Microsoft Entra ID での認証方法の保護

Microsoft Entra IDは、増加する攻撃から顧客を保護するためのセキュリティ機能を追加および改善します。 新しい攻撃ベクトルが出現すると、Microsoft Entra IDは既定で保護を有効にして対応し、お客様が新たなセキュリティの脅威に先んじるのに役立ちます。

たとえば、MFA 疲労攻撃の増加を受け、Microsoft ではお客様がユーザーを防御する方法を推奨しています。 誤った多要素認証 (MFA) の承認を防ぐには、 番号照合を有効にします。 その結果、数値照合の既定の動作は、すべてのMicrosoft Authenticator ユーザーに対して明示的に Enabled になります。 番号一致などの新しいセキュリティ機能の詳細については、ブログ記事「Advanced Microsoft Authenticator セキュリティ機能が一般公開されました!。

セキュリティ機能の保護を既定で有効にするには、次の 2 つの方法があります。

• セキュリティ機能がリリースされた後、お客様は Microsoft Entra 管理センターまたは Graph API を使用して、自分のスケジュールに従って変更をテストおよびロールアウトできます。 新たな攻撃ベクトルから保護するために、Microsoft Entra ID では、特定の日付にすべてのテナントで既定で保護を有効にすることがあり、これを無効化するオプションはありません。 Microsoftは、顧客が準備する時間を与えるために、既定の保護をかなり前もってスケジュールします。 Microsoft が既定で保護をスケジュールしている場合、お客様はオプトアウトできません。
• 保護はMicrosoft管理できます。つまり、Microsoft Entra IDは、現在のセキュリティ上の脅威の状況に基づいて保護を有効または無効にすることができます。 お客様は、Microsoft による保護の管理を許可するかどうかを選択できます。 Microsoftマネージドから明示的にEnabledまたはDisabledに変更できます。

Microsoft Entra ID で有効になっている既定の保護

番号照合は、現在すべてのテナントにおいて、Microsoft Authenticator のプッシュ通知に関して省略可能な認証方法の一つであり、その保護の良い例です。 お客様は、ユーザーとグループに対して Microsoft Authenticator でプッシュ通知の番号照合を有効にするか、無効のままにすることができます。 Microsoft Authenticator でのパスワードレス通知の既定の動作は、既に番号照合であり、ユーザーはオプトアウトできません。

MFA 疲労攻撃が増加するにつれて、サインイン セキュリティには数の一致が不可欠です。 その結果、Microsoft Authenticator のプッシュ通知の既定の動作が変更されます。

Microsoft によって管理される設定

IT 管理者は、認証方法ポリシー設定を Enabled または Disabledのいずれかに構成するだけでなく、認証方法ポリシーの一部の設定を Microsoft マネージドするように構成できます。 Microsoftマネージド設定を使用するとMicrosoft Entra ID機能を自動的に有効または無効にすることができます。

Microsoft Entra ID にこの設定の管理を任せるオプションは、組織が Microsoft に機能の既定値を管理させるための便利な方法です。 組織は、Microsoftを信頼して機能を有効にする必要があるかどうかを判断することで、セキュリティ体制を改善できます。 Microsoft が管理する (Graph API では default という名前) として設定を構成することで、IT 管理者は Microsoft を信頼して、明示的に無効にしていないセキュリティ機能を有効にできます。

たとえば、管理者はプッシュ通知で 場所とアプリケーション名の を有効にして、ユーザーが Microsoft Authenticator で MFA 要求を承認するときにコンテキストを増やすことができます。 追加のコンテキストは、明示的に無効にすることや、Microsoft マネージドとして設定することもできます。 現在、場所とアプリケーション名の Microsoft による管理構成は [無効] になっています。これにより、管理者が Microsoft Entra ID で設定を管理することを選択した環境では、このオプションが実質的に無効になります。

セキュリティ上の脅威の状況が時間の経過と同時に変化するにつれて、Microsoft は場所とアプリケーション名の Microsoft マネージド 構成を Enabledに変更できます。 Microsoftに依存してセキュリティ体制を改善したいお客様にとって、セキュリティ機能を Microsoft マネージドセキュリティの脅威を先取りする簡単な方法です。 Microsoftは、現在の脅威の状況に基づいて最適な構成を決定します。

次の表に、Microsoft マネージドに設定できる各設定と、その設定が既定で有効か無効かを示します。

Microsoft 管理対象の登録キャンペーン

登録キャンペーンが Microsoft managed に設定されている場合、Microsoftはベスト プラクティスに基づいてテナントの最適なキャンペーン構成を決定します。 Microsoftは、テナント設定とスコープ付きユーザーを評価して、対象となる認証方法を決定します。

• テナントに、すべての種類のパスキー（同期パスキーとデバイス バインド パスキーの両方）を許可するパスキー（FIDO2）プロファイルに含まれる、登録キャンペーンの対象ユーザーがいる場合、対象メソッドはパスキーに変更されます。
• その条件を満たすユーザーがいない場合、対象のメソッドはMicrosoft Authenticatorのままです。

パスキー (FIDO2) が有効で、アクティブな登録キャンペーンが Microsoft managed に設定されているテナントでは、Microsoft がテナントに対する変更を順次展開するのに伴い、キャンペーン設定が段階的に更新されます。

次のMicrosoftマネージド登録キャンペーンの設定が更新されます。

これらの変更が有効になった後、多要素認証が完了した後、対象ユーザーはサインイン中にパスキー登録ナッジを受け取ります。 テナントがパスキー (FIDO2) ポリシーの特定の AAGUID (Authenticator Attestation GUID) を対象としている場合、対象の認証方法は、Microsoftマネージド モードのパスキーに更新されません。 引き続き [有効] に切り替えて、パスキーのターゲット設定を手動で構成できます。

脅威ベクトルの変化に応じて、Microsoft Entra ID は、のリリース ノート や、Tech Communityなどのよく読まれるフォーラムで、Microsoft マネージド 設定に対する既定の保護を発表できます。

詳細については、ブログ記事「 It's Time to Hang Up on Phone Transports for Authentication 」を参照してください。この記事では、テキスト メッセージや音声通話の使用からの移行について説明しています。 Microsoftマネージド登録キャンペーンは、ユーザーがMicrosoft Authenticatorやパスキーなどの先進認証方法を設定するのに役立ちます。

関連するコンテンツ

• Microsoft Entra ID における認証方法 - Microsoft Authenticator
• パスキーを有効にする (FIDO2)