ID 管理は、セキュリティ プリンシパルを認証および承認するプロセスです。 Microsoft Entra ID は、組織全体のアプリケーションとリソースの包括的な ID とアクセス管理を提供します。 この記事では、リソースへのアクセスを保護するのに役立つコア Azure ID 管理機能について説明します。
シングル サインオン
シングル サインオン (SSO) を使用すると、ユーザーは 1 つのユーザー アカウントとパスワードを使用して複数のアプリケーションとリソースにアクセスできます。 ユーザーは 1 回サインインし、認証を繰り返さずにすべてのアプリケーションにアクセスできます。 Microsoft Entra ID では、何千もの SaaS アプリケーションとオンプレミス Web アプリケーションの SSO がサポートされています。
Microsoft Entra IDは、オンプレミスの Active Directoryをクラウドに拡張します。 ユーザーは、組織アカウントを使用して、ドメインに参加しているデバイス、会社のリソース、統合アプリケーションにサインインできます。 SSO は、公開されている資格情報を最小限に抑えることで、パスワードの疲労を軽減し、セキュリティを向上させます。
詳細については、以下の記事を参照してください。
多要素認証
Microsoft Entra 多要素認証 (MFA) は、2 つ以上の検証方法を必要とすることで、セキュリティの重要な第 2 層を追加します。 MFA は、ユーザーの簡単なサインイン エクスペリエンスを維持しながら、承認されていないアクセスから保護するのに役立ちます。
検証方法は次のとおりです。
- Microsoft Authenticator アプリ
- Windows Hello for Business
- FIDO2 セキュリティキー
- 証明書ベースの認証
- OATHハードウェアおよびソフトウェアトークン
- SMS と音声通話
Microsoft Entra ID P1 および P2 ライセンスでは、ユーザー、場所、デバイス、アプリケーションのコンテキストに基づいて MFA を適用する条件付きアクセス ポリシーがサポートされています。
詳細については、以下の記事を参照してください。
Azure ロールベースのアクセス制御
Azure ロールベースのアクセス制御 (Azure RBAC) は、Azure リソースのきめ細かいアクセス管理を提供します。 Azure RBAC を使用すると、ジョブを実行するために必要な最小限のアクセス許可をユーザーに付与できます。
Azure RBAC には、組み込みのロールが含まれています。
- 所有者: アクセスを委任する権限を含め、すべてのリソースへのフル アクセス
- 共同作成者: すべての種類の Azure リソースを作成して管理しますが、アクセス権を付与することはできません
- 閲覧者: 既存の Azure リソースを表示する
- ユーザー アクセス管理者: Azure リソースへのユーザー アクセスを管理する
また、特定のニーズに合わせてカスタマイズされたカスタム ロールを作成することもできます。
詳細については、以下の記事を参照してください。
アプリケーション プロキシ
Microsoft Entra アプリケーション プロキシを使用すると、VPN 接続を必要とせずに、オンプレミスの Web アプリケーションへの安全なリモート アクセスが可能になります。 アプリケーション プロキシは、SharePoint サイト、Outlook Web アプリ、IIS ベースのアプリなどのアプリケーションを外部ユーザーに発行します。 Microsoft Entra ID認証ポリシーと条件付きアクセス ポリシーは、アクセスの保護に役立ちます。
アプリケーション プロキシは SSO をサポートし、既存のオンプレミス認証方法と統合できます。
詳細については、以下の記事を参照してください。
Privileged Identity Management
Microsoft Entra Privileged Identity Management (PIM) は、重要なリソースへの特権アクセスの管理、制御、監視に役立ちます。 PIM は Just-In-Time 特権アクセスを提供し、過剰または不要なアクセス許可のリスクを軽減します。
PIM を使用すると、次のことができます。
- Azure ロールと Microsoft Entra ロールへの期限付きアクセスを提供する
- 特権ロールをアクティブにするための承認を要求する
- ロールのアクティブ化に多要素認証を適用する
- ロールのアクティブ化に正当な理由を要求する
- 特権ロールのアクティブ化に関する通知を受信する
- アクセス レビューを実施して、ユーザーに引き続き特権ロールが必要であることを確認する
- コンプライアンスの監査レポートを生成する
詳細については、以下の記事を参照してください。
