継続的アクセス評価を使用してアプリケーションをセキュリティ保護する
この記事は、開発者が継続的アクセス評価を使用してアプリケーションのセキュリティを強化するのに役立ちます。 Microsoft Entra ID からアクセス トークンを取得するときに、リソースにアクセスするための承認を受けるアプリでゼロ トラスト サポートを確保する方法について説明します。
Microsoft Entra ID は、これらのアクセス トークンを発行する際、その承認に関わるすべての条件を完全に検証します。 Microsoft Entra ID は、最初のトークン要求のトークンを発行するときと、トークンを更新するときに、同意の確保などの標準的な承認アクションを実行します。
Microsoft Entra ID は、アクセス トークンとして主に JSON Web トークン (JWT) を使用します。 リソース API は、リソース API に呼び出しがかかるたびに Microsoft Entra ID にコールバックしなくても、JWT をデコード、検証、および解釈することができます。 JWT 標準では、その時刻以降にJWT トークンを受け入れて処理してはならない有効期限を指定する有効期限クレームが定義されます。 既定では、Microsoft Entra トークンは発行後 60 分から 90 分後に期限切れになります。 アプリケーションは、Microsoft Entra ID が承認条件を評価しないこの期間中、アクセス トークンをキャッシュして使用する必要があります。
トークンの発行以外の条件を評価する
Microsoft のお客様が、Microsoft Entra ID がトークンを発行するときの、ユーザー条件の変更からポリシー変更の適用までの間の遅延について懸念しています。 こうしたトークン有効期間短縮化アプローチは、リスクを排除できないにもかかわらず、ユーザーエクスペリエンスと信頼性を低下させる可能性があります。
これに対する 1 つの解決策は、保護されたリソースに対する呼び出しごとに条件を評価することです。 これを実装する最も一般的な方法が、トークンのイントロスペクションです。 トークンのイントロスペクションでは、トークンに JWT 形式は使用されません。 代わりに、トークンイントロスペクションでは、リソース API側 で解釈できない不透明な文字列を使用します。 リソース API は、各呼び出しごとに ID プロバイダーにトークンを送信します。 その後、ID プロバイダーは、必要な条件をチェックし、リソース API が操作を完了するために使用できるデータを返します。 ただしこのプロセスは、すべての API 呼び出しごとに新たなラウンド トリップ Web 要求を追加するため、高額な費用を伴います。
継続的アクセス評価 (CAE) を利用してこの費用課題に対処する方法として、リソース API は、Microsoft Entra ID がリソース API に対して発行するトークンについて Microsoft Entra ID がプッシュするイベントをリッスンすることができます。 たとえば、お使いのアプリケーションが Microsoft Graph API を呼び出すとき、Microsoft Graph はトークンに関するイベントを Microsoft Entra ID から受信したかどうかを確認できます。 元の認証の条件が異なり、ユーザーが再認証する必要がある場合、Microsoft Graph は呼び出し元のアプリにエラーを返します。
Microsoft Entra ID は、次のいずれかのイベントが発生したときに、CAE 対応の Microsoft リソースにイベントを送信します。
- ユーザー アカウントが削除または無効化された
- パスワードが変更またはリセットされている場合
- ユーザーの多要素認証が有効化された
- 管理者が、ユーザーのすべての更新トークンを明示的に取り消した
- Microsoft Entra ID 保護機能により、より高いユーザー リスクが検出された場合
さらに、CAE 対応の Microsoft リソースは、場所ベースの条件付きアクセス ポリシーを執行できます。
CAE によりアプリケーションのセキュリティと回復性を向上させる
Microsoft Entra の継続的アクセス評価に基づくさらに安全で回復性の高いアプリケーションの構築動画では、CAE サポートを利用してクライアント アプリケーションを構築する方法を示しています。
このプレゼンテーション動画では、以下のステップごとに、最新の認証を使用する際にアプリケーションがどのように動作するかを学習します。
- アプリケーションが最新の認証を使用する際にどのように動作するか
