概要
トークン保護は、アプリケーションが保護されたリソースへのアクセスを要求するときに、Primary Refresh Tokens (PRT) などのデバイス バインド サインイン セッション トークンのみがMicrosoft Entra IDによって受け入れられるようにすることで、トークンリプレイ攻撃を減らそうとする条件付きアクセス セッション制御です。
ユーザーがサポートされているデバイスをMicrosoft Entraに登録すると、PRT が発行され、そのデバイスに暗号化でバインドされます。 このバインディングにより、脅威アクターがトークンを盗んだ場合でも、別のデバイスから使用できなくなります。 トークン保護が適用されると、Microsoft Entraは、これらのバインドされたサインイン セッション トークンのみがサポートされているアプリケーションによって使用されることを検証します。
注
トークンの盗難に対するより広範な多層防御戦略の一環として、トークン保護を使用します。 詳細については、
プラットフォームの可用性
| プラットフォーム | ネイティブ アプリケーション | ブラウザー ベースのアプリケーション |
|---|---|---|
| Windows | 一般公開 | Azure Resource Managerにアクセスするサポートされている Web アプリのプレビュー |
| iOS/ iPadOS | プレビュー | サポートしていません |
| macOS | プレビュー | Azure Resource Managerにアクセスするサポートされている Web アプリのプレビュー |
注
現在、ブラウザー ベースのアプリケーションのサポートは、Azure Resource Managerにアクセスする選択した Web アプリ、ブラウザー、デバイス構成に限定されています。 要件とサポートされているアプリケーションの一覧については、「 トークン保護の展開ガイド - Web アプリ」を参照してください。
サポートされているリソース
ネイティブ アプリケーションの場合、トークン保護ポリシーは次のクラウド リソースに適用できます。
- エクスチェンジ・オンライン
- SharePoint オンライン
- Microsoft Teams
Windowsでは、次の場合にも適用がサポートされます。
- Azure Virtual Desktop
- Windows 365
プレビュー段階のブラウザー ベースのアプリケーションでは、条件付きアクセスで Windows Azure Service Management API リソースとして構成されたAzure Resource Managerに対して適用がサポートされます。 Azure Resource Managerにアクセスする選択した Web アプリケーションのみがサポートされます。 詳細については、「 トークン保護の展開ガイド - Web アプリ」を参照してください。
サポートされているデバイス
Windows:
- Microsoft Entra 参加済み、Microsoft Entra ハイブリッド参加済み、または Microsoft Entra 登録されている Windows 10 以降のデバイス。 サポートされていないデバイスの種類については、適切な展開ガイドの既知の制限事項に関するセクションを参照してください。
- ハイブリッド Microsoft Entra に参加している Windows Server 2019 以降。
- デバイスを登録する方法の詳細な手順については、「 職場または学校のネットワークに個人のデバイスを登録する」を参照してください。
- ブラウザー ベースのアプリケーション サポート (プレビュー) には、追加のオペレーティング システム、ブラウザー、拡張機能、および構成要件があります。 トークン保護の展開ガイド - Web アプリを参照してください。
Apple (プレビュー):
- macOS 14.0 以降。 Microsoft Enterprise シングル サインオン (SSO) プラグインが必要です。 または、Platform SSO を使用することもできます。 MDM で管理されるデバイスのみがサポートされています。
- iOS/iPadOS 16.0 以降。 Microsoft Enterprise SSO プラグインが必要です。 MDM で管理されるデバイスのみがサポートされています。
- セットアップ方法の詳細な手順については、「 Microsoft Enterprise SSO プラグインの有効化 と macOS のプラットフォーム SSO の構成」を参照してください。
- macOS でのブラウザー ベースのアプリケーション サポート (プレビュー) には、追加のブラウザー、拡張機能、および構成要件があります。 トークン保護の展開ガイド - Web アプリを参照してください。
配置
アプリまたはデバイスの非互換性が原因でユーザーが中断する可能性を最小限に抑えるには、次の推奨事項に従います。
- ユーザーのパイロット グループから開始し、時間の経過と共に拡張します。
- トークン保護を適用する前に 、レポート専用モード で条件付きアクセス ポリシーを作成します。
- 対話型サインイン ログと非対話型サインイン ログの両方をキャプチャします。
- 通常のアプリケーション使用を十分にカバーする長さまでこれらのログを分析します。
- 信頼できる既知のユーザーを適用ポリシーに追加します。
このプロセスは、トークン保護の適用に関するユーザーのクライアントとアプリの互換性を評価するのに役立ちます。
デプロイ ガイド
ターゲット プラットフォームのガイドを選択します。
- Windows: トークン保護の展開ガイド - Windows
- iOS、iPadOS、および macOS: トークン保護の展開ガイド - Apple
- Azure Resource Managerにアクセスする Web アプリ (プレビュー):トークン保護の展開ガイド - Web アプリ
