この記事を読んでいるなら、セキュリティの重要性をご存知でしょう。 おそらく、既に組織をセキュリティで保護する責任を負っていらっしゃるでしょう。 セキュリティの重要性を他のユーザーに納得させる必要がある場合は、最新のMicrosoftデジタル防衛レポートを読むように送信します。
この記事では、Microsoft Entra IDの機能と、組織のサイバー攻撃からの防御を強化するための5ステップチェックリストを通じて、より安全な体制を整えるお手伝いをします。
このチェックリストは、重要な推奨アクションを迅速に展開して、組織を直ちに保護するうえで役に立ちます。ここでは、以下の方法について説明されています。
- 資格情報を強化します。
- 攻撃対象領域を減らします。
- 脅威への対応を自動化します。
- クラウド インテリジェンスを使用します。
- エンドユーザーのセルフサービスを有効にします。
注意
この記事の多くの推奨事項は、Microsoft Entra IDをアイデンティティプロバイダーとして使用するアプリケーションにのみ適用されます。 シングルサインオンでアプリを設定することで、認証ポリシー、脅威検出、監査、ログ記録などの機能がアプリケーションに利点をもたらします。 Microsoft Entra アプリケーション管理 は、これらすべての推奨事項の基になっている基盤です。
この記事の推奨事項は、Microsoft Entraテナントのアイデンティティセキュリティ設定を自動的に評価するIdentity Secure Scoreと一致しています。 組織は、Microsoft Entra 管理センターの [ID セキュリティ スコア] ページを使用して、現在のセキュリティ構成のギャップを見つけ、セキュリティに関する現在のMicrosoftベスト プラクティスに従うことができます。 [セキュリティ スコア] ページで各推奨事項を実装すると、スコアが向上し、進行状況を追跡でき、実装を他の類似サイズの組織と比較するのに役立ちます。
注意
ここで推奨される機能の一部はすべてのユーザーが利用でき、他のユーザーには Microsoft Entra ID P1 または P2 サブスクリプションが必要です。 詳細については、Microsoft Entra価格とMicrosoft Entraデプロイのチェックリストを参照してください。
始める前に:多要素認証で特権アカウントを保護しましょう
このチェックリストを始める前に、閲覧中にアカウントが侵害されていないか確認してください。 Microsoftでは、毎日 6 億件を超える ID 攻撃が観察され、パスワード攻撃はすべての ID 攻撃の 99% を構成します。 Microsoft Entra IDでは、管理者などの特権ロールを持つユーザーが、環境の残りの部分を構築および管理するための信頼のルートです。 セキュリティ侵害の影響を最小限に抑えるため、次のことを実装します。
特権アカウントを制御している攻撃者は、重大な損害を受ける可能性があるため、 続行する前にこれらのアカウントを保護することが重要です。 Microsoft Entra 多要素認証 (MFA) を、Microsoft Entra のセキュリティの既定値または条件付きアクセスを使用して、組織内のすべての管理者に対して有効にし、必須にします。 これは重要なことです。
準備はできたでしょうか。 チェックリストを開始します。
ステップ 1: 資格情報を強化する
同意フィッシングや人間以外のIDに対する攻撃など、他のタイプの攻撃も登場していますが、ユーザーIDに対するパスワード ベースの攻撃は、依然としてID漏洩の最も一般的な方法です。 敵対者による確立されたスピアフィッシングやパスワードスプレーキャンペーンは、MFAやその他の保護策を導入しない組織に対して依然として成功を収めています。
組織として、MFAをどこでも活用して自社の身元を検証し、保護しましょう。 連邦捜査局(FBI)インターネット犯罪苦情センター(IC3)2024インターネット犯罪報告書は、フィッシングとスプーフィングを最も報告されたインターネット犯罪の種類として特定し、193,407件の苦情を申し立てました。 フィッシングは企業と個人の両方に重大な脅威をもたらし、攻撃者は多くの有害な攻撃で資格情報フィッシングを使用します。 MFAはデータやアプリケーションへのアクセスを保護し、第二の認証方式を用いることでさらにセキュリティ層を提供します。 組織は、条件付きアクセスを使用して多要素認証を有効にして、ソリューションを特定のニーズに合わせることができます。 詳細については、Microsoft Entra 多要素認証を計画、実装、ロールアウトするを参照してください。
