この記事では、Azure ID 管理とアクセス制御セキュリティのベスト プラクティスのコレクションについて説明します。 これらのベスト プラクティスは、Microsoft Entra IDと顧客のエクスペリエンスに関するMicrosoftの経験から派生しています。
この記事は、Microsoft の ゼロ トラスト セキュリティ モデルに沿って説明します。これは、ID をプライマリ セキュリティ境界として扱い、すべてのアクセス要求に対して明示的な検証を必要とします。 Azure Policy適用を使用する規範的なセキュリティ制御については、「Microsoft Cloud セキュリティ ベンチマーク v2 - Identity Management」を参照してください。
このAzure ID 管理とアクセス制御のセキュリティのベスト プラクティスに関する記事は、コンセンサスの意見、Azureプラットフォームの機能、およびこの記事の執筆時点に存在する機能セットに基づいています。
この記事では、「アイデンティティインフラのセキュリティ確保のための5ステップ」チェックリストに基づき、導入後のセキュリティ体制を強化するための一般的なロードマップを提供します。このチェックリストでは、いくつかの主要な機能とサービスを順に案内します。
意見やテクノロジは時間の経過と同時に変化します。 この記事は、これらの変更を反映するために定期的に更新されます。
この記事で説明Azure ID 管理とアクセス制御のセキュリティのベスト プラクティスは次のとおりです。
- ID をプライマリ セキュリティ境界として扱います。
- ID 管理を一元化する。
- 接続されているテナントを管理します。
- シングル サインオンを有効にします。
- 条件付きアクセスを有効にします。
- 定期的なセキュリティの向上を計画します。
- パスワード管理を有効にします。
- ユーザーに多要素検証を適用する。
- ロールベースのアクセス制御を使用します。
- 特権アカウントの露出を減らします。
- リソースが配置されている場所を制御します。
- ストレージ認証にはMicrosoft Entra IDを使用します。
ID をプライマリ セキュリティ境界として扱う
多くのユーザーは、ID がセキュリティの主要な境界であると考えています。 この変化は従来のネットワークセキュリティへの焦点から逸脱しています。 ネットワークの境界はますます脆弱になり、その境界防御は BYOD デバイスやクラウドアプリケーションの爆発的な普及以前ほど効果的ではならないでしょう。
Microsoft Entra ID は、ID とアクセスの管理のためのAzure ソリューションです。 Microsoft Entra IDは、Microsoft のマルチテナントのクラウドベースのディレクトリおよび ID 管理サービスです。 これには、主要なディレクトリ サービス、アプリケーション アクセスの管理、および ID 保護の機能が 1 つのソリューションとして統合されています。
次のセクションでは、Microsoft Entra IDを使用した ID とアクセスのセキュリティに関するベスト プラクティスを示します。
- ユーザー ID とサービス ID に関するセキュリティコントロールと検出を中心にする: Microsoft Entra IDを使用してコントロールと ID を併置します。
ID 管理の一元化
ハイブリッド ID シナリオでは、オンプレミスとクラウドのディレクトリを統合します。 統合により、IT チームは、アカウントの作成場所に関係なく、1 つの場所からアカウントを管理できます。 統合は、クラウドとオンプレミスの両方のリソースにアクセスするための共通 ID を提供することで、ユーザーの生産性を高めるのにも役立ちます。
単一のMicrosoft Entra インスタンスを確立します。 整合性と単一の権限のあるソースにより、明確さが向上し、人的エラーや構成の複雑さによるセキュリティ リスクが軽減されます: 企業アカウントと組織アカウントの権限のあるソースとして、単一のMicrosoft Entra ディレクトリを指定します。
オンプレミスのディレクトリを Microsoft Entra ID と統合する: Microsoft Entra Connect を使用して、オンプレミスのディレクトリをクラウド ディレクトリに同期します。
注
Microsoft Entra Connect のパフォーマンスには、いくつかの要因が影響します。 Microsoft Entra Connect には、パフォーマンスの低いシステムがセキュリティと生産性を妨げるのを防ぐのに十分な容量があることを確認します。 100,000 を超えるオブジェクトをプロビジョニングする組織など、大規模または複雑な組織は、推奨事項に従って、Microsoft Entra Connect の実装を最適化する必要があります。
