アンマネージドデバイスに対してアプリケーションによって適用される制限を使用する

アンマネージドデバイスからの SharePoint、OneDrive、Exchange コンテンツへのアクセスをブロックまたは制限します。

ユーザーの除外

条件付きアクセスポリシーは強力なツールであり、次のアカウントをポリシーから除外することをお勧めします。

ポリシーの構成ミスによるロックアウトを防ぐため、緊急アクセス または break-glass アカウント。万一、すべての管理者がロックアウトされるシナリオでは、緊急アクセス管理アカウントを使用してログインし、アクセスを回復するための手順を実行できます。
- 詳細は、「Microsoft Entra ID で緊急アクセス用アカウントの管理」の記事を参照してください。
サービスアカウント および Service プリンシパル (Microsoft Entra Connect 同期アカウントなど)。サービスアカウントは、特定のユーザーに関連付けられていない非対話型のアカウントです。通常、アプリケーションへのプログラムによるアクセスを可能にするバックエンドサービスによって使用されますが、管理目的でシステムにログインするときにも使用されます。サービスプリンシパルによる呼び出しは、ユーザーにスコーピングされる条件付きアクセスポリシーによってブロックされません。ワークロード ID の条件付きアクセスを使用して、サービスプリンシパルを対象とするポリシーを定義します。
- 組織がスクリプトまたはコードでこれらのアカウントを使用している場合、マネージド ID に置き換えることを検討してください。

組織は、このポリシーをデプロイするのに以下に示す手順を使用するか、条件付きアクセステンプレートを使用するかを選ぶことができます。

条件付きアクセス管理者以上として Microsoft Entra 管理センターにサインインします。
[保護]>[条件付きアクセス]>[ポリシー] に移動します。
[新しいポリシー] を選択します。
ポリシーに名前を付けます。ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
[割り当て] で、 [ユーザーまたはワークロード ID] を選択します。
1. [Include](含める) で、 [すべてのユーザー] を選択します。
2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。
リソースのターゲット>リソース (以前のクラウドアプリ)で、次のオプションを選択します。
1. [ Includeで、[リソースの選択] 選択。
2. [Office 365]、[選択] の順に選びます。
[アクセス制御]>セッションで、[アプリによって適用される制限を使用する]、[選択] の順に選びます。
設定を確認し、 [ポリシーの有効化] を [レポート専用] に設定します。
[作成] を選択して、ポリシーを作成および有効化します。

管理者は、レポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動できます。