組織で強力な認証が使用されるようにする
基本的なアイデンティティセキュリティレベルを有効にするには、Microsoft Entraのセキュリティデフォルトでワンセレクトの有効化を利用できます。 セキュリティの既定値では、テナント内のすべてのユーザー Microsoft Entra多要素認証が適用され、テナント全体のレガシ プロトコルからのサインインがブロックされます。
組織に P1 または P2 ライセンスMicrosoft Entra IDがある場合は、条件付きアクセスの分析情報とレポート ブックを使用して、構成とカバレッジのギャップを検出することもできます。 これらの推奨から、新しい条件付きアクセステンプレート体験を通じてこのギャップを埋めることができます。 条件付きアクセス テンプレートを使用すると、推奨されるベスト プラクティスに合わせて新しいポリシー Microsoft簡単に展開できます。 これらのテンプレートは、身元やデバイスを保護するための一般的なポリシーの導入を簡素化します。
一般的に攻撃されるパスワードの禁止を開始し、従来の複雑さと有効期限の規則を無効にする
多くの組織では、従来の複雑さとパスワードの有効期限ルールを使用しています。 Microsoftの研究では、NIST特別出版800-63BデジタルIDガイドラインで述べているように、これらのポリシーは、ユーザーが推測しやすいパスワードを選んでしまう原因となります。 Microsoft Entraパスワード保護機能を使うと、現在の攻撃者の行動を利用して、ユーザーが攻撃者が推測できるパスワード設定を防ぐ動的な禁止パスワード機能です。 この機能は、ユーザーがクラウドで作成される場合は常に有効であり、現在は、ハイブリッド組織がWindows Server Active Directory 向け Microsoft Entra パスワード保護を展開する場合にも利用できるようになりました。 さらに、有効期限ポリシーを削除します。 パスワードの変更は、サイバー犯罪者が資格情報を侵害するとすぐに資格情報を使用するため、包含の利点を提供しません。 詳細については、「 組織のパスワード有効期限ポリシーを設定する」を参照してください。
資格情報の漏洩から保護し、障害に対する回復力を高める
Microsoft Entra IDのオンプレミス ディレクトリ オブジェクトに対してクラウド認証を有効にする最も簡単で推奨される方法は、password ハッシュ同期 (PHS) を有効にすることです。 もし組織がパススルー認証やフェデレーションを伴うハイブリッドIDソリューションを使用している場合、以下の2つの理由でパスワードハッシュ同期を有効にしてください。
- Microsoft Entra ID の「Users with leaked credentials」(資格情報が漏洩しているユーザー) レポートでは、ユーザー名とパスワードの組み合わせが公開状態にあることが警告されています。 後で侵害されたサード パーティのサイトで、フィッシング、マルウェア、パスワードの再利用によって、膨大な量のパスワードが漏洩します。 Microsoftは、これらの漏洩した資格情報の多くを検出し、組織の資格情報と一致する場合は、このレポートで通知します。ただし、password ハッシュ同期を有効にした場合、またはクラウド専用 ID を持っている場合に限ります。
- ランサムウェア攻撃など、オンプレミスの停止が発生した場合は、パスワード ハッシュ同期を使用してクラウド認証に切り替えることができます。このバックアップ認証方法を使用すると、Microsoft 365を含む、Microsoft Entra IDを使用して認証用に構成されたアプリに引き続きアクセスできます。 この場合、IT スタッフはオンプレミスの停止が解決されるまで、シャドウ IT や個人のメール アカウントに頼ってデータを共有する必要はありません。
Microsoft Entra IDパスワードをクリア テキストに保存したり、元に戻せるアルゴリズムで暗号化したりすることはありません。 パスワード ハッシュ同期の実際のプロセスの詳細については、パスワード ハッシュ同期 のしくみの詳細な説明を参照してください。