既存のActive Directory インスタンスで高い特権を持つMicrosoft Entra IDにアカウントを同期しないでください。既定の Microsoft Entra Connect 構成では、組み込みの管理者アカウント (RID 500) のみが除外されます。 Domain Admins や Enterprise Admins などの他の高い特権を持つアカウントを保護するには、 OU ベースのフィルター処理 または 属性ベースのフィルター処理を 使用して、同期から除外します。 この構成により、敵対者がクラウドからオンプレミスの資産にピボットするリスクが軽減され、重大なインシデントが発生する可能性があります。
パスワード ハッシュ同期を有効にする: パスワード ハッシュ同期は、オンプレミスの Active Directory インスタンスからクラウドベースのMicrosoft Entra インスタンスにユーザー パスワード ハッシュを同期するために使用される機能です。 この同期は、以前の攻撃から再生される漏洩した資格情報から保護するのに役立ちます。
Active Directory フェデレーション サービス (AD FS) (AD FS) またはその他の ID プロバイダーとのフェデレーションを使用する場合でも、必要に応じて、オンプレミス サーバーが失敗したり、一時的に使用できなくなったりした場合に備えて、パスワード ハッシュ同期をバックアップとして設定できます。 この同期により、ユーザーは、オンプレミスの Active Directory インスタンスへのサインインに使用するのと同じパスワードを使用して、サービスにサインインできます。 また、ユーザーがMicrosoft Entra IDに接続されていない他のサービスで同じメール アドレスとパスワードを使用した場合に、同期されたパスワード ハッシュと侵害されたパスワードを比較することで、Id Protection で侵害された資格情報を検出することもできます。
詳細については、「 Microsoft Entra Connect Sync を使用したパスワード ハッシュ同期を参照してください。
新しいアプリケーション開発では、認証にMicrosoft Entra IDを使用します。認証をサポートするには、次の機能を使用します。
- 従業員向けのMicrosoft Entra ID。
- ゲスト ユーザーおよび外部パートナー向けのMicrosoft Entra B2B
- Microsoft Entra 外部 ID、顧客がアプリケーションを使用する際のサインアップ、サインイン、およびプロファイルの管理方法を制御します。
オンプレミスの ID をクラウド ID と統合していない組織は、アカウントの管理においてより多くのオーバーヘッドを抱える可能性があります。 このオーバーヘッドによって、ミスやセキュリティ違反の可能性が高まります。
注
重要なアカウントが存在するディレクトリを選択し、新しいクラウド サービスまたは既存のプロセスで管理ワークステーションを管理するかどうかを選択します。 既存の管理および ID プロビジョニング プロセスにより、一部のリスクが減少する可能性があります。 また、攻撃者がオンプレミスアカウントを侵害し、クラウドにピボットするリスクを生み出すこともできます。 IT 管理者とビジネス ユニット管理者など、さまざまなロールに対して異なる戦略を使用できます。 この場合、2 つの選択肢があります。 1 つ目のオプションは、オンプレミスの Active Directory インスタンスと同期されていないMicrosoft Entra アカウントを作成することです。 管理ワークステーションをMicrosoft Entra IDに参加させ、Microsoft Intuneを使用して管理およびパッチを適用できます。 2 つ目のオプションは、オンプレミスの Active Directory インスタンスに同期して既存の管理者アカウントを使用することです。 管理とセキュリティのために、Active Directory ドメイン内の既存のワークステーションを使用します。
接続されているテナントを管理する
セキュリティ組織では、リスクを評価し、組織がポリシーと規制要件に従うかどうかを判断するための可視性が必要です。 (Azure ExpressRouteまたはサイト間 VPN を介して) 運用環境とネットワークに接続されているすべてのサブスクリプションをセキュリティ組織が可視化していることを確認します。 Microsoft Entra IDの Global Administrator は、User Access Administrator ロールへのアクセスを昇格させ、環境に接続されているすべてのサブスクリプションとマネージド グループを表示できます。
自分とセキュリティ グループが、環境に接続されているすべてのサブスクリプションまたは管理グループを確実に表示できるようにするには、「アクセス権を昇格して、すべてのAzureサブスクリプションと管理グループを管理する」を参照してください。 リスクを評価した後、この昇格されたアクセス権を削除します。
シングル サインオンの有効化
モバイルファーストのクラウドファーストの世界では、どこからでもデバイス、アプリ、サービスへのシングル サインオン (SSO) を有効にして、ユーザーがいつでもどこでも生産性を高めることができます。 複数のアイデンティティソリューションを管理する場合、この状況はITだけでなく、複数のパスワードを覚えなければならないユーザーにとっても管理上の問題となります。
すべてのアプリとリソースに同じ ID ソリューションを使用することで、SSO を実現できます。 ユーザーは、同じ資格情報のセットを使用して、必要なリソース (リソースがオンプレミスまたはクラウド内にあるかどうか) にサインインしてアクセスできます。
- SSO を有効にする: Microsoft Entra ID オンプレミスの Active Directoryをクラウドに拡張します。 ユーザーは、ドメインに参加しているデバイス、会社のリソース、仕事を完了するために必要なすべての Web アプリケーションと SaaS アプリケーションに、プライマリの職場または学校アカウントを使用できます。 ユーザーは、複数のユーザー名とパスワードのセットを覚える必要はありません。 アプリケーション アクセスは、組織グループのメンバーシップと従業員としての状態に基づいて、自動的にプロビジョニングまたはプロビジョニング解除できます。 ギャラリー アプリや、Microsoft Entra アプリケーション プロキシを使用して開発および公開した独自のオンプレミス アプリに対して、そのアクセスを制御できます。
SSO を使用して、ユーザーが Microsoft Entra ID の職場または学校アカウントに基づいて SaaS アプリケーションにアクセスできるようにします。 この機能はMicrosoftのSaaSアプリだけでなく、Google AppsやSalesforceなど他のアプリにも適用されます。 Microsoft Entra IDを SAML ベースの ID プロバイダーとして使用するようにアプリケーションを構成できます。 セキュリティ管理として、Microsoft Entra IDはユーザーがサインインできるトークンを発行しません。ただし、Microsoft Entra IDがアクセスを許可しない限り。 アクセス権は、直接付与することも、ユーザーを含むグループを介して付与することもできます。
ユーザーとアプリケーションの SSO を確立するための共通の ID を作成していない組織は、ユーザーが複数のパスワードを持つ事態によりさらされやすくなります。 これらのシナリオにより、ユーザーがパスワードを再利用したり、脆弱なパスワードを使用したりする可能性が高くなります。
条件付きアクセスを有効にする
ユーザーは、どこからでもさまざまなデバイスとアプリを使用して、組織のリソースにアクセスできます。 IT 管理者は、これらのデバイスがセキュリティとコンプライアンスの基準を満たしていることを確認します。 リソースにアクセスできるユーザーだけに焦点を当てるだけでは不十分です。
セキュリティと生産性のバランスを取るために、アクセス制御の決定を行う前に、ユーザーがリソースにアクセスする方法を検討してください。 Microsoft Entra 条件付きアクセスはこの要件に対処します。 条件付きアクセスでは、クラウド アプリにアクセスするための条件に基づいて、自動的にアクセス制御の決定を行うことができます。
企業リソースへのアクセスの管理と制御: SaaS アプリとMicrosoft Entra ID接続されたアプリのグループ、場所、アプリケーションの秘密度に基づいて、一般的なMicrosoft Entra条件付きアクセス ポリシーを構成します。
従来の認証プロトコルをブロックする: 攻撃者は、特にパスワード スプレー攻撃のために、古いプロトコルの弱点を毎日悪用しています。 レガシ プロトコルをブロックするように条件付きアクセスを構成します。
定期的なセキュリティ強化の計画
セキュリティは常に進化しています。 成長を定期的に示し、クラウドと ID 管理フレームワークに環境をセキュリティで保護する新しい方法を見つけ出す方法を構築することが重要です。
ID セキュリティ スコアは、セキュリティ体制を測定し、将来のセキュリティ強化の計画に役立つ数値スコアを提供するために公開Microsoft推奨されるセキュリティ コントロールのセットです。 また、他の業界のスコアと比較して、時間の経過に伴う独自の傾向を表示することもできます。
- 業界のベスト プラクティスに基づいて定期的なセキュリティ レビューと改善を計画する: ID セキュア スコア機能を使用して、時間の経過に伴う改善点をランク付けします。
パスワード管理を有効にする
複数のテナントがある場合や、ユーザーが 自分のパスワードをリセットできるようにしたい場合、悪用を防ぐために適切なセキュリティポリシーを使用してください。
ユーザーのセルフサービス パスワード リセット (SSPR) を設定する: Microsoft Entra IDセルフサービス パスワード リセット機能を使用します。
