MS Japan Device & Mobility Tech Blog https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/feed.xml Mon, 09 Jul 2018 10:25:39 GMT ja hourly 1 【重要】Azure Information Protectionが自動的に有効になります。（更新あり） https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/azureinformationprotection-default-on Wed, 20 Jun 2018 04:33:25 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1315 （重要）AIPの有効化が７月１日から８月１日に変更されました。これに伴い、弊社のオペレーションの都合上、以前のオプトアウトをしていただいたお客様の設定が変更されている可能性があります。該当するお客様には誠に恐縮ではございますが改めて設定のご確認とオプトアウトへの変更をお願い申し上げます。 この度、「Office 365 メッセージ センター」でご案内させていただいておりますように、お客様環境のセキュリティ強化の一環として、Microsoft Azure Information Protection（以降、AIP）のライセンスをお持ちのお客様の AIP が2018年8月1日に自動的に有効化される可能性があります。これまでも2018年2月以降に作成されたテナントにつきましてはデフォルトで AIP が有効化する変更が行われておりました。今回は2018年2月以前に作成されたテナントにもその設定が反映されます。 AIPのライセンスを保有し、Active Directory Rights Management (AD RMS)の情報保護機能をご利用する場合又は、AIPの設定変更をオプトアウト（すなわち、AIPを有効化しない）する場合は以下の確認と対策を実施していただけますよう、お願いします。

対象のお客様：

・Microsoft 365 、Office 365を含む、AIPのライセンスを保有されAD RMSをご利用のお客様　又は、AIPのライセンスを保有されAIPの有効化を望まないお客様 ・上記かつ、テナントでAzure Information Protectionで保護機能を自動的に有効にする設定が有効になっているお客様

現在の設定の確認：

現在の設定を確認してAzure Information Protectionで保護機能を自動的に有効にするオプションの状態を確認します。 ・全体管理者の役割を備えたユーザーとして Exchange Online PowerShell に接続（※：Exchange Online PowerShellへの接続は参考情報を参照） ・以下のコマンドレットを実行

Get-IRMConfiguration

実行結果が以下のように表示されますので"AutomaticServiceUpdateEnabled"の値をご確認ください。設定がFalseになっていれば、お客様の環境で AIP が自動的に有効化されることはありません。

設定方法：

状態を確認して ”AutomaticServiceUpdateEnabled” が ”True” の場合、現状の設定を維持し、設定変更のオプトアウトを実施するにはPowerShellを利用して以下のコマンドレットの実行が必要です。

Set-IRMConfiguration -AutomaticServiceUpdateEnabled $false

上記を６月30日10:00 (日本標準時）までに実行してオプトアウトしてただくことにより、2018年7月1日になってもお客様の環境で AIP が自動的に有効化されることはありません。

参考情報

Title : Preparing the environment for Azure Rights Management when you also have Active Directory Rights Management Services (AD RMS) URL : https://docs.microsoft.com/en-us/azure/information-protection/deploy-use/prepare-environment-adrms

