Entraセキュリティ既定値群の有効化について

Question

Entraのセキュリティ既定値群を有効化した際の影響についてご教示ください。

Entraで多要素認証を実現したいと考えています。

多要素認証を実現する場合、以下参考サイトを確認するとEntra ID P1ライセンスを手配しなくても「セキュリティ既定値群」の設定を有効化することで多要素認証は実現できると認識しています。

既定値群の設定は一括設定で有効化することにより全ユーザでMFA登録が必須、

エンタープライズアプリケーションへアクセスした際もMFA要求されると認識したのですが認識誤りでしょうか。

また参考資料1の前提1、3項に記載のある以下記述で「必要に応じて」と記載されている部分の

理解が追い付いていません。Entra ID P1ライセンスを手配し、条件付きアクセスの設定で

条件に応じてMFAを要求させるということであれば理解できますが、オプションライセンスがなくEntra ID Freeしかない場合、どのような挙動になるのでしょうか。

・必要に応じてユーザーに多要素認証を要求します。

参考資料
1：https://jpazureid.github.io/blog/azure-active-directory/security-default-2022/
2：https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults
3：https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-mfa-licensing

Answer 1

・必要に応じてユーザーに多要素認証を要求します。

というのは、要するに Entra ID Premium ライセンスで利用できる「リスクベースのアクセス ポリシー」の簡易版のようなもので、あらかじめ Microsoft が定めたポリシーに基づいて「必要に応じて」MFA が求められるということでしょう。

セキュリティ上の設定なので、Microsoft がそのポリシーの詳細を公開することは無いと思いますし、もしそのポリシーで不都合があるなら、Entra ID P1/P2 ライセンスを購入して自分でポリシーを構成してください、ということでしょう。

オプションライセンスがなくEntra ID Freeしかない場合、どのような挙動になるのでしょうか

これは、テナント内に Entra ID P1 ライセンスのユーザーと P1 ライセンスのないユーザーが混在している場合の話でしょうか？

Answer 2

チャブーンです。

＃内容変更しました

この件ですが、質問者さんのご質問に「明確に答えた」情報は、ないようですね。

勘違いしてましたが、ARM APIへのアクセスのほかに、項目があるみたいです。本当に「必要に応じてユーザーに多要素認証の実行を要求する」で、言及しています。

https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults#require-users-to-do-multifactor-authentication-when-necessary

ここにある「 Microsoft では、場所、デバイス、役割、タスクなどの要素に基づいて、ユーザーに多要素認証を求めるタイミングが決定されます。」が答えなんだと思いますが、これは外部にはわからないので(条件がわかればMSが言及していると思いますので)、MSにといあわせるしかないでしょう。ただ条件を濁していますので、「セキュリティ要件として非公開(あなので教えられない)」という結果になってしまう可能性が、高いと思います。

Answer 3

https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults
　
https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-mandatory-multifactor-authentication

セキュリティの既定値は、スマホにインストールするオーセンティケータアプリで多要素認証を設計する機能でどなたでも利用できます。
むしろ 2025/03/15 までの延長申請を行っていない場合は、強制させらているはずです。
　
Entra ID 有償プランを購入していないテナントでも、セキュリティの既定値は設定出来ますから オーセンティケータアプリによる MFA を問題無く実装できます。
　
条件付きアクセスなどの高度な MFA を要求したい場合は Entra P1 など有償プランでの対応を検討頂くとよろしいかと存じます。