SSPR がどのように使用されているかを監視する: Microsoft Entra IDパスワード リセット登録アクティビティ レポートを使用して登録しているユーザーを監視します。 Microsoft Entra IDが提供するレポート機能は、事前構築済みのレポートを使用して質問に回答するのに役立ちます。 適切にライセンスを付与されている場合は、カスタム クエリを作成することもできます。
クラウドベースのパスワード ポリシーをオンプレミスインフラストラクチャに拡張する: クラウドベースのパスワード変更の場合と同じチェックを実行して、組織内のパスワード ポリシーを強化します。 オンプレミスのWindows Server Active Directory エージェントMicrosoft Entraパスワード保護をインストールして、禁止されたパスワード リストを既存のインフラストラクチャに拡張します。 オンプレミスでパスワードを変更、設定、またはリセットするユーザーと管理者は、クラウド専用ユーザーと同じパスワード ポリシーに準拠する必要があります。
ユーザーに多要素認証を適用する
すべてのユーザーに多要素認証 (MFA) を要求します。 これには、財務責任者など、アカウントが侵害された場合に大きな影響を与える可能性がある組織内の管理者やその他のユーザーが含まれます。
Important
必須の MFA 強制: 2025 年 10 月 1 日以降、Azureは必須の MFA 適用のフェーズ 2 を適用します。 このフェーズでは、コマンド ライン インターフェイス (CLI)、PowerShell、Azure モバイル アプリ、コードとしてのインフラストラクチャ (IaC) ツール、作成、更新、または削除操作用の REST API エンドポイントなど、すべてのAzure サービス ユーザーに対して強力な認証が必要です。 この適用により、盗まれた資格情報を大規模に中和することで、ID のセキュリティが大幅に向上します。 Microsoft調査によると、MFA は 99.2% を超えるアカウント侵害攻撃をブロックできます。 詳細については、
フィッシングに強い MFA メソッドに優先順位を付ける
FIDO2 セキュリティ キー、パスキー、Windows Hello for Business、証明書ベースの認証など、フィッシングに強い認証方法は、高度な攻撃に対する最も強力な保護を提供します。 これらの手法は、攻撃者が傍受や再生できないハードウェアバックアップされた暗号鍵を使用します。 Microsoftは、アイデンティティセキュリティの基準としてフィッシング耐性のあるMFAを導入することを推奨しています。 ガイダンスについては、「 フィッシングに強いパスワードレス認証の展開を計画する」を参照してください。
多要素認証を必要とするための複数のオプションが存在します。 最適なオプションは、目標、実行しているMicrosoft Entraエディション、ライセンス プログラムによって異なります。 最適なオプションを決定するには、「 ユーザーに 2 段階認証を要求する方法」を参照してください。 ライセンスと価格の詳細については、Microsoft Entra価格のページを参照してください。
次のオプションと利点は、多要素認証を有効にするのに役立ちます。
オプション 1: Microsoft Entraセキュリティの既定値を使用して MFA を有効にする
Microsoft Entraセキュリティの既定値を使用して、すべてのユーザーとサインイン方法に対して MFA を有効にします。
このオプションは、厳格なポリシーを用いて環境内のすべてのユーザーに迅速にMFAを強制するのに役立ちます:
- 管理アカウントと管理サインイン方法にチャレンジします。
- すべてのユーザーに対してMicrosoft Authenticatorを通じて MFA チャレンジを要求する。
- レガシ認証プロトコルを制限します。
この方法はすべてのライセンス層で利用可能ですが、既存の条件付きアクセスポリシーと混用することはできません。 詳細については、セキュリティの既定値Microsoft Entra参照してください。
オプション 2: ユーザーの状態を変更して多要素認証を有効にする
ユーザーの状態を変更して多要素認証を有効に することは、2 段階認証を必要とする従来の方法です。 この方法は、クラウドのMicrosoft Entra多要素認証とAzure多要素認証サーバーの両方で動作します。 この方法では、ユーザーがサインインして条件付きアクセス ポリシーをオーバーライドするたびに、2 段階認証を実行する必要があります。
多要素認証を有効にする必要がある場所を判断するには、「組織に適したMicrosoft Entra多要素認証のバージョンは何ですか?」を参照してください>
オプション 3: 条件付きアクセス ポリシーを使用して多要素認証を有効にする
