条件付きアクセスを使用すると、信頼されたユーザーのみが信頼できるアプリを使用して信頼されたデバイス上の組織リソースにアクセスできるようにします。 クラウドでゼロから構築されています。 Intune を使用してデバイスを管理している場合でも、共同管理を使用して Configuration Manager の展開を拡張する場合でも、同じように動作します。
次のビデオでは、シニア プログラム マネージャーの Joey Glocke とプロダクト マーケティング マネージャーの Locky Ainley が、共同管理を使用した条件付きアクセスについて話し合い、デモンストレーションしています。
共同管理により、Intune がネットワーク内のすべてのデバイスを評価して、そのデバイスの信頼性を判断します。 この評価は、次の 2 つの方法で行われます。
Intune は、デバイスまたはアプリが管理され、安全に構成されていることを確認します。 このチェックは、organization のコンプライアンス ポリシーをどのように設定するかによって異なります。 たとえば、すべてのデバイスで暗号化が有効になっており、脱獄していないことを確認します。
この評価は、セキュリティ侵害前の構成ベースです
共同管理されたデバイスの場合、Configuration Manager は構成ベースの評価も実行します。 たとえば、必要な更新プログラムやアプリのコンプライアンスなどです。 Intune では、この評価と独自の評価が組み合わされています。
Intune は、デバイス上のアクティブなセキュリティ インシデントを検出します。 Microsoft Defender for Endpoint およびその他のモバイル脅威防御プロバイダーのインテリジェント セキュリティを使用します。 これらのパートナーは、デバイスで継続的な動作分析を実行します。 この分析ではアクティブなインシデントが検出され、リアルタイムのコンプライアンス評価のためにこの情報を Intune に渡されます。
- この評価は、セキュリティ侵害後のインシデント ベースです
Microsoft のコーポレート バイス プレジデントである Brad Anderson が、Ignite 2018 基調講演でライブ デモを使用して条件付きアクセスについて詳しく説明します。
条件付きアクセスを使用すると、ネットワークに接続されているすべてのデバイスの正常性を一元的に確認することもできます。 クラウド スケールの利点を享受できます。これは、特に Configuration Manager 運用インスタンスのテストに役立ちます。
利点
すべての IT チームはネットワーク セキュリティにこだわっています。 ネットワークにアクセスする前に、すべてのデバイスがセキュリティ要件とビジネス要件を満たしていることを確認する必要があります。 条件付きアクセスを使用すると、次の要因を決定できます。
- すべてのデバイスが暗号化されている場合
- マルウェアがインストールされている場合
- その設定が更新された場合
- ジェイルブレイクまたはルート化されている場合
条件付きアクセスは、組織データに対するきめ細かい制御と、あらゆる場所の任意のデバイスでワーカーの生産性を最大化するユーザー エクスペリエンスを組み合わせたものです。
次のビデオでは、Microsoft Defender for Endpoint (以前の 高度な脅威保護) が、日常的に発生する一般的なシナリオにどのように統合されているかを示しています。
共同管理を使用すると、Intune に必要な更新プログラムまたはアプリのセキュリティ標準コンプライアンスを評価するための Configuration Manager の責任を組み込むことができます。 この動作は、複雑なアプリとパッチの管理に Configuration Manager を引き続き使用したい IT organization にとって重要です。
条件付きアクセスは、ゼロ トラスト ネットワーク アーキテクチャの開発においても重要な部分です。 条件付きアクセスを使用すると、準拠したデバイスのアクセス制御がゼロ トラスト ネットワークの基礎レイヤーをカバーします。 この機能は、将来 organization を保護する方法の大きな部分を占めます。
詳細については、Microsoft Defender for Endpoint のマシン リスク データを使用した条件付きアクセスの強化に関するブログ投稿を参照してください。
導入事例
