スマート ロックアウトは、組織のユーザーのパスワードを推測したり、ブルート フォース方法を使用して侵入しようとする悪意のあるユーザーのロックアウトを支援します。 スマート ロックアウトでは、有効なユーザーからのサインインを認識し、攻撃者やその他の不明なソースからのサインインとは異なる方法で処理できます。 ユーザーがアカウントにアクセスし続け、生産性を維持している間、攻撃者はロックアウトされます。
スマート ロックアウトのしくみ
既定のスマート ロックアウトでは、以下の後にアカウントがロックされ、サインインできなくなります。
- 21Vianet テナントによって運営されている Azure Public と Microsoft Azure で試行に 10 回失敗した
- Azure 米国政府機関 テナントに対して失敗した 3 回の試行
以降のサインイン試行が失敗するたびに、アカウントは再度ロックされます。 ロックアウト期間は最初は 1 分で、以降の試行ではこれより長くなります。 攻撃者がこの動作を回避できる方法を最小限にするために、サインイン試行の失敗後のロックアウト期間がどの程度延長されるかは開示されていません。
スマート ロックアウトでは、直近 3 つの無効なパスワード ハッシュを追跡して、同じパスワードに対するロックアウト カウンターの増分を回避します。 同じ無効なパスワードが複数回入力された場合、この動作によってアカウントがロック アウトされることはありません。
注
クラウドではなくオンプレミスで認証が行われるため、パススルー認証が有効になっているお客様はハッシュ追跡機能を使用できません。
Active Directory フェデレーション サービス (AD FS) 2016 と AD FS 2019 を使用するフェデレーション展開では、 AD FS エクストラネット ロックアウトとエクストラネット スマート ロックアウトを使用して同様の利点を実現できます。 マネージド認証に移行することをお勧めします。
スマート ロックアウトは、セキュリティと使いやすさの適切な組み合わせを提供するこれらの既定の設定を使用して、すべてのMicrosoft Entraのお客様に対して常にオンになっています。 組織に固有の値を使用してスマート ロックアウト設定をカスタマイズするには、ユーザー Microsoft Entra ID P1 以上のライセンスが必要です。
スマート ロックアウトを使用しても、正規のユーザーが絶対にロックアウトされないという保証はありません。スマート ロックアウトによってユーザー アカウントがロックされた場合、Microsoft では可能な限り正規ユーザーをロックアウトしないよう試みます。 ロックアウト サービスでは、悪意のあるアクターが正規のユーザー アカウントへのアクセスを確実に阻止するよう試みます。 次の考慮事項が適用されます。
Microsoft Entra データ センター全体のロックアウト状態が同期されます。 ただし、アカウントがロックアウトされるまでに許可された失敗したサインイン試行の合計数は、構成されたロックアウトのしきい値と若干異なります。 アカウントがロックアウトされると、すべての Microsoft Entra データ センターのあらゆる場所でロックアウトされます。
スマート ロックアウトでは、悪意のあるアクターと正規のユーザーを区別するために、"既知の場所" と "未知の場所" を使用します。 未知および既知の場所の両方に、個別のロックアウト カウンターが設定されます。
システムがユーザーのサインインを未知の場所からロックアウトしないようにするには、正しいパスワードを使用してロックアウトされないようにし、未知の場所からの以前のロックアウト試行回数が少ないようにする必要があります。 ユーザーが未知の場所からロックアウトされている場合は、SSPR を考慮してロックアウト カウンターをリセットする必要があります。
- アカウントのロックアウト後、ユーザーはセルフサービス パスワード リセット (SSPR) を開始して、もう一度サインインできます。 SSPR を使用すると、ユーザーはヘルプ デスクや管理者の支援を受けずに、自分のパスワードをリセットまたは変更できます。 ユーザーが SSPR 中に パスワードを忘れた 場合、ロックアウトの期間は 0 秒にリセットされるため、ユーザーはロックアウト期間の有効期限が切れるのを待つ必要はありません。 ユーザーが SSPR 中に 自分のパスワード がわかっていると選択した場合、ロックアウト タイマーは続行され、ロックアウトの期間はリセットされません。 その場合、アクセスを回復するには、ユーザーは自分のパスワードを変更するか、構成されたロックアウト期間の有効期限が切れるまで待つ必要があります。
スマート ロックアウトを、パスワード ハッシュ同期またはパススルー認証を使用してオンプレミスのActive Directory Domain Services (AD DS) アカウントが攻撃者によってロックアウトされないように保護するハイブリッド展開と統合できます。 Microsoft Entra IDでスマート ロックアウト ポリシーを適切に設定することで、オンプレミスの AD DS に到達する前に攻撃を除外できます。
パススルー認証を使用する場合は、次の考慮事項が適用されます。