Title : Protection features in Azure Information Protection rolling out to existing Office 365 tenants URL : https://support.office.com/en-us/article/protection-features-in-azure-information-protection-rolling-out-to-existing-office-365-tenants-7ad6f58e-65d7-4c82-8e65-0b773666634d?ui=en-US&rs=en-US&ad=US Exchange Online PowerShellへの接続方法は以下を参照ください。 Title: Connect to Exchange Online PowerShell URL: https://docs.microsoft.com/en-us/powershell/exchange/exchange-online/connect-to-exchange-online-powershell/connect-to-exchange-online-powershell?view=exchange-ps Title: Exchange Online PowerShell への接続(機械翻訳) URL: https://docs.microsoft.com/ja-jp/powershell/exchange/exchange-online/connect-to-exchange-online-powershell/connect-to-exchange-online-powershell?view=exchange-ps     （修正履歴） （6月20日）オプトアウトの時間を追記しました 設定の確認方法を追加しました。 Exchnage Online PowerShellへの接続方法のURLを追記しました （7月9日）変更作業は8月1日に延期されました。]]> [EMS] Azure Active Directoryの Webinar 公開中 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-azure-active-directory-webinar Mon, 18 Jun 2018 03:46:38 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1305 https://aka.ms/azureadwebinar (ショートURLにしました）]]> [EMS] レガシー認証をブロックする機能がついに Azure AD に実装されました(プレビュー) https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-legacyauthnblock Sat, 09 Jun 2018 06:18:59 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1205 レガシー認証ブロック機能(Preview)について紹介します。 まずはじめに、レガシー認証が何かというと、以下のようなクライアントからのアクセスを指します。 これらのクライアントは、サービス仲介型の古い認証フローを利用し、インタラクティブな認証が行えないため、不正アクセス攻撃に対して有効な多要素認証が利用できないという問題があります。 以前からOffice 365に対しても多くみられる攻撃のパスワードスプレー攻撃やブルートフォース攻撃はこのようなレガシー認証プロトコルを対象とされることもあるため、もし今現在もレガシー認証プロトコルを利用してインターネット経由で認証が行える環境を利用されているのであれば、それらをブロックすることを強く推奨します。   「そうなの？うちの会社は大丈夫なの？」と、思われた方もいらっしゃると思いますが、おそらく AD FS や、Exchange で対策をされているのではないでしょうか、今回紹介差し上げる機能は  AD FS の力を借りず、Azure AD の Web UI から簡単にレガシー認証をブロックする設定を施すことができるようになりました。   では、早速設定をしてみましょう。
  1. Azure ポータルにアクセスし、Azure Active Directory の 条件付きアクセスを選択。
  2. [割り当て]の[ユーザーとグループ]を選択し、対象のセキュリティ グループか、ユーザーを選択。（注意：この機能はプレビュー中であることもあり、適用対象を限定してテストを実施することを強く推奨します、加えてこの記事の最後に記載するその他の注意点をご確認ください）
  3. [割り当て]の[クラウド アプリ]を選択しテスト対象のアプリを選択(Office 365 Exchange/SharePoint/Skype for Businessなど）。
  4. [割り当て]の[条件]から[クライアント アプリ(プレビュー)]を選択し"モバイル アプリとデスクトップ クライアント"と"他のクライアント"を選択。この選択をすることで、POP/IMAP/SMTPに加えてレガシー認証を利用する Office クライアントからの認証を対象にすることになります。
  5. 次に[アクセス制御]の[許可]を選択し"アクセスのブロック"を選択。
  6. [ポリシーの有効化]を"オン"にすることを忘れずにポリシーの"保存"を選択。
これで設定は終了です。（おつかれさまでした、とても簡単な設定でしたよね） 設定完了後に対象のユーザーがレガシー認証を利用するアプリケーションから認証が行えなくなっていることをご確認ください。 検証を行う際の注意点を記載します。
  • この機能はプレビュー中の機能であるため、対象者を限定してテストを開始することをお勧めします。
  • 認証がブロックされない場合には、リンク先のPowerShell コマンドレットを実行し Azure AD から発行されたリフレッシュ トークンを無効化した上で１時間経過後にテストを実行しなおしてください。(仮想環境のスナップショットが利用できる場合にはクリーンな環境にロールバックして試すこともご検討ください）
  • この設定が有効になるまで最大 24 時間かかる場合があります。
  • 必ずリンク先の Known issues(既知の問題) ならびに Frequently asked questions(FAQ)をご参照の上テストを開始してください。
  最後にこの機能と AD FS の Claim Rule による実装の差異を記載します。
  • AD FS のClaim Rule では、各プロトコル別に認可を行うことが可能（POP/IMAP/SMTP, non modern auth)だが、設置・設定コストが高い。
  • Azure AD の条件付きアクセスでは、設定は非常に簡単で設定コストが低いが、レガシー認証に属するプロトコルすべてが対象になる。*
上記の特徴をご認識いただいた上で設計を行ってください。   この機能によって、AD FS から脱却し Azure AD のみのシンプルな管理へ足を踏み出せる事になります。よろしけばこの機能についてのフィードバックをお寄せいただければ幸いです。 *この機能を含む、条件付きアクセスを利用するためには、Azure Active Directory Premium Plan 1のライセンスが設定対象者分必要になります。]]> [EMS] Azure Active Directoryの Office 365グループの有効期限ポリシー 一般公開 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-azure-active-directory-o365group-expiration-policy Fri, 30 Mar 2018 13:40:58 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1195 Azure AD Expiration Policy for Office 365 Groups is Generally Available です みなさま、いつも Device & Mobility Team Blog をご覧いただきありがとうございます。 