Microsoft 365 Business Premium の多要素認証を設定する

2025-09-10

スモールビジネスヘルプとラーニングに関するすべてのスモールビジネスコンテンツをご覧ください。

YouTube で Microsoft 365 Small Business ヘルプを確認してください。

多要素認証 (MFA、2 要素認証、または 2FA とも呼ばれます) には、ユーザーのサインインに 2 つ目の検証方法が必要であり、アカウントのセキュリティが向上します。

この記事では、使用可能なオプションを使用して MFA を設定する手順について説明します。

セキュリティの既定値: Microsoft Entra ID Free を使用して、すべての Microsoft 365 組織で使用できます。
条件付きアクセスポリシー: Microsoft Entra ID P1 または P2 を持つ Microsoft 365 組織で使用できます。
従来のユーザーごとの MFA (推奨されていません): Microsoft Entra ID Free を使用して、すべての Microsoft 365 組織で利用できます。

Microsoft 365 の MFA のさまざまなオプションの詳細については、「Microsoft 365 での多要素認証」を参照してください。

はじめに把握しておくべき情報

この記事の手順を実行する前に、アクセス許可を割り当てる必要があります。以下のオプションがあります。
- Microsoft Entraアクセス許可:
  - セキュリティの既定値をオンまたはオフにする: グローバル管理者ロール、^*セキュリティ管理者ロールのメンバーシップ。
  - 条件付きアクセスポリシーの作成と管理: グローバル管理者のメンバーシップ^*または条件付きアクセス管理者ロール。
  重要
  
  ^* Microsoft では、アクセス許可が最も少ないロールを使用することをお勧めします。アクセス許可の低いアカウントを使用すると、組織のセキュリティが向上します。グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。
セキュリティの既定値または条件付きアクセスを使用するには、organizationのユーザーに対して従来のユーザーごとの MFA をオフにする必要があります。 2019 以降に作成された組織のユーザーに対しては、オンにされていない可能性があります。手順については、「ユーザーごとのMicrosoft Entra多要素認証を有効にしてサインインイベントをセキュリティで保護する」を参照してください。
詳細: microsoft 以外のディレクトリサービスと Active Directory フェデレーションサービス (AD FS) (AD FS) (2019 年 7 月より前に構成) がある場合は、Azure MFA Server を設定します。詳細については、「Microsoft Entra多要素認証と Microsoft 以外の VPN ソリューションを使用した高度なシナリオ」を参照してください。

セキュリティの既定値の管理

2019 年 10 月以降に作成された Microsoft 365 組織では、セキュリティの既定値が既定でオンになっています。 organizationでセキュリティの既定値の現在の状態を表示または変更するには、次の手順を実行します。

https://entra.microsoft.comのMicrosoft Entra 管理センターで、[Identity>Overview] に移動します。または、概要ページに直接移動するには、 https://entra.microsoft.com/#view/Microsoft_AAD_IAM/TenantOverview.ReactViewを使用します。
概要ページで、[ プロパティ ] タブを選択し、タブの下部にある [ セキュリティの既定値 ] セクションに移動します。

セキュリティの既定値の現在の状態に応じて、次のいずれかのエクスペリエンスを使用できます。
- セキュリティの既定値はオンです。次のテキストが表示され、 セキュリティの既定値の管理 が使用できます。
  
  organizationはセキュリティの既定値で保護されています。
- Microsoft Entra ID P1 または P2 に 1 つ以上の条件付きアクセスポリシーが存在します。次のテキストが表示され、セキュリティの既定値の管理は使用できません。
  
  現在、organizationは条件付きアクセスポリシーを使用しているため、セキュリティの既定値を有効にできなくなります。条件付きアクセスを使用して、セキュリティの既定値で提供されるのと同じ動作を有効にするカスタムポリシーを構成できます。
  
  条件付きアクセスを管理すると、https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/PoliciesList.ReactViewの [ポリシー] ページに移動し、条件付きアクセスポリシーを管理します。セキュリティの既定値と条件付きアクセスポリシーを切り替えるには、この記事の「条件付きアクセスポリシーからセキュリティの既定値に戻す」セクションを参照してください。
- セキュリティの既定値はオフです:次のテキストが表示され、 セキュリティの既定値の管理 が使用できます。
  
  organizationは、セキュリティの既定値では保護されていません。
[ セキュリティの既定値の管理 ] が使用可能な場合は、セキュリティの既定値をオンまたはオフにするために選択します。