身元保護
Microsoft Entra ID 保護 は、組織の ID に影響を与える潜在的な脆弱性と危険なアクティビティを検出します。 機械学習を使用して、異常なサインイン動作とユーザー アクティビティを識別します。
Identity Protection では、次の機能が提供されます。
- リスクベースの条件付きアクセス: 検出されたリスクにリアルタイムで対応するポリシー。
- リスク検出: 匿名 IP アドレスの使用状況、非定型の移動、マルウェアにリンクされた IP アドレスなど、疑わしいアクティビティの識別。
- 調査ツール: リスクを分析するためのレポートとダッシュボード。
- 自動修復: パスワードの変更を自動的に要求したり、アクセスをブロックしたりできるリスクベースのポリシー。
詳細については、以下の記事を参照してください。
Microsoft Entra アクセス レビュー
Microsoft Entra アクセス レビューを使用すると、グループ メンバーシップ、エンタープライズ アプリケーションへのアクセス、特権ロールの割り当てを効率的に管理できます。 定期的なアクセス レビューは、ユーザーが必要なアクセス権のみを持っていることを確認するのに役立ちます。
アクセスレビューのサポート:
- 自動レビュー: スケジュールされた定期的なレビューとカスタマイズ可能な頻度。
- 委任されたレビュー: ビジネス所有者とマネージャーは、チームのアクセス権をレビューできます。
- 自己証明: ユーザーは引き続きアクセス権が必要であることを確認できます。
- 推奨事項: 機械学習では、サインイン アクティビティに基づいてアクセスを失うユーザーが提案されます。
- 自動アクション: レビューが完了すると、アクセス権が自動的に削除されます。
詳細については、以下の記事を参照してください。
ハイブリッド ID 管理
オンプレミスの Active Directory を使用する組織向けに、Microsoft は、オンプレミス環境とクラウド環境の間で ID を同期するためのハイブリッド ID ソリューションを提供しています。
メンテナンス モードの Microsoft Entra Connect は、オンプレミスのActive Directory Domain Services ID をMicrosoft Entra IDに同期します。 オンプレミス サーバー上で実行され、次の機能が提供されます。
- ユーザー、グループ、および連絡先のディレクトリ同期
- パスワード ハッシュ同期またはパススルー認証
- Active Directory フェデレーション サービス (AD FS)とのフェデレーション統合
- 健康状態の監視
Microsoft Entra Cloud Sync は、軽量プロビジョニング エージェントを使用する最新のクラウドベースの同期ソリューションです。
- 軽量エージェントを使った展開の簡素化
- マルチフォレストの切り離された環境のサポート
- 複数のエージェントによる高可用性
- クラウドベースの構成と管理
Microsoft では、新しいハイブリッド ID デプロイに Cloud Sync をお勧めします。
詳細については、以下の記事を参照してください。
デバイス登録
Microsoft Entra デバイス登録では、デバイスベースの条件付きアクセス ポリシーが有効になります。 登録済みデバイスは、ユーザーのサインイン時にデバイスを認証する ID を受け取ります。 デバイス属性では、クラウドアプリケーションとオンプレミスアプリケーションに条件付きアクセス ポリシーを適用できます。
Microsoft Intuneなどのモバイル デバイス管理ソリューションとデバイス登録を組み合わせると、デバイス属性Microsoft Entra ID構成とコンプライアンス情報で強化されます。 このエンリッチメントにより、デバイスのセキュリティとコンプライアンス体制に基づく条件付きアクセス規則が有効になります。
詳細については、以下の記事を参照してください。
外部 ID
Microsoft Entra 外部 ID は、顧客向けのアプリケーションと B2B コラボレーションの ID 管理を提供します。 外部 ID は、メール ベースの資格情報と Facebook、Google、Apple などのソーシャル ID プロバイダーを使用したコンシューマーのサインアップとサインインをサポートします。 また、Microsoft Entra IDフェデレーションとカスタム OIDC または SAML/WS-Fed ID プロバイダーもサポートしています。
B2B コラボレーションの場合、外部 ID を使用すると、企業データを制御しながら、外部パートナーとアプリケーションとリソースを安全に共有できます。 外部ユーザーは、ホーム組織またはサポートされている ID プロバイダーを介して認証します。
詳細については、以下の記事を参照してください。
