フィッシングに強い多要素認証を管理者に要求する

特権管理者ロールを持つアカウントは、攻撃者の頻繁なターゲットです。 これらのアカウントに対してフィッシングに強い多要素認証 (MFA) を要求すると、侵害のリスクが軽減されます。

Microsoft では、少なくとも次のロールに対してフィッシングに強い多要素認証を要求することをお勧めします。

• グローバル管理者
• アプリケーション管理者
• 認証管理者
• 課金管理者
• クラウド アプリケーション管理者
• 条件付きアクセス管理者
• Exchange 管理者
• ヘルプデスク管理者
• パスワード管理者
• 特権認証管理者
• 特権ロール管理者
• セキュリティ管理者
• SharePoint 管理者
• ユーザー管理者

組織は、要件に基づいてロールを含めたり除外したりできます。

組織では、 ロールのアクティブ化に MFA を要求できる Privileged Identity Management (PIM) などの機能でこのポリシーを使用できます。

認証強度

この記事は、組織が認証強度を使用して環境の MFA ポリシーを作成するのに役立ちます。 Microsoft Entra ID には、次の 3 つの 組み込みの認証強度があります。

• 多要素認証強度 (緩い制限)
• パスワードレス MFA 強度
• この記事で推奨されるフィッシング耐性 MFA 強度 (最も制限の厳しい)

組み込みの強度のいずれかを使用するか、必要な認証方法に基づいて カスタム認証強度 を作成します。

外部ユーザー シナリオでは、リソース テナントが受け入れる MFA 認証方法は、ユーザーがホーム テナントとリソース テナントのどちらで MFA を完了するかによって異なります。 詳細については、「 外部ユーザーの認証強度」を参照してください。

ユーザーの除外

条件付きアクセス ポリシーは強力なツールです。 ポリシーから次のアカウントを除外することをお勧めします。

• ポリシー構成の誤りによるロックアウトを防ぐための緊急アクセスまたはブレークグラスアカウント。 すべての管理者がロックアウトされる可能性が低いシナリオでは、緊急アクセス管理者アカウントを使用してサインインし、アクセスを回復できます。
  • 詳細については、「 Microsoft Entra ID で緊急アクセスアカウントを管理する」を参照してください。
• サービス アカウント と サービス プリンシパル (Microsoft Entra Connect 同期アカウントなど)。 サービス アカウントは、特定のユーザーに関連付けられていない非対話型アカウントです。 通常、アプリケーションへのプログラムによるアクセスを許可するためにバックエンド サービスによって使用されますが、管理目的でシステムにサインインするためにも使用されます。 サービス プリンシパルによって行われた呼び出しは、ユーザーを対象とする条件付きアクセス ポリシーによってブロックされません。 ワークロード ID の条件付きアクセスを使用して、サービス プリンシパルを対象とするポリシーを定義します。
  • 組織がスクリプトまたはコードでこれらのアカウントを使用している場合は、 それらをマネージド ID に置き換えます。

Template deployment

組織は、以下で説明する手順に従うか、 条件付きアクセス テンプレートを使用して、このポリシーを展開できます。

条件付きアクセス ポリシーを作成する

1. Microsoft Entra 管理センターに、少なくとも条件付きアクセス管理者としてサインインします。
2. Entra ID>Conditional Access>Policies に移動します。
3. [ 新しいポリシー] を選択します。
4. ポリシーに名前を付けます。 組織のポリシーにわかりやすい名前付け標準を作成します。
5. [ 割り当て] で、[ ユーザーまたはワークロード ID] を選択します。

   1. [ 含める] で[ ディレクトリ ロール ] を選択し、少なくとも前に一覧表示されたロールを選択します。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、 管理単位スコープ ロールや カスタム ロールなど、他のロールの種類には適用されません。

   2. [ 除外] で [ ユーザーとグループ] を選択し、組織の緊急アクセスまたは重大なアカウントを選択します。

6. ターゲット リソースリソース (旧称クラウド アプリ)に含める すべてのリソース （旧称「すべてのクラウド アプリ」） を選択します。
7. [ アクセス制御>許可] で、[アクセス権の 付与] を選択します。
   1. [ 認証強度を要求する] を選択し、一覧から [フィッシング耐性 MFA 強度 ] を選択します。
   2. 選択を選択します。
8. 設定を確認し、[ ポリシーの有効化] を [レポートのみ] に設定します。
9. [ 作成] を選択してポリシーを有効にします。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

関連するコンテンツ

• Microsoft Entra 組み込みロール
• 条件付きアクセス テンプレート
• Privileged Identity Management で Microsoft Entra ロール設定を構成する方法について説明します。