これまでパブリックプレビューで公開されていました 「Office 365 グループの有効期限ポリシー」 が一般公開されましたのでご案内します。 この機能を利用するとOffice 365グループに有効期限を設定し、グループの所有者に一定間隔でメールで継続確認を行うことができます。 メールを受け取ったユーザーはメールからワンクリックで延長や削除を選択することができます。 そしてメールに反応せず更新されないグループは自動的に削除されます。 期限が切れて削除されても30日間は復元可能です。 長期間運用したOffice 365には多数のOffice 365 グループが存在し、そのほとんどは管理者から見ると利用されているのかどうかわかりません。 この機能でグループを自動的に実際に利用しているユーザーの判断で管理することができ、全体の運用負荷を下げることが期待できます。 なお、この機能を利用するには、この機能で管理対象となる Office 365 グループ に所属するユーザーすべてにAzure Active Directory Premiumのライセンスが必要です。 詳細は以下をご参照ください Azure AD Expiration Policy for Office 365 Groups is Generally Available Office 365 グループの有効期限ポリシーの構成]]> [EMS] Azure AD と AD FS のベスト プラクティス: パスワード スプレー攻撃の防御 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-azure-ad-ad-fs-password-spray Mon, 26 Mar 2018 05:24:45 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1175 Japan Azure Identity Support Blogで公開された記事の紹介です。 元記事は、米国時間 2018 年 3 月 5 日に公開された Azure AD and ADFS best practices: Defending against password spray attacks です Japan Azure Identity Support BlogでAzure AD と AD FS に関してパスワードスプレー攻撃を取り上げた情報がまとめられています。 パスワードを用いたログインを採用している限り、第三者がそれを推測しようとすることは避けられません。上記の記事は最近非常に頻繁に行われるようになったパスワード スプレーと呼ばれる攻撃手法と、それに対する防衛のためのベスト プラクティスについて説明しています。 本記事ではパスワードスプレー攻撃を困難にする方法について詳細に説明を行っています。 対処法だけでなく、攻撃シミュレータの紹介、ADFSのバージョンアップを検討する理由等多岐に説明が渡りますので、今後のセキュリティ対策の一助になると思われます。 ぜひ内容をご確認の上、今後のスケジュールに組み込んでいただければと思います。 Japan Azure Identity Support Blog：Azure AD と AD FS のベスト プラクティス: パスワード スプレー攻撃の防御 Enterprise Mobility + Security Blog：Azure AD and ADFS best practices: Defending against password spray attacks]]> [SCCM] System Center Configuration Manager CB 評価ガイドアップデート https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/sccm-system-center-configuration-manager-cb-eval-guide-update Tue, 06 Mar 2018 02:36:19 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1165 https://www.microsoft.com/ja-jp/cloud-platform/products-Enterprise-Mobility-Suite.aspx System Center Configuration Manager CB 評価ガイド （アップデート版） ■ダウンロードURL： ・System Center Configuration Manager (CB) 評価ガイド 機能紹介とアーキテクチャ編 Ver. 2 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_Architect_EvalGuide_jp.docx ・System Center Configuration Manager (CB) 評価ガイド 環境構築編 Ver.1.1 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_CB_EvalGuide_jp.docx ・System Center Configuration Manager (CB) 評価ガイド Office 365 ProPlus 編 Ver.2 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_O365ProPlus_jp.docx ・System Center Configuration Manager (CB) 評価ガイド Windows 10 管理編 Ver 2 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Win10_Management_jp.docx System Center Configuration Manager CB 評価ガイド（今回修正しなかったドキュメント） ・System Center Configuration Manager (CB) 評価ガイド モバイル デバイス展開編 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Intune_Integration_Deployment_jp.docx ・System Center Configuration Manager (CB) 評価ガイド モバイル デバイス運用管理編 http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Intune_Integration_Management_jp.docx]]> [EMS] グループベースのライセンスによるライセンスの自動付与 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-groupbase-license Fri, 15 Dec 2017 12:00:48 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1115 現在 Office 365 を利用している方は、ユーザー管理をAzure AD と同期しているオンプレミス側の Active Directory で行っている人が多いのではないでしょうか。その場合このユーザー管理の仕組みをうまく使うことでライセンス管理を自動化することができます。 オンプレミスのADに「O365 Users」や「EMS Users」などのグループを作成してそこに利用するユーザーをあらかじめ割り当てていたり、それに近い構成になっている場合、そのグループにライセンスの割り当てを行ないます。これにより、PowerShellを利用しなくてもライセンスの割り当てができます。 図にすると以下のような形です。 より複雑に条件に対応した設定を行いたい場合、もう一つ方法があります。 Azure AD の グループには Dynamic Group があります。これはユーザーの属性を利用して動的にグループのユーザーを割り当てる機能です。例えば、Active Directory の拡張プロパティ（ extensionAttribute1 など）に ”O365" , "EMS" などの文字列を入れておき、Azure AD 側のDynamic Groupで「O365 Users」や「EMS Users」などのグループにユーザーを割り当てます。