Active Directory フェデレーション サービス (AD FS)(AD FS)エクストラネットスマートロックアウトを実装してください
スマート ロックアウトは、ユーザーのパスワードを推測しようとしたり、ブルート フォースメソッドを使用して侵入しようとする攻撃者をロックアウトするのに役立ちます。 スマート ロックアウトは、有効なユーザーからのサインインを認識し、攻撃者や他の不明なソースからのユーザーとは異なる方法で処理できます。 攻撃者はロックアウトされる一方、組織のユーザーは自分のアカウントへのアクセスを継続できるため、生産性を落とすことはありません。 アプリケーションが Microsoft Entra ID に対して直接認証を行うように構成している組織は、Microsoft Entra のスマート ロックアウトを利用できます。 AD FS 2016 と AD FS 2019 を使用するフェデレーション展開では、 AD FS エクストラネット ロックアウトとエクストラネット スマート ロックアウトを使用して同様の利点を実現できます。
ステップ 2: 攻撃の対象となる領域を減らす
漏洩したパスワードが広まりやすいことを考えると、組織において攻撃の対象となる領域を最小化することが重要です。 古くて安全性の低いプロトコルの使用を無効にし、アクセス エントリ ポイントを制限し、クラウド認証に移行し、リソースへの管理アクセスをより重要に制御し、ゼロ トラストセキュリティ原則を採用します。
クラウド認証を使用する
資格情報は、主要な攻撃ベクトルです。 この記事のプラクティスでは、クラウド認証を使用し、MFA をデプロイし、パスワードレス認証方法を使用することで、攻撃対象領域を減らすことができます。 Windows Hello for Business、Microsoft Authenticator アプリでの電話によるサインイン、FIDO などのパスワードなしの方法を展開できます。
レガシ認証をブロックする
独自のレガシメソッドを使用してMicrosoft Entra IDで認証し、会社のデータにアクセスするアプリは、組織にとって別のリスクをもたらします。 レガシ認証を使用するアプリの例としては、POP3、IMAP4、SMTP クライアントなどがあります。 レガシ認証アプリはユーザーに代わって認証を行い、Microsoft Entra IDが高度なセキュリティ評価を実行できないようにします。 代わりとなる最新の認証では、多要素認証と条件付きアクセスがサポートされているので、セキュリティ リスクを抑えられます。
Microsoftでは、次のアクションが推奨されます。
- Microsoft Entra のサインイン ログと Log Analytics ブックを使用して、組織内のレガシ認証を特定します。
- 先進認証を使用するように SharePoint Online とExchange Onlineを設定します。
- P1 または P2 ライセンスをMicrosoft Entra IDしている場合は、条件付きアクセス ポリシーを使用してレガシ認証をブロックします。 Microsoft Entra ID Free レベルでは、Microsoft Entra のセキュリティ既定値を使用します。
- AD FS を使用している場合はレガシ認証をブロックする。
- Exchange Server 2019 を使用してレガシ認証をブロックします。
- Exchange Onlineでレガシ認証を無効にします。
詳細については、「Microsoft Entra IDでのレガシ認証プロトコルのブロック」を参照してください。
無効な認証エントリ ポイントをブロックする
検証の明示的な原則を使用すると、侵害されたユーザー資格情報が発生したときの影響を軽減する必要があります。 環境内の各アプリについて、有効なユース ケース (どのグループ、どのネットワーク、どのデバイス、およびその他の要素が承認されているか) を考慮してください。 残りをブロックします。 Microsoft Entra 条件付きアクセスを使用すると、定義した特定の条件に基づいて、承認されたユーザーがアプリやリソースにアクセスする方法を制御できます。
詳細については、「 条件付きアクセスのクラウド アプリ、アクション、認証コンテキスト」を参照してください。
