条件付きアクセス ポリシーを使用して認証フローをブロックする

概要

次の手順は、条件付きアクセス ポリシーを作成して、 組織内でのデバイス コード フロー と 認証転送 の使用方法を制限するのに役立ちます。

デバイス コード フローのポリシー

組織では、デバイス コード フローを可能な限り一方的にブロックすることをお勧めします。 デバイス コード フローの既存の使用を監査し、まだ必要かどうかを判断するポリシーを作成することを検討してください。 更新できないレガシ ツールなど、適切に文書化され、セキュリティで保護されたユース ケースでのみ、デバイス コード フローを許可します。

デバイス コード フローを使用していない組織の場合は、次の条件付きアクセス ポリシーでブロックします。

  1. 少なくとも条件付きアクセス管理者としてMicrosoft Entra 管理センターにサインインします。
  2. Entra ID>Conditional Access>Policies に移動します。
  3. [ 新しいポリシー] を選択します。
  4. [ 割り当て] で、[ ユーザーまたはワークロード ID] を選択します。
    1. [ 含める] で、ポリシーのスコープ内にするユーザーを選択します (すべてのユーザー が推奨)。
    2. [除外] で、次のようにします。
      1. ユーザーとグループを選択し、組織の緊急アクセスアカウントまたはブレークグラスアカウントと、その他の必要なユーザーを選択します。 この除外リストを定期的に監査します。
  5. [ターゲット リソース>リソース（以前のクラウド アプリ）>含める、ポリシーの対象にしたいアプリを選択します（すべてのリソース（以前は「すべてのクラウド アプリ」）が推奨されます）。
  6. [ 条件>認証フロー] で、[ 構成] を [はい] に設定します。
    1. [デバイス コード フロー] を選択します。
    2. [ 完了] を選択します。
  7. [ アクセス制御>許可] で、[ アクセスのブロック] を選択します。
    1. [選択] を選択します。
  8. 設定を確認し 、[ポリシーの有効化] を [レポートのみ] に設定します。
  9. [作成] を選択して、ポリシーを有効化します。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

認証転送ポリシー

条件付きアクセスの 認証フロー 条件を使用して、機能を管理します。 ユーザー が PC からモバイル デバイスに認証を転送しないようにする場合は、認証転送をブロックします。 たとえば、特定のグループが個人のデバイスでOutlookを使用することを許可しない場合は、認証転送をブロックします。 認証の転送をブロックするには、次の条件付きアクセス ポリシーを使用します。

  1. 少なくとも条件付きアクセス管理者としてMicrosoft Entra 管理センターにサインインします。
  2. Entra ID>Conditional Access>Policies に移動します。
  3. [ 新しいポリシー] を選択します。
  4. [ 割り当て] で、[ ユーザーまたはワークロード ID] を選択します。
    1. [ 含める] で、認証転送をブロック するすべてのユーザー またはユーザー グループを選択します。
    2. [除外] で、次のようにします。
      1. ユーザーとグループを選択し、組織の緊急アクセスアカウントまたはブレークグラスアカウントと、その他の必要なユーザーを選択します。 この除外リストを定期的に監査します。
  5. ターゲット リソース>リソース (旧称クラウド アプリ)>を含める、すべてのリソース (以前の「すべてのクラウド アプリ」) または認証転送用にブロックするアプリを選択します。
  6. [条件>認証フロー] で、[構成] を [はい] に設定します
    1. [ 認証転送] を選択します。
    2. [ 完了] を選択します。
  7. [ アクセス制御>許可] で、[ アクセスのブロック] を選択します。
    1. [選択] を選択します。
  8. 設定を確認し、[ポリシーの有効化] を [有効] に設定します。
  9. [作成] を選択して、ポリシーを有効化します。

ユーザーの除外

条件付きアクセス ポリシーは強力なツールです。 ポリシーから次のアカウントを除外することをお勧めします。

  • ポリシー構成の誤りによるロックアウトを防ぐための緊急アクセスアカウントまたはブレークグラスアカウント。 すべての管理者がロックアウトされる可能性が低いシナリオでは、緊急アクセス管理者アカウントを使用してサインインし、アクセスを回復できます。
    • 詳細については、 Microsoft Entra ID。
  • サービスアカウントと サービスプリンシパル (Microsoft Entra 接続同期アカウントなど)。 サービス アカウントは、特定のユーザーに関連付けられていない非対話型アカウントです。 通常、アプリケーションへのプログラムによるアクセスを許可するためにバックエンド サービスによって使用されますが、管理目的でシステムにサインインするためにも使用されます。 サービス プリンシパルによって行われた呼び出しは、ユーザーを対象とする条件付きアクセス ポリシーによってブロックされません。 ワークロード ID の条件付きアクセスを使用して、サービス プリンシパルを対象とするポリシーを定義します。
    • 組織がスクリプトまたはコードでこれらのアカウントを使用している場合は、 それらをマネージド ID に置き換えます。

関連するコンテンツ

  • 最終更新: