概要
この記事では、Microsoft Defender for Cloud Appsにおける条件付きアクセスアプリ制御の既知の制限を一覧にしています。 これらの制限には、ファイルサイズ、コンテンツ検査、暗号化ファイル、IPv6対応、リバースプロキシセッション、Microsoft Edgeブラウザ内保護が含まれます。 ポリシーを設定したり、予期せぬ動作を修正したりする際には、このページを確認してください。
セキュリティの制限事項の詳細については、サポート チームにお問い合わせください。
セッション ポリシーの最大ファイル サイズ
最大サイズが 50 MB のファイルにセッション ポリシーを適用できます。 たとえば、この最大ファイル サイズは、OneDrive からのファイルのダウンロードを監視したり、ファイルの更新をブロックしたり、マルウェア ファイルのダウンロードやアップロードをブロックしたりするポリシーを定義する場合に関連します。
50 MB を超えるファイルの場合は、テナント設定を使用して、一致するポリシーに関係なく、ファイルが許可されるかブロックされるかを判断します。
Microsoft Defender XDR で、50 MB を超えるファイルの設定を管理するには、Settings>Conditional Access App Control>既定の動作 を選択します。
Microsoft Edge のブラウザー内保護では、エンド ユーザー セッションが保護され、ポリシーが [データをスキャンできない場合でも常に選択したアクションを適用する] に設定されている場合、50 MB を超えるファイルはすべてブロックされます。
コンテンツ検査に基づくセッション ポリシーの最大ファイル サイズ
セッション ポリシーでは、コンテンツ検査に基づいてファイルのアップロードとダウンロードをブロックまたは監視できます。 コンテンツ検査は、次の両方の条件を満たすファイルでのみ実行されます。ファイルは 30 MB 未満で、ファイルの文字数は 100 万文字未満です。
たとえば、次のいずれかのセッション ポリシーを定義できます。
- 社会保障番号を含むファイルのアップロードをブロックする
- 保護対象医療情報を含むファイルのダウンロードを保護する
- "非常に機密性の高い" という秘密度ラベルを持つファイルのダウンロードをブロックする
このようなコンテンツ検査ポリシーでは、30 MB を超えるファイルや 100 万文字を超えるファイルはスキャンされません。 代わりに、スキャンされていないファイルは、 データをスキャンできない場合でも、選択したアクションを常に適用 するポリシー設定に従います。
次の表に、スキャンされるファイルとスキャンされないファイルの例を示します。
| ファイルの説明 | スキャン済み |
|---|---|
| TXT ファイル、1 MB サイズ、100 万文字 | はい |
| TXT ファイル、2 MB サイズ、200 万文字 | 不要 |
| 画像とテキスト、4 MB サイズ、400 K 文字で構成されたWord ファイル | はい |
| 画像とテキスト、4 MB のサイズ、200 万文字で構成されたWord ファイル | 不要 |
| 画像とテキスト、40 MB のサイズ、400 K 文字で構成されたWord ファイル | 不要 |
秘密度ラベルで暗号化されたファイル
テナントが暗号化された秘密度ラベルを持つファイルの共同編集を有効にすると、コンテンツ検査中にそれらのファイルを読み取ることはできません。 ラベル フィルターまたはファイル コンテンツに基づいてアップロードまたはダウンロードをブロックするセッション ポリシーでは、 代わりにデータをスキャンできない場合でも、選択したアクションを常に適用 します。
たとえば、クレジット カード番号を含むファイルのダウンロードをブロックするセッション ポリシーを設定したとします。 また、 データをスキャンできない場合でも、[常に選択したアクションを適用する] をオンにします。 このセットアップでは、暗号化された秘密度ラベルを持つファイルは、何が含まれているかにかかわらずブロックされます。
Teams の外部 B2B ユーザー
セッション ポリシーは、Microsoft Teams アプリケーションの外部ビジネス間 (B2B) コラボレーション ユーザーを保護しません。
非対話型トークンを使用したセッション コントロール
一部のアプリでは、非対話型アクセス トークンを使用して、同じスイート内のアプリ間でユーザーをリダイレクトします。 一方のアプリがアプリの条件付きアクセス制御にオンボードされていても、もう一方のアプリがオンボードされていない場合、セッション制御が期待どおりに機能しない可能性があります。 たとえば、Teams クライアントは、SharePointの非対話型トークンを取得し、SharePoint Online (SPO) でセッションを開始できます。 ユーザーは再度サインインを求められないため、セッション制御で介在したりポリシーを適用したりすることはできません。 このギャップを回避するには、Teams などの関連するすべてのアプリを SPO と共にオンボードします。
IPv6 の制限事項
アクセス ポリシーとセッション ポリシーでは、IPv4 のみがサポートされます。 IPv6 経由で要求が行われた場合、IP ベースのポリシー規則は適用されません。 この制限は、リバース プロキシと Microsoft Edge のブラウザー内保護の両方を使用する場合に適用されます。
リバース プロキシが機能するセッションの制限事項
以下の組み込みアプリ、コンテキスト損失、ファイルアップロードの制限は、リバースプロキシがサービスを提供するセッションにのみ適用されます。 Microsoft Edge のユーザーは、リバース プロキシを使用する代わりにブラウザー内保護を利用できるため、これらの制限は影響を受けません。
組み込みのアプリとブラウザーのプラグインの制限事項
Defender for Cloud Appsのアプリの条件付きアクセス制御によって、基になるアプリケーション コードが変更されます。 現在、組み込みのアプリやブラウザー拡張機能はサポートされていません。
管理者は、ポリシーを適用できない場合の既定のシステム動作を定義できます。 アクセスを許可するか、完全にブロックするかを選択できます。
コンテキストの欠落に関する制限事項
次のアプリケーションでは、リンクを参照するとリンクの完全なパスが失われる可能性があるシナリオが発生しました。 通常、ユーザーはアプリのホーム ページに移動します。
- Arcgis
- GitHub
- Microsoft Power Automate（マイクロソフト パワー オートメート）
- マイクロソフト パワー アプリ
- Meta社によるWorkplace
- ServiceNow
- Workday
- ボックス
- Smartsheet
ファイルのアップロードに関する制限事項
セッション ポリシーを適用して機密ファイルのアップロードをブロックまたは監視する場合、ユーザーがドラッグ アンド ドロップ操作を使用してファイルまたはフォルダーをアップロードしようとすると、次のシナリオでファイルとフォルダーの完全な一覧がブロックされます。
- 少なくとも 1 つのファイルと少なくとも 1 つのサブフォルダーを含むフォルダー
- 複数のサブフォルダーを含むフォルダー
- 少なくとも 1 つのファイルと少なくとも 1 つのフォルダーの選択
- 複数のフォルダーの選択
次の表に、 OneDrive への個人データを含むファイルのアップロードをブロックするポリシーを定義した場合の結果の例を 示します。
| シナリオ | 結果 |
|---|---|
| ユーザーは、ドラッグ アンド ドロップ操作を使用して、200 個の非認識ファイルの選択をアップロードしようとします。 | ファイルはブロックされます。 |
| ユーザーは、ファイルのアップロード ダイアログを使用して、200 個のファイルの選択をアップロードしようとします。 一部は機密性が高く、そうでないものもあります。 | 機密性のないファイルがアップロードされます。 機密ファイルはブロックされます。 |
| ユーザーは、ドラッグ アンド ドロップ操作を使用して、200 個のファイルの選択をアップロードしようとします。 一部は機密性が高く、そうでないものもあります。 | ファイルの完全なセットがブロックされます。 |
Microsoft Edge のブラウザー内保護で提供されるセッションの制限事項
以下のGoogle Workspace、ディープリンク、そして古いポリシー強制の制限は、Microsoft Edgeのブラウザ内保護が施されたセッションにのみ適用されます。
セキュリティで保護された Microsoft Edge セッション コントロールは、エンタープライズ Microsoft Edge ブラウザーの Google ワークスペースでは使用できません
Google ワークスペースは、Enterprise Microsoft Edge ブラウザーでのブラウザー内保護ではサポートされていません。 その結果、Google ワークスペースのセキュリティで保護された Microsoft Edge セッション コントロールはサポートされていません。 Google Workspacesではリアルタイムのデータ損失防止(DLP)ファイルスキャンがサポートされておらず、接尾辞のフォールバック認証が使われ、ファイルのアップロード、ダウンロード、削除、コピーもサポートされていません。
ユーザーが [Microsoft Edge で続行] をクリックして Microsoft Edge に切り替えると、ディープ リンクが失われます
Microsoft Edge 以外のブラウザーでセッションを開始するユーザーは、[Microsoft Edge で続行] ボタンをクリックして Microsoft Edge に切り替えるよう求められます。
URL がセキュリティで保護されたアプリケーション内のリソースを指している場合、ユーザーは Microsoft Edge のアプリケーションのホームページに移動します。
ユーザーが Microsoft Edge 仕事用プロファイルに切り替えると、ディープ リンクが失われます。
仕事用プロファイル以外のプロファイルを使用して Microsoft Edge でセッションを開始するユーザーは、[仕事用プロファイルに切り替える] ボタンをクリックして仕事用プロファイルに切り替えるよう求められます。
URL がセキュリティで保護されたアプリケーション内のリソースを指している場合、ユーザーは Microsoft Edge のアプリケーションのホームページに移動します。
Microsoft Edge での古いセッション ポリシーの適用
Microsoft Edge のブラウザー内保護を使用してセッション ポリシーが適用され、ユーザーが後で対応する条件付きアクセス (CA) ポリシーから削除された場合でも、元のセッションの適用は保持される可能性があります。
シナリオ例:
もともと、ユーザーには、ファイルのダウンロードをブロックするDefender for Cloud Apps セッション ポリシーと共に Salesforce の CA ポリシーが割り当てられました。 その結果、ユーザーが Microsoft Edge で Salesforce にアクセスしたときにダウンロードがブロックされました。
管理者は後で CA ポリシーを削除しましたが、キャッシュされたポリシー データが原因で、Microsoft Edge でダウンロード ブロックが引き続き発生します。
軽減策オプション:
オプション 1: 自動クリーンアップ
- ユーザー/アプリを CA ポリシーのスコープに再度追加します。
- 対応するDefender for Cloud Apps セッション ポリシーを削除します。
- ユーザーが Microsoft Edge を使用してアプリケーションにアクセスするのを待ちます。 これにより、ポリシーの削除が自動的にトリガーされます。
- CA ポリシーのスコープからユーザー/アプリを削除します。
オプション 2: キャッシュされたポリシー ファイルを削除する (手動クリーンアップ)
- 次に移動: C:\Users<username>\AppData\Local\Microsoft\Edge\
- ファイルを削除する: mda_store.1.txt
オプション 3: Microsoft Edge で作業プロファイルを削除する (手動クリーンアップ)
- Microsoft Edge を開きます。
- [プロファイル設定] に移動します。
- 古いセッション ポリシーに関連付けられている作業プロファイルを削除します。
これらの各軽減オプションは、ポリシーの更新を強制し、古いセッション ポリシーに関連する適用の問題を解決します。