管理者ロールの確認と管理
もう 1 つのゼロ トラストの柱は、侵害されたアカウントが特権ロールで動作する可能性を最小限に抑える必要があります。 この制御は、最小限の特権を ID に割り当てることで実現できます。 Microsoft Entra のロールを初めて使用する場合は、この記事を読むことで Microsoft Entra のロールについて理解を深めることができます。
Microsoft Entra IDの特権ロールにはクラウド専用アカウントを使用して、オンプレミス環境から分離します。 オンプレミスのパスワード コンテナーを使用して資格情報を格納しないでください。
Privileged Identity Managementを実装する
Privileged Identity Management (PIM) は、時間ベースおよび承認ベースのロールのアクティブ化を提供し、重要なリソースに対する過剰なアクセス許可、不要なアクセス許可、または誤用されるアクセス許可のリスクを軽減します。 これらのリソースには、Microsoft Entra ID、Azure、Microsoft 365やMicrosoft Intuneなどの他のMicrosoft Online Services のリソースが含まれます。
Microsoft Entra Privileged Identity Management (PIM) を使用すると、次の操作を行うことで、アカウント特権を最小限に抑えることができます。
- 管理者ロールに割り当てられたユーザーを特定して管理する。
- 削除すべき、使用されていない、または過剰な特権ロールを把握しましょう。
- 特権ロールが多要素認証で保護されるようルールを確立しましょう。
- 特権的な役割が特権的なタスクを達成するまでの期間だけ与えられるようにルールを確立しましょう。
Microsoft Entra PIMを有効にし、管理者ロールが割り当てられたユーザーを確認し、そのロール内の不要なアカウントを削除してください。 残りの特権ユーザーを恒久的なステータスから適格者に変更します。 最後に、ユーザーがこれらの特権ロールにアクセスしたい場合、必要な変更制御を伴って安全にアクセスできるように適切なポリシーを確立しましょう。
組み込みロールとカスタム ロールMicrosoft Entra、Azure リソース (Azure ロール) のロールベースのアクセス制御システムに見られるロールと同様の概念に基づいて動作します。 この 2 つのロールベースのアクセス制御システムの違いは次のとおりです。
- Microsoft Entraロールは、Microsoft Graph APIを使用して、ユーザー、グループ、アプリケーションなどのMicrosoft Entra リソースへのアクセスを制御します。
- Azureロールは、Azure Resource Management を使用して、仮想マシンやストレージなどのAzure リソースへのアクセスを制御します。
どちらのシステムにも、同様に使用されるロールの定義とロールの割り当ての概念が含まれています。 ただし、Microsoft Entraのロール権限はAzureのカスタムロールでは利用できませんし、その逆も同様です。 特権アカウントのプロセスを展開する際には、ロックアウトしてもMicrosoft Entra IDにアクセスできるように、少なくとも2つの緊急アカウントを作成するというベストプラクティスを守ってください。
詳細については、「Privileged Identity Managementデプロイの計画」および「Microsoft Entra IDでのハイブリッドおよびクラウドデプロイの特権アクセスのセキュリティ保護」を参照してください。
ユーザーの同意操作を制限する
さまざまなMicrosoft Entraアプリケーションによる同意体験、権限や同意の種類、そしてそれが組織のセキュリティ体制に与える影響を理解することが重要です。 ユーザーが自分で同意できるようにすることで、Microsoft 365、Azure、その他のサービスと連携した有用なアプリケーションを入手できますが、慎重に使用・監視しなければリスクを伴う可能性があります。
Microsoftでは、検証済みの発行元のアプリに対してのみ、選択したアクセス許可に対してのみ、エンドユーザーの同意を許可するようにユーザーの同意を制限することをお勧めします。 エンドユーザーの同意を制限した場合、以前の同意付与は依然として尊重されますが、管理者は今後のすべての同意処理を行う必要があります。 制限された場合、ユーザーは、統合された管理者の同意要求ワークフローまたは独自のサポート プロセスを通して管理者の同意を要求できます。 エンドユーザーの同意を制限する前に、Microsoft推奨事項を使用して、組織内でこの変更を計画します。 すべてのユーザーにアクセスを許可したいアプリケーションについては、すべてのユーザーを代表して同意を与えることを検討してください。これにより、まだ個別に同意していないユーザーもアプリにアクセスできます。 これらのアプリケーションをすべてのシナリオですべてのユーザーに利用させたくない場合は、アプリケーション割り当てと条件付きアクセスを使って特定のアプリへのアクセスを制限してください。
ユーザーが新規アプリケーションの管理者承認を申請できるようにし、ユーザーの負担を減らし、サポートボリュームを最小限に抑え、Microsoft Entra以外の認証情報でアプリケーションに登録するのを防ぎます。 同意操作を規制した後、管理者はアプリと同意のアクセス許可を定期的に監査する必要があります。
詳細については、Microsoft Entra での同意フレームワークに関する記事をご覧ください。
ステップ 3: 脅威への対応を自動化する
Microsoft Entra IDには、攻撃を自動的に傍受し、検出と応答の間の待機時間を短縮する多くの機能が含まれています。 犯罪者が環境に埋め込むために使用する時間を短縮することで、コストとリスクを削減できます。
詳しくは、「方法:リスク ポリシーを構成して有効にする」をご覧ください。
サインイン リスク ポリシーを実装する
サインイン リスクは、ID 所有者が認証要求を承認しなかった確率を表します。 サインイン リスクベースのポリシーを実装するには、特定のユーザーまたはグループのリスク レベルを評価する条件付きアクセス ポリシーにサインイン リスク条件を追加します。 ポリシーは、高、中、低などのリスク レベルに基づいて、アクセスをブロックしたり、多要素認証を強制したりできます。 Microsoftでは、中以上の危険なサインインに対して多要素認証を強制することをお勧めします。
ユーザーのリスク セキュリティ ポリシーを実装する
ユーザー リスクはユーザー ID 侵害の可能性を示し、Identity Protection はユーザーの ID に関連付けられているユーザー リスク検出に基づいて計算します。 特定のユーザーのリスク レベルを評価する条件付きアクセス ポリシーにユーザー リスク条件を追加することで、ユーザー リスクベースのポリシーを実装できます。 低、中、高のリスク レベルに基づいて、ポリシーはアクセスをブロックしたり、多要素認証を使用してセキュリティで保護されたパスワードの変更を要求したりできます。 Microsoftでは、危険度の高いユーザーに対して安全なパスワードの変更を要求することをお勧めします。
ユーザー リスク検出には、ユーザーの資格情報がサイバー犯罪者によって漏洩した資格情報と一致するかどうかのチェックが含まれます。 最適に機能するには、Microsoft Entra Connect Sync を使用してパスワード ハッシュ同期を実装することが重要です。
Microsoft Defender XDRとMicrosoft Entra ID 保護の統合
Identity Protection が可能な限り最高のリスク検出を実行するには、できるだけ多くのシグナルが必要です。 Microsoft Defender XDR サービスの完全なスイートを統合することが重要です。
- Microsoft Defender for Endpoint
- Microsoft Defender for Office 365
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps。
Microsoft Defender XDRの詳細と、さまざまなドメインを統合することの重要性については、次の短いビデオを参照してください。
監視とアラートの設定
ログを監視・監査して、怪しい行動を検出しましょう。 Azureポータルには、Microsoft EntraログをMicrosoft Sentinel、Azure Monitor、その他のセキュリティ情報・イベント管理(SIEM)ツールと統合する複数の方法があります。 詳細については、「Microsoft Entra セキュリティ操作ガイドを参照してください。