- Microsoft Entra ロックアウトのしきい値は、AD DS アカウントのロックアウトしきい値より 小さく する必要があります。 AD DS アカウント ロックアウトしきい値が Microsoft Entra のロックアウトしきい値より少なくとも 2 から 3 倍大きくなるように値を設定します。
- Microsoft Entra ロックアウト期間は、AD DS アカウントのロックアウト期間よりも 長く する必要があります。 AD DS の期間は分単位で設定されますが、Microsoft Entra の期間は秒単位で設定されます。
ヒント
この構成により、Microsoft Entra スマート ロックアウトにより、Microsoft Entra アカウントに対する パスワード スプレー攻撃 など、オンプレミスの AD DS アカウントがブルート フォース攻撃によってロックアウトされないようにします。
たとえば、Microsoft Entra のスマート ロックアウト期間が AD DS よりも高くなるようにしたい場合は、オンプレミス AD が 1 分 (60 秒) に設定されていても、Microsoft Entra は 120 秒 (2 分) にします。 Microsoft Entra ロックアウトしきい値を 10 にする場合は、オンプレミスの AD DS ロックアウトしきい値を 20 に設定します。
重要
管理者は、ユーザーのクラウド アカウントのロックを解除できます。スマート ロックアウトがロックアウトされた場合、ロックアウト期間の有効期限が切れるのを待たずにロック解除できます。 詳細については、「 ユーザーのパスワードをリセットする」を参照してください。
オンプレミス アカウントのロックアウト ポリシーを検証する
オンプレミス AD DS アカウントのロックアウト ポリシーを検証するには、ドメインに参加しているシステムから管理者特権で次の手順を実行します。
- グループ ポリシー管理ツールを開きます。
- 既定のドメイン ポリシーなど、組織のアカウント ロックアウト ポリシーを含むグループ ポリシーを編集します。
- コンピューターの構成>ポリシー>Windows 設定>セキュリティ設定>アカウント ポリシー>アカウント ロックアウト ポリシーに移動します。
- アカウント ロックアウトのしきい値を確認し、値の後にアカウント ロックアウト カウンターをリセットします。
Microsoft Entra スマート ロックアウト値の管理
組織の要件に基づいて、Microsoft Entra スマート ロックアウトの値をカスタマイズできます。 組織に固有の値を使用してスマート ロックアウト設定をカスタマイズするには、ユーザー Microsoft Entra ID P1 以上のライセンスが必要です。 スマート ロックアウト設定のカスタマイズは、21Vianet テナントが運用するMicrosoft Azureでは使用できません。
組織のスマート ロックアウト値を確認または編集するには、次の手順を実行します。
少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
Entra ID>認証方法>パスワード保護に移動します。
最初のロックアウト前にアカウントで許可される失敗したサインインの数に基づいて、 ロックアウトのしきい値 を設定します。
既定値は、Azure パブリック テナントの場合は 10、Azure 米国政府機関 テナントの場合は 3 です。
ロックアウト期間を 秒単位で、各ロックアウトの長さ (秒) に設定します。
既定値は 60 秒 (1 分) です。
注
ロックアウト期間が過ぎた後の最初のサインインも失敗した場合、アカウントは再びロックアウトされます。 アカウントが繰り返しロックされた場合は、ロックアウト時間が長くなります。
スマート ロックアウトのテスト
スマート ロックアウトのしきい値がトリガーされると、アカウントがロックされている間に次のメッセージが表示されます。
ご使用のアカウントは、不正使用を防ぐために一時的にロックされています。 後でもう一度お試しください。問題が解決しない場合は管理者にお問い合わせください。
スマート ロックアウトをテストする際、Microsoft Entra 認証サービスの地理的分散および負荷分散の性質により、サインイン要求はさまざまなデータセンターによって処理される可能性があります。
スマート ロックアウトでは、直近 3 つの無効なパスワード ハッシュを追跡して、同じパスワードに対するロックアウト カウンターの増分を回避します。 同じ無効なパスワードが複数回入力された場合、この動作によってアカウントがロック アウトされることはありません。
既定の保護
スマート ロックアウトに加えて、Microsoft Entra ID ではまた、トラフィックを含むシグナルを分析し、異常な動作を識別することで攻撃を防ぎます。 Microsoft Entra ID は、これらの悪意のあるサインインを既定でブロックし、パスワードの有効性に関係なく 、AADSTS50053 - IdsLocked エラー コードを返します。
次のステップ
エクスペリエンスをさらにカスタマイズするには、 Microsoft Entra パスワード保護用のカスタム禁止パスワードを構成します。
ユーザーが Web ブラウザーからパスワードをリセットまたは変更できるように、 Microsoft Entra のセルフサービス パスワード リセットを構成できます。
