条件付きアクセスの基本的な考え方

こんにちは、Azure & Identity サポートチームの栗井です。

この記事では条件付きアクセスポリシー設定の基本的な考え方について解説します。

条件付きアクセスの基本的な考え方は、アクセスを制限すること

条件付きアクセスポリシーは、アクセスを許可する条件の設定ではなく、アクセスをブロック / または制限 (特定の条件を満たさなければブロック) する条件を設定します。

基本的にはすべてのアクセスが許可された状態で、「ブロック、もしくは制御したいアクセスパターンのブラックリストを作成する」とイメージすると、分かりやすいかもしれません。

条件付きアクセスポリシーを 1つも設定していない場合や、それぞれのポリシーの「割り当て」で設定した対象に合致しない場合は、特に制限無くアクセスできる動作となります。

ポリシーの「割り当て」で設定した対象に合致した場合には、「アクセス制御」で設定した内容が適用されます。

例えば、アクセスがブロックされたり、あるいは多要素認証が要求されるなど、アクセスするための制限が加わります。

条件付きアクセスポリシーを複数定義した場合、定義した順番 (画面表示上の上下) で優先順位はありません。

すべてのポリシーが評価対象であり、以下のように動作します。

以下に、条件付きアクセスのポリシーの設定とアクセス可否の関係を簡潔なチャートで示します。

最初に、ポリシーの割り当て対象に該当するかどうかが評価されます。
割り当て対象に該当しない場合は、アクセスは許可されます。
割り当て対象に該当する場合、以下の 2 の評価に続きます。

すべてのポリシーには、「アクセスのブロック」「アクセス権の付与」のいずれかのコントロールが設定されています。
「アクセスのブロック」が設定されている場合、アクセスはブロックされます。
「アクセス権の付与」である場合、以下の 3 の評価に続きます。

「アクセス権の付与」のコントロールが設定されているポリシーでは、アクセス権の付与条件が少なくとも一つ以上設定されています。

この項目によって設定される条件を満たした場合、アクセスが許可されます。
条件を満たさない場合には、アクセスはブロックされます。

上記の 1 から 3 の評価を、すべてのポリシーに対して行います。
その中で、1つでもブロックの対象となるポリシーが存在する場合には、アクセスは許可されません。
すべてのポリシーで「割り当て」が対象外、あるいは「アクセス権の付与」条件を満たした場合にのみ、アクセスすることができます。

以下に、主な設定例をいくつか示します。

「全体管理者以外のすべてのユーザーに対して、いずれのクラウドアプリにログインする場合にも、スマートフォン (iOS、Android、Windows Phone) からのアクセスを禁止したい」場合の設定です。

「特定のユーザーがアクセスする際に、多要素認証を要求したい」場合の設定です。

「アクセス権をブロック」は「アクセス権を付与する」よりも強力にはたらくため、ポリシーA と B がどちらも適用されるアクセスはブロックされます。

割り当て対象を「すべてのユーザー」「すべてのクラウドアプリ」といたしますと、管理者を含めてすべてのユーザーがポータルにアクセスできない状態となり、ポリシーを変更することもできない状況となります。
ポリシーを変更する管理者についてはアクセスできるように、対象外に該当のユーザーを登録してください。