手順 4: クラウド インテリジェンスを使用する
セキュリティ関連のイベントと関連するアラートの監査とログ記録は、効率的な保護戦略の不可欠なコンポーネントです。 セキュリティのログやレポートは、疑わしいアクティビティの電子記録となり、外部からネットワークへの侵入または内部からの攻撃が試みられたこと、または成功したことを示すパターンを検出するために役立ちます。 監査機能を使うと、ユーザー アクティビティの監視、規制へのコンプライアンスの文書化、フォレンジック分析の実行などが可能になります。 警告によってセキュリティ イベントが通知されます。 Microsoft Entra IDのサインインログと監査ログの両方に、Azure MonitorやSIEMツールにエクスポートしてログ保持ポリシーを整えていることを確認してください。
Microsoft Entra IDの監視
Microsoft Azureサービスと機能では、セキュリティ ポリシーとメカニズムのギャップを特定し、それらのギャップに対処して侵害を防ぐのに役立つ、構成可能なセキュリティ監査とログ記録のオプションが提供されます。 Azure のログ記録と監査およびMicrosoft Entra 管理センターの監査アクティビティ レポートを使用してください。 詳細については、ユーザー アカウント、特権アカウント、アプリ、デバイスの監視に関するMicrosoft Entraセキュリティ操作ガイドを参照してください。
ハイブリッド環境で Microsoft Entra Connect Health を監視する
Microsoft Entra Connect HealthでAD FSを監視することで、潜在的な問題や攻撃の可視性をより深く把握できます。 AD FSのサインイン情報を確認して、モニタリングをより深く理解してください。 Microsoft Entra Connect Health では、詳細、解決手順、関連ドキュメントへのリンク、認証トラフィックに関連するいくつかのメトリックの使用状況分析、パフォーマンス監視、レポートなどのアラートが提供されます。 AD FS の危険な IP ブックを使用して、環境の基準を特定し、変更が発生したときにアラートを生成します。 階層 0 資産としてすべてのハイブリッド インフラストラクチャを監視します。 これらの資産の詳細な監視ガイダンスについては、インフラストラクチャの セキュリティ運用ガイドを参照してください。
Microsoft Entra ID 保護 イベントを監視する
Microsoft Entra ID 保護は、毎日監視すべき2つの重要なレポートを提供しています。
- リスクのあるサインイン報告は、正当な所有者がサインインを行ったかどうかを調査するためにユーザーのサインイン活動を表面化します。
- 危険なユーザーレポートでは、漏洩した資格情報が検出されたときやユーザーが別の場所からサインインした場合など、侵害された可能性のあるユーザー アカウントが表示され、あり得ない移動イベントが発生します。
監査アプリと同意されたアクセス許可
攻撃者は、ユーザーをだまして、侵害された Web サイトや、自分のプロファイル情報やユーザー データ (メールなど) にアクセスするアプリに移動する可能性があります。 悪意のあるアクターは、受信した同意されたアクセス許可を使用してメールボックスのコンテンツを暗号化し、メールボックス データを復元するための身代金を要求できます。 管理者は、ユーザーが付与するアクセス許可を確認して監査する必要があります。 ユーザーが付与するアクセス許可を監査するだけでなく、Premium 環境で 危険な OAuth アプリケーションや不要な OAuth アプリケーションを見つけることができます 。
ステップ 5: エンドユーザー セルフサービスを有効にする
可能な限り、セキュリティと生産性のバランスを取りたいと考えています。 セキュリティの基盤を設定するという考え方で体験に取り組む場合は、ユーザーを強化しながら注意を引き、運用オーバーヘッドを減らすことで、組織の摩擦を取り除くことができます。
セルフサービス パスワード リセットを実装する