- アプリケーションが Microsoft ID にトークンを要求する
- アプリケーションがアクセス トークンを受け取る
- アプリケーションが JWT でAPI／承認を呼び出す
- イントロスペクション
- 共有シグナルとイベント
- 重大なイベントの評価
- 条件付きアクセス ポリシーの評価
- 呼び出されたAPI の 継続的アクセス評価
- クレームチャレンジ
継続的アクセス評価を使用すると、アプリケーションの承認により、アクセス トークンの有効期間とは関係なく取り消されたリソースにアクセスできます。 たとえば、アプリケーションにさらに 75 分間有効なトークンがある場合。 認証情報の侵害により、ユーザーのリスクが高い状態にある場合。 CAE はリソースへのアプリのアクセスをブロックし、続行する前にユーザーに再認証を要求します。 こうして、CAE は、アプリケーションのセキュリティ強化という最も重要な目標を達成できます。
トークンの有効期間とは関係なくリソースへのアクセスを取り消すことができるため、Microsoft Entra ID はより長い有効期間のトークンを発行することができます。 CAE をサポートするアプリケーションの場合、Microsoft Entra ID は最大 28 時間有効なトークンを発行できます。 このようにトークンの有効期間が長くなってもアプリの回復性は向上しませんが、アプリケーションがトークンを要求する頻度が大幅に減るため、アプリのコストが削減されます。
CAE は、Microsoft Entra ID からアクセス トークンを取得する際にアプリケーションで発生し得る問題に対するアプリケーションの回復性を向上させます。 可能な限り、Microsoft Entra ID は、アクセス トークンを含むトークン応答の一部として更新時間を発行します。 Microsoft 認証ライブラリ (MSAL) では、この更新時間に基づいて能動的にトークンを更新します。 更新時間は、トークン有効期限の何分の 1 かの値 (通常は1/2) に設定されています。 トークンの有効期限が切れる前に MSAL 側でアクセス トークンの更新が可能な限り、そのアプリケーションはトークン更新の問題に対しては回復性を維持します。
たとえば、アプリケーションが CAE をサポートしている場合、Microsoft Entra ID は、 Microsoft Graph を呼び出すアプリケーションを承認するための24 時間有効なトークンを発行します。 Microsoft Entra ID は、12 時間後に能動的にトークンを更新するように MSAL に指示します。 これにより、たとえMSAL がアクセス トークンの更新に失敗しても、元のアクセス トークンがまだ12 時間有効なので、アプリケーションはMicrosoft Entra ID からのトークン取得に関する諸課題についてより高い回復性を備えることになります。
アプリに継続的アクセス評価を実装する
継続アクセス評価対応 API をアプリケーションに適用するにはで説明しているように、アプリケーション自体もそれがアクセスするリソース API も CAE 対応である必要があります。 ただし、CAE 対応のリソースを使用するようにコードを準備しても、CAE 対応でない API を使用できなくなるわけではありません。 MSAL を使用していないアプリケーションでも、CAE を使用するための クレームチャレンジ、クレーム要求、およびクライアント機能 のサポートを追加することができます。
次のステップ
- Microsoft Entra ID におけるワークロード ID の継続的なアクセス評価では、組織にとっての CAE セキュリティ 使用のメリットを説明します。
- 継続的アクセス評価に基づく認証セッション管理へのゼロ トラスト原則の適用では、ユーザー エクスペリエンスや生産性に影響を与えずに認証セッションのセキュリティ保護を保証し、セッション管理を最新化する方法について説明します。
- 開発する認証および承認アプリケーションの回復性を高めるでは、Microsoft ID プラットフォームと Microsoft Entra ID を使用したアプリケーション回復性強化に関するガイダンスを提供する一連の記事を紹介します。 また、トークンの使用と、リソースの呼び出しに関するベスト プラクティスも含まれます。
- 「ID に対するゼロ トラストアプローチを使用したアプリの構築」では、アクセス許可とアクセスのベスト プラクティスの概要について説明しています。
- 「アプリケーションの Microsoft Entra ID および Microsoft ID プラットフォームとの統合」は、IT 担当者が企業内でセキュリティ保護を行えるアプリを開発者が構築して統合を行う上で役に立ちます。