開いた [セキュリティの既定値] ポップアップで、次のいずれかの手順を実行します。
- セキュリティの既定値を有効にする: [ セキュリティの既定値 ] ドロップダウンリストで、[ 有効] を選択し、[保存] を選択 します。
- セキュリティの既定値をオフにする: [ セキュリティの既定値 ] ドロップダウンリストで、[無効] を選択 します。 [無効にする理由] セクションで、[My organization is planning to use Conditional Access]\(条件付きアクセスを使用する予定のマイ organization\) を選択します。
  
  [セキュリティの既定値] ポップアップが完了したら、[保存] を選択します
重要

P1 または P2 で条件付きアクセスポリシーに切り替えない限り、セキュリティの既定値Microsoft Entra IDオフにすることはお勧めしません。

条件付きアクセスポリシーを管理する

Microsoft 365 organizationに P1 以降Microsoft Entra IDが含まれている場合は、セキュリティの既定値ではなく条件付きアクセスを使用して、セキュリティ体制を強化し、より詳細な制御を行うことができます。例:

Microsoft 365 Business Premium (P1 Microsoft Entra ID)
Microsoft 365 E3 (P1 Microsoft Entra ID)
Microsoft 365 E5 (P2 Microsoft Entra ID)
アドオンサブスクリプション

詳細については、「条件付きアクセスのデプロイを計画する」を参照してください。

セキュリティの既定値から条件付きアクセスポリシーに切り替えるには、次の基本的な手順が必要です。

セキュリティの既定値をオフにします。
セキュリティの既定値でセキュリティポリシーを再作成するためのベースライン条件付きアクセスポリシーを作成します。
MFA の除外を調整します。
新しい条件付きアクセスポリシーを作成します。

ヒント

セキュリティの既定値が有効になっている場合は、新しい条件付きアクセスポリシーを作成できますが、有効にすることはできません。セキュリティの既定値をオフにした後、条件付きアクセスポリシーを有効にすることができます。

手順 1: セキュリティの既定値をオフにする

セキュリティの既定値と条件付きアクセスポリシーを同時に有効にすることはできません。そのため、最初に行う必要があるのは、セキュリティの既定値をオフにすることです。

手順については、この記事の「セキュリティの既定値を管理する」セクションを参照してください。

手順 2: セキュリティの既定値でポリシーを再作成するためのベースライン条件付きアクセスポリシーを作成する

セキュリティの既定値のポリシーは、すべての組織に対して Microsoft が推奨するベースラインであるため、他の条件付きアクセスポリシーを作成する前に、条件付きアクセスでこれらのポリシーを再作成することが重要です。

条件付きアクセスの次のテンプレートは、セキュリティの既定値でポリシーを再作成します。

^*代わりに、管理者にフィッシング耐性 MFA を要求するを使用して、セキュリティ体制を改善できます。

これらのテンプレートを使用して条件付きアクセスポリシーを作成するには、次の手順を実行します。

Microsoft Entra 管理センターで、条件付きアクセス |https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policiesの [ポリシー] ページ。
条件付きアクセス |[ポリシー] ページで、[テンプレートから新しいポリシー] を選択します。
[ テンプレートから新しいポリシー ] ページで、[ テンプレートの選択 ] タブが選択されていることを確認します。 [ テンプレートの選択 ] タブで、[ セキュリティで保護された基盤 ] タブが選択されていることを確認します。
[Secure foundation]\( セキュリティで保護された基盤 \) タブで、必要なテンプレートのいずれかを選択し (たとえば、 すべてのユーザーに多要素認証を要求する)、[ 確認と作成] の順に選択します。

ヒント

[管理者にフィッシング耐性の多要素認証を要求する] テンプレートを見つけて選択するには、[検索] ボックスを使用します。
[ 確認と作成 ] タブで、次の設定を表示または構成します。
- [基本 ] セクション:
  - ポリシー名: 既定の名前をそのまま使用するか、カスタマイズします。
  - ポリシーの状態: [オン] を選択します
- [割り当て ] セクション: [ ユーザーとグループ ] セクションで、[ 除外されたユーザー ] の値が [現在のユーザー ] であり、変更できないことに注意してください。 MFA 要件から除外する必要があるのは緊急アクセスアカウントのみです。詳細については、次の手順を参照してください。
[ 確認と作成 ] タブが完了したら、[ 作成] を選択します。