条件付きアクセス ポリシーを使用して多要素認証を有効にすると、条件付きアクセスを使用して特定の条件下で 2 段階認証を求められます。 特定の条件としては、異なる場所、信頼されていないデバイス、または危険と見なされるアプリケーションからのユーザーのサインインを指定できます。 2 段階認証を要求する特定の条件を定義すると、要求のメッセージがユーザーに繰り返し表示されないようにすることができます。このようなメッセージは、不快なユーザー エクスペリエンスとなり得ます。
このオプションは、ユーザーに対して二段階認証を有効にする最も柔軟な方法です。 条件付きアクセス ポリシーは、クラウドMicrosoft Entra多要素認証にのみ機能し、Microsoft Entra IDのプレミアム機能です。 この方法の詳細については、「クラウドベースのMicrosoft Entra多要素認証をデプロイする」を参照してください。
オプション 4: リスクベースの条件付きアクセス ポリシーを使用して多要素認証を有効にする
条件付きアクセス ポリシーを使用して多要素認証を有効にして、 リスクベースの条件付きアクセス ポリシーを評価します。
このオプションを使用すると、次のことが可能になります。
- 組織の ID に影響する潜在的な脆弱性を検出します。
- 組織の ID に関連する検出された疑わしいアクションに対する自動応答を構成します。
- 疑わしいインシデントを調査し、適切なアクションを実行して解決します。
この方法は、Microsoft Entra ID 保護のリスク評価を用いて、すべてのクラウドアプリケーションに対してユーザーおよびサインインリスクに基づく二段階認証を行う必要があるかどうかを判断します。 この方法では、Microsoft Entra ID P2 ライセンスが必要です。 このメソッドの詳細については、Microsoft Entra ID 保護を参照してください。
注
オプション 2 (ユーザーの状態を変更することで多要素認証を有効にする) では、条件付きアクセス ポリシーをオーバーライドします。 オプション 3 とオプション 4 では条件付きアクセス ポリシーが使用されるため、オプション 2 を使用することはできません。
ユーザー ベースのサービス アカウントをワークロード ID に移行する
一部の組織では、Microsoft Entra IDのユーザーアカウントをサービスアカウントとして自動化しています。 必須の MFA 適用では、これらのユーザー ベースのサービス アカウントを移行して、 ワークロード ID を持つクラウドベースのサービス アカウントをセキュリティで保護することが重要です。 マネージド ID やサービス プリンシパルを含むワークロード ID は自動化シナリオ向けに設計されており、MFA は必要ありません。 これらの ID は、より安全で管理しやすいソリューションを提供します。 移行のガイダンスについては、「Azure CLIを使用してマネージド ID を使用してAzureにサインインし、自動化シナリオで非対話形式でAzure PowerShellにサインインする」を参照してください。
多要素認証など、ID 保護のレイヤーを追加しない組織は、資格情報の盗難攻撃の影響を受けやすくなります。 資格情報盗用攻撃はデータの侵害につながる可能性があります。
ロールベースのアクセス制御を使用する
クラウド リソースのアクセス管理は、クラウドを使用するすべての組織にとって重要です。 Azureロールベースのアクセス制御 (Azure RBAC) は、Azure リソースにアクセスできるユーザー、それらのリソースで実行できること、アクセスできる領域を管理するのに役立ちます。
Azureで特定の機能を担当するグループまたは個々のロールを指定すると、セキュリティ リスクを引き起こした人間や自動化のエラーにつながる混乱を回避できます。 データ アクセスにセキュリティ ポリシーを適用する組織では、 知る必要性 と 最小限の特権 のセキュリティ原則に基づいてアクセスを制限することが不可欠です。
セキュリティ チームは、リスクを評価して修復するために、Azure リソースを可視化する必要があります。 セキュリティチームが運用上の責任を持つ場合、仕事を遂行するためにより多くの権限が必要です。
Azure RBAC を使用して、特定のスコープでユーザー、グループ、アプリケーションにアクセス許可を割り当てることができます。 ロールの割り当てスコープには、サブスクリプション、リソース グループ、または 1 つのリソースを指定できます。
- チーム内で職務を分離し、ジョブを実行するために必要なアクセス権のみをユーザーに付与します。 すべてのユーザーにAzureサブスクリプションまたはリソースの無制限のアクセス許可を付与する代わりに、特定のスコープで特定のアクションのみを許可します: AzureAzure組み込みロールを使用して、ユーザーに特権を割り当てます。
注
