アンマネージド デバイスに対してアプリケーションによって適用される制限を使用する

このポリシーは、組織が次の取り組みを行うのに役立ちます。

• 特定の SharePoint サイトまたは OneDrive へのアクセスをブロックまたは制限する
• Outlook on the web および新しい Outlook for Windows のメール添付ファイルへのアクセスを制限する
• アンマネージド デバイスにアイドル セッション タイムアウトを適用する

ユーザーの除外

条件付きアクセス ポリシーは強力なツールです。 ポリシーから次のアカウントを除外することをお勧めします。

• ポリシーの誤った構成によるロックアウトを防ぐための緊急アクセス アカウントまたはブレークグラス アカウント。 すべての管理者がロックアウトされる可能性が低いシナリオでは、緊急アクセス管理者アカウントを使用してサインインし、アクセスを回復できます。
  • 詳細については、「 Microsoft Entra ID で緊急アクセスアカウントを管理する」を参照してください。
• サービス アカウント と サービス プリンシパル (Microsoft Entra Connect 同期アカウントなど)。 サービス アカウントは、特定のユーザーに関連付けられていない非対話型アカウントです。 通常、アプリケーションへのプログラムによるアクセスを許可するためにバックエンド サービスによって使用されますが、管理目的でシステムにサインインするためにも使用されます。 サービス プリンシパルによって行われた呼び出しは、ユーザーを対象とする条件付きアクセス ポリシーによってブロックされません。 ワークロード ID の条件付きアクセスを使用して、サービス プリンシパルを対象とするポリシーを定義します。
  • 組織がスクリプトまたはコードでこれらのアカウントを使用している場合は、 それらをマネージド ID に置き換えます。

Template deployment

組織は、以下で説明する手順に従うか、 条件付きアクセス テンプレートを使用して、このポリシーを展開できます。

条件付きアクセス ポリシーを作成する

1. Microsoft Entra 管理センターに、少なくとも条件付きアクセス管理者としてサインインします。
2. Entra ID>Conditional Access>Policies に移動します。
3. [ 新しいポリシー] を選択します。
4. ポリシーに名前を付けてください。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
5. [ 割り当て] で、[ ユーザーまたはワークロード ID] を選択します。
   1. [含める] で、[すべてのユーザー] を選択します
   2. [ 除外] で、[ ユーザーとグループ ] を選択し、組織の緊急アクセスまたはブレイクグラス アカウントを選択します。
6. [ ターゲット リソース>リソース (以前のクラウド アプリ)) で、次のオプションを選択します。
   1. [ 含める] で、[ リソースの選択] を選択します。
   2. Office 365 を選択し、[選択] を選択します。
7. [ アクセス制御>Session] で、[ アプリによって適用される制限を使用する] を選択し、[選択] を 選択します。
8. 設定を確認し 、[ポリシーの有効化] を [レポートのみ] に設定します。
9. [ 作成] を選択して作成し、ポリシーを有効にします。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

次の手順

条件付きアクセス テンプレート

条件付きアクセスのレポート専用モードを使用して、新しいポリシー決定の結果を決定します。