条件付きアクセス（CA） です。
CA は「条件（Assignments）」と「アクセス制御（Access controls）」の if-then で構成され、MFA の要求、準拠端末の強制、アクセス拒否などを状況に応じて自動適用します。
基本概念と構成要素は公式「What is Conditional Access?」がまとまっています（概要）。
条件付きアクセスの基本
- 👤 対象（ユーザー/グループ/ロール）：特権ロールは最優先で強化。
- ☁ クラウドアプリ/アクション：Exchange Online/SharePoint など特定アプリや認証コンテキストに適用（対象リソース）。
- 🗺 場所（Named locations）：国/IP/GPS ベースで評価（場所条件の活用例）。
- 💻 デバイス状態：Intune の準拠・ハイブリッド参加などの属性で制御（デバイス準拠の開始）。
- 🛡 リスク：ID Protection のサインイン/ユーザーリスクをシグナルに（ID Protection 概要）。
設計原則（小規模向けの現実解）
- 最小権限から着手：まずは管理者ロールへ「MFA 必須＋レガシー認証ブロック」。
- 段階適用を徹底：Report-only（レポート専用）で影響を可視化 → 問題がなければ本番切替（report-only の使い方、インサイト/レポート）。
- “社内=無条件に許可”を捨てる：社内でも侵害は起こる。信頼済みネットワークは軽減の候補にはなるが、準拠端末やリスクと組み合わせて判断。
- 例外の設計：SMTP AUTH/IMAP などレガシー経路は原則廃止。やむを得ない場合はサービスアカウントを分離し、期間限定の例外に。
推奨ポリシー雛形（サンプル）
A. 管理者アカウントの強制 MFA（必須）
- 対象：Global/Privileged Role Administrator 等
- 制御：MFA 必須＋レガシー認証ブロック
- ねらい：乗っ取りの初動を確実に遮断。
B. 社外アクセスは MFA、社内は準拠端末のみ
- 条件：社外（信頼済み以外）→ MFA 要求／社内 → 準拠端末のみ許可
- 補足：固定 IP だけを“安全”と見なさない。GPS/国別ブロックも併用可能（ネットワーク条件）。
C. Exchange/SharePoint は「準拠端末前提」
- 制御：Intune 準拠 or ハイブリッド参加を満たさない端末はブロック。
- 導入：まずは情報系アプリから適用し、業務影響を見ながら段階拡大（準拠ポリシー作成）。
D. 高リスクのサインインはブロック／復旧フローへ
デプロイの進め方（4週間プラン）
- Week1：現状把握
- サインインログで“場所・アプリ・失敗理由”を確認（Sign-in logs）。
- 既存の MFA 実施率やレガシー利用の有無を棚卸し。
- Week2：パイロット
- 管理者＋代表 5 名で A～C を Report-only。影響・例外を洗い出す。
- Week3：本番切替
- 管理者は A を即本番、一般ユーザーは B/C を部門単位で段階適用。
- Week4：最適化
- 失敗の傾向（MFA 拒否、場所不一致、非準拠）を分類し、ヘルプ記事と教育に反映。
運用・監視（“見える化”で回す）
- 📊 ログ活用：サインイン/監査ログを Azure Monitor 等へ転送し、恒常的に可視化（統合手順、ログ種別）。
- 🧪 What If/Report-only：ポリシー影響を事前評価（What If ツール）。
- 🧯 Break-glass アカウント：MFA 免除の緊急用を厳重保管。ロックアウト事故を防止。
- 📬 ユーザー教育：プッシュ連打に安易に承認しない（MFA 疲労攻撃対策）。
よくある落とし穴と回避策
- ⚠ 自分をロックアウト：管理者適用は必ず Report-only→段階有効化。
- ⚠ 場所条件の過信：VPN/プロキシで想定外の評価に。複数経路と国ブロックを併用。
- ⚠ レガシー依存の残存：POP/IMAP/SMTP AUTH は MFA をすり抜ける経路。可視化して廃止計画へ。
- ⚠ 準拠判定の未整備：Intune 未登録端末が多いと業務停止に直結。先に自動登録と最低限の準拠基準を配布。
まとめ
CA は強いセキュリティと利便性の両立を可能にします。
小さく試して効果を測り、例外は明文化、ログを常時観測する——このサイクルを回せば、少人数の IT チームでも十分に運用できます。
リンクの公式手順を併読し、自社要件に合わせて段階的に最適化していきましょう。
コメント