特定のアクセス許可によって不要な複雑さと混乱が生じ、何かを壊すのを恐れずに修正するのが難しい "レガシ" 構成に蓄積されます。 リソース固有のアクセス許可は避けてください。 代わりに、エンタープライズ全体のアクセス許可には管理グループを使用し、サブスクリプション内のアクセス許可にはリソース グループを使用します。 ユーザー固有のアクセス許可は使用しないでください。 代わりに、Microsoft Entra IDのグループにアクセス権を割り当てます。
リスクを評価して是正できるように、Azure の責任を担うセキュリティ チームに Azure リソースを参照するためのアクセス権を付与します: セキュリティ チームに Azure RBAC の Security Reader ロールを付与します。 ルート管理グループまたはセグメント管理グループは、責任の範囲に応じて使用できます。
- すべてのエンタープライズ リソースを担当するチームのルート管理グループ。
- 規制やその他の組織の境界など、範囲が制限されたチームのセグメント管理グループ。
運用上の直接的な責任を持つセキュリティ チームに適切なアクセス許可を付与する: Azure組み込みロールで適切なロールの割り当てを確認します。 組み込みロールが組織の特定のニーズを満たしていない場合は、Azureカスタム ロールを作成できます。 組み込みロールと同様に、サブスクリプション、リソース グループ、およびリソース スコープでユーザー、グループ、サービス プリンシパルにカスタム ロールを割り当てることができます。
Microsoft Defender for Cloud必要なセキュリティ ロールへのアクセス権を付与します。 Defender for Cloudはセキュリティチームがリスクを迅速に特定し、修復できるよう支援します: これらのニーズを持つセキュリティ チームをAzure RBAC Security Admin ロールに追加して、セキュリティ ポリシーの表示、セキュリティ状態の表示、セキュリティ ポリシーの編集、アラートと推奨事項の表示、アラートと推奨事項の無視を行うことができます。 責任範囲に応じてルート管理グループまたはセグメント管理グループを使いましょう。
Azure RBAC などの機能を使用してデータ アクセス制御を適用しない組織では、ユーザーに必要以上の特権が与えられる場合があります。 このアクセスは、ユーザーがアクセスすべきでない、例えばビジネスインパクトの高いデータにアクセスしてしまうことで、データの侵害につながる可能性があります。
特権アカウントの公開時間を短縮する
特権アクセスのセキュリティ保護は、ビジネス資産を保護するうえで重要な最初のステップです。 セキュリティで保護された情報またはリソースへのアクセス権を持つユーザーの数を最小限に抑えることで、悪意のあるユーザーがこのようなアクセス権を手にしたり、権限のあるユーザーの不注意で機微なリソースのセキュリティが損なわれたりする可能性が抑えられます。
特権アカウントとは、IT システムを管理するアカウントです。 サイバー攻撃では、組織のデータやシステムへのアクセス手段を得るために、このようなアカウントが標的にされます。 特権アクセスを確保するために、アカウントやシステムを悪意のあるユーザーへの露出リスクから隔離してください。
サイバー攻撃者に対する特権アクセスをセキュリティで保護するためのロードマップを開発し、従います。 Microsoft Entra ID、Microsoft Azure、Microsoft 365、その他のクラウド サービスで管理または報告される ID とアクセスをセキュリティで保護するための詳細なロードマップの作成については、「Microsoft Entra IDでのハイブリッドデプロイとクラウド デプロイの特権アクセスのセキュリティ保護」を参照してください。
次に、Microsoft Entra ID におけるハイブリッドおよびクラウド デプロイメントの特権アクセスのセキュリティ保護に関するベスト プラクティスを要約します。
特権アカウントへのアクセスの管理、制御、監視: Microsoft Entra Privileged Identity Managementを有効にします。 Privileged Identity Managementを有効にすると、特権アクセスロールの変更に関する通知メールが届きます。 これらの通知は、ディレクトリ内の高特権ロールにさらに多くのユーザーが追加された際に早期警告を提供します。
すべての重要な管理者アカウントがMicrosoft Entraアカウントで管理されていることを確認します。重要な管理者ロールから、hotmail.com、live.com、outlook.com などのMicrosoft アカウントなどのコンシューマー アカウントを削除します。
すべての重要な管理者役割に管理タスク用の別アカウントを設け、フィッシングやその他の管理権限を侵害する攻撃を防ぐ:管理タスクを実行するために必要な権限を割り当てた別の管理者アカウントを作成しましょう。 Microsoft 365電子メールや任意の Web 閲覧などの毎日の生産性ツールに対して、これらの管理アカウントの使用をブロックします。