IT コンサルティング会社の Wipro では、条件付きアクセスを使用して、91,000 人の従業員全員が使用するデバイスを保護および管理しています。 最近のケーススタディで、WiproのIT担当副社長は次のように述べています。
条件付きアクセスの実現は、Wiproにとって大きな成果です。 現在、すべての従業員がオンデマンドで情報にモバイルでアクセスできるようになりました。 セキュリティ体制と従業員の生産性を向上させました。 現在、91,000 人の従業員が、あらゆるデバイスから、どこからでも 100 以上のアプリへの高度に安全なアクセスの恩恵を受けています。
その他の例を次に示します。
15 万人以上の従業員にアプリベースの条件付きアクセスを使用しているネスレ
自動化ソフトウェア会社の Cadence は、「管理対象デバイスのみが Teams や会社のイントラネットなどの Microsoft 365 Apps にアクセスできる」ことを確認できるようになりました。また、従業員に「Workday や Salesforce などの他のクラウドベースのアプリへのより安全なアクセス」を提供することもできます。
Intune は、Cisco ISE、Aruba Clear Pass、Citrix NetScaler などのパートナーとも完全に統合されています。 これらのパートナーを使用すると、これらの他のプラットフォーム間で、Intune 登録とデバイスのコンプライアンス状態に基づいてアクセス制御を維持できます。
詳細については、次のビデオを参照してください。
価値提案
条件付きアクセスと ATP の統合により、すべての IT organization の基本的なコンポーネントである安全なクラウド アクセスを強化できます。
すべてのデータ侵害の63%以上で、攻撃者は、脆弱な、デフォルト化された、または盗まれたユーザー認証情報を介してorganizationのネットワークにアクセスします。 条件付きアクセスはユーザー ID のセキュリティ保護に重点を置いているため、資格情報の盗難を制限します。 条件付きアクセスは、特権または非特権に関係なく、ID を管理および保護します。 デバイスとそのデータを保護するのにこれ以上の方法はありません。
条件付きアクセスは Enterprise Mobility + Security (EMS) のコア コンポーネントであるため、オンプレミスのセットアップやアーキテクチャは必要ありません。 Intune と Microsoft Entra ID を使用すると、クラウドで条件付きアクセスをすばやく構成できます。 現在 Configuration Manager を使用している場合は、共同管理を使用して環境をクラウドに簡単に拡張し、今すぐ使用を開始できます。
ATP 統合の詳細については、こちらのブログ投稿「Microsoft Defender for Endpoint デバイス リスク スコアにより新たなサイバー攻撃が公開され、条件付きアクセスが促進されてネットワークが保護されます。 高度なハッカーグループがこれまでに見たことのないツールをどのように使用したかが詳しく説明されています。 対象ユーザーには条件付きアクセスがあったため、Microsoft クラウドがそれらを検出して停止しました。 侵入により、デバイスのリスクベースの条件付きアクセス ポリシーがアクティブ化されました。 攻撃者は既にネットワークに足場を確立していましたが、悪用されたマシンは、Microsoft Entra ID によって管理される組織のサービスとデータへのアクセスから自動的に制限されました。
Configure
共同管理を有効にすると、条件付きアクセスが使いやすいようになります。 コンプライアンス ポリシーのワークロードを Intune に移動する必要があります。 詳細については、「Configuration Manager ワークロードを Intune に切り替える方法」を参照してください。
条件付きアクセスの使用の詳細については、次の記事を参照してください。
注:
条件付きアクセス機能は、Microsoft Entra ハイブリッドに参加しているデバイスですぐに使用できるようになります。 これらの機能には、多要素認証と Microsoft Entra ハイブリッド参加アクセス制御が含まれます。 この動作は、Microsoft Entra プロパティに基づいているためです。 Intune および Configuration Manager からの構成ベースの評価を利用するには、共同管理を有効にします。 この構成により、準拠デバイスの Intune から直接アクセス制御できます。 また、Intune のコンプライアンス ポリシーの評価機能も提供します。