これによって同時に各ライセンスを付与します。 Azure AD の各種機能を利用するとグループというのは重要な要素になります。例えば SaaS 連携で SSO の設定をするときにユーザー範囲をグループで指定します。また条件付きアクセスを利用する時にも適用範囲をグループで指定します。このように何らかの形でユーザはAzure ADのグループに割り当てられていることになります。 この Azure AD グループを利用したライセンスの割り当ては一度設定してしてしまえば PowerShell の実行用の管理権限を持ったユーザーの定期的なアクセスがなくてもライセンス割り当てができます。 Azure AD Premium2のPIMの機能と組み合わせると、スクリプトを実行する永続的な管理者を置かなくてもよくなり、セキュリティの向上にもつながります。 ただ、制限事項もあります。詳細はこちらにありますが、その中でも階層化されたグループでは指定された最上位のグループにしか適用されないのには注意が必要です。 そのほかにも、この機能は工夫次第でいろいろ応用が利きます。 是非この機能を活用して Azure AD のライセンス管理をご検討ください。 参考情報 Azure Active Directory のグループベースのライセンスの基礎 https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-licensing-whatis-azure-portal グループベースのライセンスを動的グループとともに使用する https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-licensing-group-advanced#use-group-based-licensing-with-dynamic-groups グループを使用する際のシナリオ、制限、および既知の問題 https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-licensing-group-advanced#limitations-and-known-issues]]> [EMS] Intuneのコンプライアンスポリシーの変更 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-intune%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%97%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%82%B9%E3%83%9D%E3%83%AA%E3%82%B7%E3%83%BC%E3%81%AE%E5%A4%89%E6%9B%B4 Thu, 19 Oct 2017 06:13:33 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1085
  • Azure Active Directoryで条件付きアクセスを設定し、準拠デバイスにアクセス許可を与えており、コンプライアンスチェックの対象になってない端末がある場合
  • SCCMとIntuneのハイブリッド構成で条件付きアクセスを上記と同様に設定している場合
  • Office 365のモバイルデバイス管理を利用していて「デバイスがポリシーの要件を満たしていなくてもアクセスできるようにする」というポリシーを利用している場合
    • Intuneのデバイスコンプライアンスは、デバイスが管理者の指定した設定をクリアしているか確認することができる機能で、デバイスの安全性を確認することができる機能の一つです。 MDM管理されたデバイスはコンプライアンスポリシーをチェックして適合していれば「準拠デバイス」としてAzureADに登録されます。Azure ADの条件付きアクセスで適合済みのデバイスのみのアクセスを許可することでクラウドサービスの安全性を高めることができます。 いままでデバイスコンプライアンスポリシーの対象となっていない端末はすべて「準拠」と認識されていました。これがセキュリティ強化のため、2017年11月のIntuneのアップデートの後は「準拠していない」に変更されます。この変更に伴い、いままで問題なくアクセスできていた端末がアクセスをブロックされる可能性があります。 この問題が発生するかどうかを確認するにはIntuneの管理ポリシーから確認できます。 ここに新しくコンプライアンスポリシーが適用されてない端末の数が表示された場合影響がある可能性があります。この機能は2017年10月のアップデートで提供される予定です。その場合は条件付きアクセスの内容を確認して条件にデバイスコンプライアンスの準拠が設定されている場合はアクセスできない端末が発生しないか確認してください。 もしコンプライアンスポリシーのチェックを行わず登録済みデバイスにアクセスできるようにするには、何も設定されていないブランクのコンプライアンスポリシーを作成してユーザに割り当てるようにします。またこの件に対応できる設定が11月のアップデートとともに提供される予定です。 詳細の方法についてはこちらの記事をご確認ください。 Upcoming Security Enhancements in the Intune Service – your action is required!  ]]>         Windows Information Protection の動作状況の確認 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/windows-information-protection-check Wed, 11 Oct 2017 09:05:23 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1075 https://docs.microsoft.com/ja-jp/windows/threat-protection/windows-information-protection/wip-app-enterprise-context これで適用と動作の状況は一発で確認できますね。ぜひお試しください。]]> [EMS] 重要：Azure Active Directory 旧管理ポータルの廃止 https://docs.microsoft.com/archive/blogs/mskk-deviceandmobility/ems-%E9%87%8D%E8%A6%81%EF%BC%9Aazure-active-directory-%E6%97%A7%E7%AE%A1%E7%90%86%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%AE%E5%BB%83%E6%AD%A2 Mon, 02 Oct 2017 04:09:51 GMT http://blogs.technet.microsoft.com/mskk-deviceandmobility/?p=1055 発表されました。 今までのAzureADの管理画面はAzureテナントとの紐づけが別途必要であるなどOffice 365やEMSのみを利用しているお客様からは少々使いにくいイメージもありました。しかし新しいポータルはそのような制約がなく、HTML５ベースなので全ての環境から同一のユーザビリティで管理画面を提供します。 今後、Azure Active Directoryの管理は新しい管理ポータルで実施していくことになります。Azure ADの管理をされている皆様はできるだけ早く新しいポータル画面になれていただくことをお勧めいたします。 現時点では、旧管理ポータルでしか実行できないいくつかのタスクがありますが、これらの機能は11月30日よりも数週間後に新しい管理ポータルに追加される予定です。 もしご要望や不足機能がある場合はフィードバックフォーラムよりご意見ください。 Azureの新しい管理ポータル http://aad.portal.azure.com/   （追記） Azure 旧管理ポータルは2018年1月8日にリタイアが正式に発表されました。 詳細はこちらをご覧ください。]]>