条件付きアクセスを使用してレガシ認証をブロックすることに関する記事
Microsoft では組織に対して、多要素認証をサポートしていないレガシ プロトコルを使用した認証要求をブロックすることをお勧めします。 Microsoft の分析に基づくと、資格情報のスタッフィング攻撃の 97% 以上がレガシ認証を利用し、パスワード スプレー攻撃の 99% 以上がレガシ認証プロトコルを利用しています。 これらの攻撃は、基本認証が無効化またはブロックされると止まります。
条件付きアクセスに対応しているライセンスがない顧客は、セキュリティの既定値群 を利用してレガシ認証をブロックできます。
ユーザーの除外
条件付きアクセス ポリシーは強力なツールであり、次のアカウントをポリシーから除外することをお勧めします。
- ポリシー構成の誤りによるロックアウトを防ぐための緊急アクセスまたはブレークグラス アカウント。 すべての管理者がロックアウトされるというごくまれなシナリオにおいて、緊急アクセス用管理アカウントは、ログインを行い、アクセスを復旧させるための手順を実行するために使用できます。
- 詳細は、「Microsoft Entra ID で緊急アクセス用アカウントの管理」の記事を参照してください。
- サービス アカウントとサービス プリンシパル (Microsoft Entra Connect 同期アカウントなど)。 サービス アカウントは、特定のユーザーに関連付けられていない非対話型のアカウントです。 通常、アプリケーションへのプログラムによるアクセスを可能にするバックエンド サービスによって使用されますが、管理目的でシステムにログインするときにも使用されます。 サービス プリンシパルによる呼び出しは、ユーザーにスコーピングされる条件付きアクセス ポリシーによってブロックされません。 ワークロード ID の条件付きアクセスを使用して、サービス プリンシパルを対象とするポリシーを定義します。
- 組織がスクリプトまたはコードでこれらのアカウントを使用している場合、マネージド ID に置き換えることを検討してください。
テンプレートのデプロイ
組織は、このポリシーをデプロイするのに以下に示す手順を使用するか、条件付きアクセス テンプレートを使用するかを選ぶことができます。
条件付きアクセス ポリシーを作成する
次の手順を実行すると、レガシ認証要求をブロックする条件付きアクセス ポリシーを作成できます。 このポリシーはレポート専用モードとなり、管理者が既存のユーザーに与える影響を判断できるようになります。 ポリシーが意図したとおりに適用されると管理者が判断した場合は、オンに切り替えたり、特定のグループを追加し他のグループを除外することでデプロイをステージングしたりすることができます。
- 条件付きアクセス管理者以上として Microsoft Entra 管理センターにサインインします。
- [保護]>[条件付きアクセス]>[ポリシー] に移動します。
- [新しいポリシー] を選択します。
- ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
- [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。
- [Include](含める) で、 [すべてのユーザー] を選択します。
- [Exclude](除外) で、 [ユーザーとグループ] を選択し、今後もレガシ認証を使用できる必要があるアカウントをすべて選択します。 Microsoft では、構成ミスが原因でロックアウトされないように、少なくとも 1 つのアカウントを除外することをお勧めします。
- [ターゲット リソース]>[リソース] (以前の [クラウド アプリ])>[追加] で、[すべてのリソース] (以前の [すべてのクラウド アプリ]) を選択します。
- [条件]>[クライアント アプリ] で、 [構成] を [はい] に設定します。
- [Exchange ActiveSync クライアント] と [その他のクライアント] のボックスのみをオンにします。
- [Done] を選択します。
- アクセス制御>許可 で、アクセスのブロック を選択します。
- [選択] を選択します。
- 設定を確認し、 [ポリシーの有効化] を [レポート専用] に設定します。
- [作成] を選択して、ポリシーを作成および有効化します。
管理者は、レポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動できます。
注意
条件付きアクセス ポリシーは、第 1 段階認証が完了した後で適用されます。 条件付きアクセスはサービス拒否 (DoS) 攻撃などのシナリオに対する組織の防御の最前線を意図したものではありませんが、これらのイベントからのシグナルを使用してアクセス権を判定できます。
レガシ認証の使用を識別する
レガシ認証を使用するクライアント アプリをユーザーが使っているかどうかを把握するために、管理者は次の手順でサインイン ログ内のインジケーターを確認できます。
- Microsoft Entra 管理センターにレポート閲覧者以上でサインインしてください。
- [ID]>[監視と正常性]>[サインイン ログ] の順に移動します。
- [クライアント アプリ] 列が表示されていない場合は、[列]、[クライアント アプリ] を選択してその列を追加します。
- [フィルターの追加]、[クライアント アプリ] を選択し、すべてのレガシ認証プロトコルを選択し、[適用] を選択します。
- また、[ユーザーのサインイン (非対話型)] タブで次の手順を行います。
フィルター処理によって、レガシ認証プロトコルによって行われたサインイン試行のみが表示されます。 各サインイン試行をクリックすると詳細が表示されます。 [基本情報] タブの [クライアント アプリ] フィールドには、どのレガシ認証プロトコルが使用されたかが表示されます。 これらのログは、レガシ認証に依存するクライアントを使用しているユーザーを示しています。
さらに、テナント内のレガシ認証をトリアージするために、レガシ認証ブックを使用したサインインを使います。