【多要素認証】スマホを持っていないユーザーの認証方法

Question

モモセと申します。質問失礼いたします。

現在、スマホを持っていないユーザーの多要素認証をどのように行うか、悩んでおります。

【前提】

下記設定をデフォルトのままで、変更が可能であれば教えていただきたいです。

・Azureポータル：[セキュリティの規定値群の有効化]は 「はい」（デフォルト）

https://learn-attachment.microsoft.com/api/attachments/577a1619-4f75-4ce1-8019-330caf4e577e?platform=QnA"https://learn-attachment.microsoft.com/api/attachments/957b8036-9942-4d36-bddf-b6309e237517?platform=QnA" rel="ugc nofollow">https://learn-attachment.microsoft.com/api/attachments/957b8036-9942-4d36-bddf-b6309e237517?platform=QnA

Answer 1

検証してみました。

①：セキュリティの規定値群 ⇒ [有効]

②：ユーザー個人のMFA ⇒「無効」

新しくアカウントを追加した場合で、画像１が表示されている期間であれば、

ユーザー（一般社員）は [今はしない] を選択すればサインインできますので

マイアカウント＞セキュリティ情報

から携帯番号を入力できます。

画像１

画像２

---

＞質問内容】

＞　①【前提】の設定を変更せず、アプリではない多要素認証(SMS or Email)を実施することは可能でしょうか。

回答：新しくアカウントを追加された社員は

　　　上記画像１、画像２ でSMS認証に変更が可能です。

＞　②【前提】の設定を変更せず、多要素認証を無効化することは可能でしょうか。

回答：新しくアカウントを追加された社員は

　　上記画像１、画像２ で多要素認証は [無効] になります。

＜考察＞

[セキュリティの規定値群の有効化] の機能はユーザーに負担と混乱を強いると思いますのでシステム管理者は、

Azureポータル：[セキュリティの規定値群の有効化] は常時無効に設定して、

Microsoft365管理センター：[ユーザー個人のMFA] の一ヶ所で多要素認証　[有効/無効] の設定で運用した方が良いと思います。

理由：

システム管理者は、

Azureポータル：[セキュリティの規定値群の有効化] が [有効] に設定されているので、すべてのユーザーが多要素認証が有効になっていると勘違いする。

Answer 2

＞ 現在、スマホを持っていないユーザーの多要素認証をどのように行うか、悩んでおります。

質問の本題からはちょっとずれますが、

OKAT のような Browser Extension で使える MAF と Office 365 / Microsoft 365 と組み合わせて利用することも可能です。

Securing Office 365 with Okta | Okta

Answer 3

5rou様

ご回答いただき、ありがとうございます。