高い特権を持つロール内のアカウントを特定して分類する: Microsoft Entra Privileged Identity Managementを有効にした後、グローバル管理者、特権ロール管理者、およびその他の高い特権を持つロールのユーザーを表示します。 これらのロールで不要になったアカウントを削除します。 管理者ロールに割り当てられている残りのアカウントを分類します。
- 管理ユーザーごとに個別に割り当てられ、個人メールなどの非管理目的でも利用可能です。
- 管理ユーザーに個別に割り当てられ、管理目的でのみ指定されます。
- 複数のユーザー間で共有されます。
- 緊急アクセスシナリオの場合。
- 自動化されたスクリプトの場合。
- 外部ユーザーの場合。
「ジャストインタイム(JIT)」アクセスを実装し、特権アカウントの露出時間をさらに短縮し、特権アカウントの使用状況を可視化します。Microsoft Entra Privileged Identity Management以下の作業を行うのに役立ちます。
- ユーザーが自分の特権 JIT のみを使用するように制限します。
- 権限が自動的に取り消される、短縮された期間のロールを割り当てます。
少なくとも 2 つの緊急アクセス アカウントを定義します。緊急アクセス アカウントは、組織が既存のMicrosoft Entra環境で特権アクセスを制限するのに役立ちます。 このようなアカウントは高い特権を持っており、特定のユーザーには割り当てられません。 緊急アクセスアカウントは、通常の管理アカウントを使用できないシナリオに限定されます。 組織は、緊急アカウントの使用を必要な時間のみに制限する必要があります。
グローバル管理者ロールに割り当てられているアカウントまたは資格のあるアカウントを評価します。 緊急アクセス用の *.onmicrosoft.com ドメインを使用してもクラウド専用アカウントが1つも見当たらない場合は、それらを作成してください。 詳細については、「
緊急時に備えて「ブレイクグラス」手順を用意しておきます: Microsoft Entra ID でのハイブリッドおよびクラウド展開向けの特権アクセスの保護 の手順に従ってください。
すべての重要な管理者アカウントをパスワード不要(推奨)にする、または多要素認証を義務付ける:Microsoft Authenticatorアプリを使ってパスワードなしで任意のMicrosoft Entraアカウントにサインインしてください。 Windows Hello for Businessと同様に、Microsoft Authenticatorはキーベースの認証を使用して、デバイスに関連付けられ、生体認証または PIN を使用するユーザー資格情報を有効にします。
Microsoft Entraのグローバル管理者、特権ロール管理者、Exchange Online管理者、SharePoint Online管理者の1つ以上の管理者ロールに永続的に割り当てられているすべての個人ユーザーに対して、サインイン時にMicrosoft Entraの多要素認証を要求する必要があります。 管理者アカウントで多要素認証を有効にし、管理者アカウントのユーザー登録を確実にしてください。
重要な管理者アカウントの場合は、閲覧や電子メールなどの運用タスクが許可されていない管理者ワークステーションを用意します。 この構成により、閲覧や電子メールを使用する攻撃ベクトルから管理者アカウントが保護され、重大なインシデントのリスクが大幅に低下します。: 管理ワークステーションを使用します。 ワークステーションセキュリティのレベルを選択します。
- 安全性の高い生産性デバイスは、閲覧やその他の生産性タスクに高度なセキュリティを提供します。
- Privileged Access Workstation (PAW) は 、機密性の高いタスクに対するインターネット攻撃や脅威ベクトルから保護された専用のオペレーティング システムを提供します。
従業員が組織を離れたときの管理者アカウントのプロビジョニング解除: 従業員が組織を離れたときに管理者アカウントを無効または削除するプロセスを用意します。
現在の攻撃手法を使用して管理者アカウントを定期的にテストする: Microsoft 365攻撃シミュレーターまたはサード パーティのオファリングを使用して、組織で現実的な攻撃シナリオを実行します。 これは、実際の攻撃が発生する前に脆弱なユーザーを見つけるのに役立ちます。
最も頻繁に使用される攻撃手法を軽減するための手順を実行します。
- 職場または学校アカウントに切り替える必要がある管理者ロールのMicrosoft アカウントを特定します。
- グローバル管理者アカウントの個別のユーザー アカウントとメール転送を確認します。
- 管理アカウントのパスワードが最近変更されていることを確認します。
- パスワード ハッシュ同期を有効にします。
- すべての特権ロールのユーザーと公開されているユーザーに対して多要素認証を要求します。
- Microsoft 365セキュア スコアを取得します (Microsoft 365を使用している場合)。