Microsoft Entra IDのサービスパスワードリセット(SSPR)は、IT 管理者がヘルプデスクや管理者の介入なしにパスワードやアカウントをリセットまたはロック解除できるようにする簡単な手段を提供します。 このシステムには、ユーザーがいつパスワードをリセットしたかを追跡する詳細なレポートと、誤用または悪用について警告する通知が用意されています。
セルフサービス グループとアプリケーションのアクセスを実装する
Microsoft Entra IDでは、管理者以外のユーザーがセキュリティ グループ、Microsoft 365 グループ、アプリケーション ロール、アクセス パッケージ カタログを使用してリソースへのアクセスを管理できます。 セルフサービス グループ管理 を使用すると、グループ所有者は、管理ロールを割り当てることなく、独自のグループを管理できます。 ユーザーは、管理者に頼らずにMicrosoft 365 グループを作成して管理し、未使用のグループは自動的に期限切れになります。 Microsoft Entraエンタイトルメント管理は、包括的なアクセス要求ワークフローと自動有効期限を使用して、委任と可視性をさらに有効にします。 管理者以外のユーザーに、所有するグループ、Teams、アプリケーション、SharePoint Online サイト用に独自のアクセス パッケージを構成する機能を委任できます。 従業員のマネージャーやビジネスパートナースポンサーなど、アクセスを承認する人をカスタムポリシーで設定しましょう。
Microsoft Entra アクセス レビューを実装する
Microsoft Entra アクセス レビューでは、アクセス パッケージとグループ メンバーシップ、エンタープライズ アプリケーションへのアクセス、特権ロールの割り当てを管理して、セキュリティ標準を維持できます。 ユーザー自身、リソース所有者、その他のレビュー担当者による通常の監視によって、ユーザーが必要なくなったアクセスを長期間にわたって保持しないですみます。
自動ユーザー プロビジョニングを実装する
プロビジョニングとプロビジョニング解除は、複数のシステム間でデジタル ID の一貫性を確保するプロセスです。 一般に、これらのプロセスは ID ライフサイクル管理の一環として適用されます。
プロビジョニングは、特定の条件に基づいてターゲット システムで ID を作成するプロセスです。 プロビジョニング解除は、条件が満たされなくなったときにターゲット システムから ID を削除するプロセスです。 同期は、ソース オブジェクトとターゲット オブジェクトが一貫性を保つために、プロビジョニングされたオブジェクトを最新の状態に保つプロセスです。
現在、Microsoft Entra IDでは、自動プロビジョニングの 3 つの領域が提供されています。
- 外部の非ディレクトリ型の正式な記録システムから Microsoft Entra ID への HR 主導のプロビジョニング。
- App provisioning による Microsoft Entra ID からアプリケーションへのプロビジョニング。
- ディレクトリ間プロビジョニングを介した Microsoft Entra ID と Active Directory Domain Services 間のプロビジョニング。
詳細については、「プロビジョニングとは何ですか?」をご覧ください。
まとめ
セキュリティで保護された ID インフラストラクチャにはさまざまな側面がありますが、この 5 つの手順のチェックリストは、より安全でより安全な ID インフラストラクチャを迅速に実現するのに役立ちます。
- 資格情報を強化します。
- 攻撃対象領域を減らします。
- 脅威への対応を自動化します。
- クラウド インテリジェンスを使用します。
- エンドユーザーのセルフサービスを有効にします。
セキュリティを真剣に受け止めていただき、ありがとうございます。 この記事は、あなたの組織にとってより安定した体制を築くための有用なロードマップとなります。
次のステップ
推奨事項の計画と展開に関するサポートについては、Microsoft Entra ID プロジェクトの展開計画を参照してください。
これらの手順がすべて完了していることを確信している場合は、Microsoftの Identity Secure Score を使用します。これにより、最新のベスト プラクティスとセキュリティ上の脅威を最新の状態に保つことができます。