フィッシングに強い多要素認証を管理者に要求する

特権を持つ管理者ロールが割り当てられているアカウントは、攻撃者のターゲットになることがよくあります。 これらのアカウントに対して多要素認証 (MFA) を必須にすることは、これらのアカウントが侵害されるリスクを軽減する簡単な方法です。

Microsoft では、少なくとも次のロールに対してフィッシングに強い多要素認証を必要とすることをお勧めします:

• グローバル管理者
• アプリケーション管理者
• 認証管理者
• 課金管理者
• クラウド アプリケーション管理者
• 条件付きアクセス管理者
• Exchange 管理者
• ヘルプデスク管理者
• パスワード管理者
• 特権認証管理者
• 特権ロール管理者
• セキュリティ管理者
• SharePoint 管理者
• ユーザー管理者

組織は、独自の要件に基づいてロールを含めるか除外するかを選択できます。

組織では、このポリシーと Privileged Identity Management (PIM) などの機能を組み合わせて使って、ロールのアクティブ化に MFA を要求することができます。

認証強度

この記事のガイダンスは、組織が認証強度を使用して環境の MFA ポリシーを作成するのに役立ちます。 Microsoft Entra ID には、3 つの組み込みの認証強度が用意されています。

• 多要素認証強度 (緩い制限)
• パスワードレス MFA 強度
• フィッシング防止 MFA 強度 (最も厳しい制限) この記事で推奨

組み込み強度のいずれかを使用するか、必要な認証方法に基づいてカスタム認証強度を作成できます。

外部ユーザーのシナリオでは、ユーザーがホーム テナントまたはリソース テナントのどちらで MFA を完了しているかにより、リソース テナントが受け入れることができる MFA 認証方法が異なります。 詳細については、外部ユーザーの認証強度に関するページを参照してください。

ユーザーの除外

条件付きアクセス ポリシーは強力なツールであり、次のアカウントをポリシーから除外することをお勧めします。

• ポリシー構成の誤りによるロックアウトを防ぐための緊急アクセスまたはブレークグラス アカウント。 すべての管理者がロックアウトされるというごくまれなシナリオにおいて、緊急アクセス用管理アカウントは、ログインを行い、アクセスを復旧させるための手順を実行するために使用できます。
  • 詳細は、「Microsoft Entra ID で緊急アクセス用アカウントの管理」の記事を参照してください。
• サービス アカウントとサービス プリンシパル (Microsoft Entra Connect 同期アカウントなど)。 サービス アカウントは、特定のユーザーに関連付けられていない非対話型のアカウントです。 通常、アプリケーションへのプログラムによるアクセスを可能にするバックエンド サービスによって使用されますが、管理目的でシステムにログインするときにも使用されます。 サービス プリンシパルによる呼び出しは、ユーザーにスコーピングされる条件付きアクセス ポリシーによってブロックされません。 ワークロード ID の条件付きアクセスを使用して、サービス プリンシパルを対象とするポリシーを定義します。
  • 組織がスクリプトまたはコードでこれらのアカウントを使用している場合、マネージド ID に置き換えることを検討してください。

テンプレートのデプロイ

組織は、このポリシーをデプロイするのに以下に示す手順を使用するか、条件付きアクセス テンプレートを使用するかを選ぶことができます。

条件付きアクセス ポリシーを作成する

1. 条件付きアクセス管理者以上として Microsoft Entra 管理センターにサインインします。
2. [保護]>[条件付きアクセス]>[ポリシー] に移動します。
3. [新しいポリシー] を選択します。
4. ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
5. [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。

   1. [含める] で、[ディレクトリ ロール] を選択し、少なくとも上記の一覧に示されたロールを選びます。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、管理単位スコープやカスタム ロールなど、その他の種類のロールには適用されません。

   2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。

6. [ターゲット リソース]>[リソース (以前のクラウド アプリ)]>[対象] で、[すべてのリソース (以前の 'すべてのクラウド アプリ')] を選びます。
7. [アクセス制御]>[許可] で、 [アクセス権の付与] を選択します。
   1. [認証強度が必要] を選び、一覧から [フィッシングに強い MFA] 強度を選びます。
   2. [選択] を選択します。
8. 設定を確認し、 [ポリシーの有効化] を [レポート専用] に設定します。
9. [作成] を選択して、ポリシーを作成および有効化します。

管理者は、レポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動できます。

関連するコンテンツ

• Microsoft Entra ビルトイン ロール
• 条件付きアクセス テンプレート
• Privileged Identity Management で Microsoft Entra ロールの設定を構成する