- Microsoft 365 セキュリティガイダンスを確認します (Microsoft 365を使用している場合)。
- Microsoft 365アクティビティの監視を構成します (Microsoft 365を使用している場合)。
- インシデント/緊急対応計画の所有者を確立します。
- オンプレミスの特権管理者アカウントをセキュリティで保護します。
特権アクセスをセキュリティで保護しないと、高い特権を持つロールのユーザーが多すぎて、攻撃に対して脆弱である可能性があります。 サイバー攻撃者を含む悪意のあるアクターは、多くの場合、管理者アカウントやその他の特権アクセスの要素を標的にして、資格情報の盗難を使用して機密データやシステムにアクセスします。
リソースが作成される場所を制御する
クラウド オペレーターが組織のリソースを管理するために必要な規則を破らないようにしながら、タスクを実行できるようにすることが重要です。 リソースが作成される場所を制御する組織は、これらの場所をハードコーディングする必要があります。
Azure Resource Managerを使用して、拒否するアクションまたはリソースを定義するセキュリティ ポリシーを作成できます。 これらのポリシー定義は、サブスクリプション、リソース グループ、個々のリソースなど、目的のスコープで割り当てます。
注
セキュリティ ポリシーは、Azure RBAC と同じではありません。 セキュリティ ポリシーでは、Azure RBAC を使用して、ユーザーがそれらのリソースを作成することを承認します。
リソースの作成方法を制御していない組織は、必要以上に多くのリソースを作成することで、サービスを悪用する可能性があるユーザーの影響を受けやすくなります。 リソース作成プロセスの強化は、マルチテナント シナリオをセキュリティで保護するための重要な手順です。
疑わしいアクティビティを積極的に監視する
アクティブな ID 監視システムは、疑わしい動作をすばやく検出し、さらに調査するためにアラートをトリガーできます。 次の一覧には、組織が ID を監視するのに役立つMicrosoft Entra機能が含まれています。
疑わしいサインイン アクティビティを特定する方法があります。 トレースされずにサインインしようとする試み、特定のアカウントに対する ブルート フォース 攻撃、複数の場所からのサインインの試行、 感染したデバイスからのサインイン、疑わしい IP アドレスを監視します。 Microsoft Entra ID P1 または P2 の異常検出レポートを使用します。 IT 管理者がこれらのレポートを毎日またはオンデマンドで実行するためのプロセスと手順を用意します (通常はインシデント対応シナリオ)。
リスクを通知し、リスク レベル (高、中、低) をビジネス要件に合わせて調整できるアクティブな監視システムを用意します。Microsoft Entra ID 保護を使用します。このシステムは、現在のリスクに独自のダッシュボードにフラグを設定し、毎日の概要通知を電子メールで送信します。 組織のアイデンティティを守るために、指定されたリスクレベルに達した際に検出されたリスクに自動的に対応するリスクベースのポリシーを設定できます。
ID システムを積極的に監視していない組織は、ユーザー資格情報が侵害されるリスクがあります。 これらの資格情報を使用して疑わしいアクティビティが行われているという知識がなければ、組織はこの種の脅威を軽減できません。
ストレージ認証にMicrosoft Entra IDを使用する
Azure Storage では、BLOB ストレージとキュー ストレージのMicrosoft Entra IDを使用した認証と承認がサポートされます。 Microsoft Entra認証を使用すると、Azureロールベースのアクセス制御を使用して、個々の BLOB コンテナーまたはキューのスコープまで、ユーザー、グループ、アプリケーションに特定のアクセス許可を付与できます。
マネージド ID でMicrosoft Entra IDを使用して、可能な限り、Azure Storageへの要求を承認します。
次のステップ
- Azureを使用してクラウド ソリューションを設計、デプロイ、管理する際に使用するセキュリティのベスト プラクティスについては、「Azure セキュリティのベスト プラクティスとパターンを参照してください。
- Microsoft クラウド セキュリティ ベンチマーク v2 (プレビュー) - Identity Management コントロールを確認して、Azure Policy マッピングを使用した包括的な ID セキュリティ ガイダンスを確認します。
- Microsoft Secure Future Initiative (SFI) について説明します。これは、ID とシークレットを保護するための、Microsoft 社内のセキュリティに関するベスト プラクティスであり、Microsoft が顧客にも推奨しているものです。