作成したポリシーは、 条件付きアクセス |[ポリシー] ページ。
残りのテンプレートに対して前の手順を繰り返します。

手順 3: MFA の除外を調整する

既定では、前の手順で作成した条件付きアクセスポリシーには、サインインしたアカウントの除外が含まれており、ポリシーの作成時に除外を変更することはできません。

特定の個人に割り当てられず、緊急時にのみ使用されるorganizationごとに、少なくとも 2 つの緊急アクセス管理者アカウントをお勧めします。これらのアカウントは MFA 要件から除外する必要があります。

現在のアカウントの除外を削除したり、緊急アクセスアカウントの除外を次のポリシーに追加したりする必要がある場合があります。

カスタム条件付きアクセスポリシーを作成する前に、緊急アクセスアカウントを作成し、次の手順を使用して MFA 関連ポリシーの除外を調整します。

条件付きアクセス |https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policiesの [ポリシー] ページで、前の手順で作成した MFA 関連のポリシーのいずれかを選択します (例: Azure 管理に多要素認証が必要)。
開いたポリシーの詳細ページで、[割り当て>ユーザー] セクションで [すべてのユーザーが含まれ、特定のユーザーが除外されました] を選択します。
表示される情報で、[ 除外 ] タブを選択します。
[ 除外 ] タブで、次の設定が構成されます。
- ポリシーから除外するユーザーとグループを選択します。値 [ ユーザーとグループ ] が選択されています。
- [除外されたユーザーとグループの選択]: 値 1 のユーザー が表示され、ポリシーの作成に使用されたユーザーアカウントが表示されます。
  - 除外されたユーザーの一覧から現在のアカウントを削除するには、[ >Remove] を選択します。
    
    値が 選択した 0 人のユーザーとグループ に変わり、警告テキスト [少なくとも 1 人のユーザーまたはグループを選択 ] が表示されます。
  - 除外されたユーザーの一覧に緊急アクセスアカウントを追加するには、 選択した 0 人のユーザーとグループを選択します。開 いた [除外されたユーザーとグループの選択 ] ポップアップで、除外する緊急アクセスアカウントを見つけて選択します。選択したユーザーが [ 選択済み ] ウィンドウに表示されます。完了したら、[選択] を 選択します。
    
    ポリシーの詳細ページに戻り、[ 保存] を選択します。
残りの MFA 関連ポリシーについては、前の手順を繰り返します。

ヒント

従来の認証ポリシーのブロックには除外が必要ない可能性があるため、前の手順を使用して既存の除外を削除できます。手順 4 で [ユーザーとグループ ] をオフにします。

条件付きアクセスポリシーでのユーザーの除外の詳細については、「ユーザーの除外」を参照してください。

手順 4: mew 条件付きアクセスポリシーを作成する

これで、ビジネスニーズを満たす条件付きアクセスポリシーを作成できます。詳細については、「条件付きアクセスのデプロイを計画する」を参照してください。

条件付きアクセスポリシーからセキュリティの既定値に戻す

条件付きアクセスポリシーを使用している場合、セキュリティの既定値はオフになります。 1 つ以上の条件付きアクセスポリシーが任意の状態 (オフ、オン、または レポートのみ) に存在する場合、セキュリティの既定値を有効にすることはできません。セキュリティの既定値を有効にする前に、既存のすべての条件付きアクセスポリシーを削除する必要があります。

注意

条件付きアクセスポリシーを削除する前に、それらの設定を必ず記録してください。

条件付きアクセスポリシーを削除するには、次の手順に従います。

条件付きアクセス |https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policiesの [ポリシー] ページで、削除するポリシーを選択します。
開いた詳細ページで、ページの上部にある [ 削除 ] を選択します。
開 いた [確認はい ] ダイアログで、[ はい] を選択します。

すべての条件付きアクセスポリシーを削除した後、「セキュリティの既定値を管理する」の説明に従って、セキュリティの既定値を有効にすることができます。