Microsoft Defender for Identityは、organization固有のセキュリティとコンプライアンスのニーズに応じてデータを保護するためのロールベースのセキュリティを提供します。 役割グループを使用して Defender for Identity へのアクセスを管理し、セキュリティ チーム全体で責任を分離し、ユーザーがジョブを実行するために必要なアクセス権の量のみを付与することをお勧めします。
統一されたロールベースのアクセス制御 (RBAC)
テナントの Microsoft Entra ID で既にセキュリティ管理者として登録されているユーザーは、自動的に Defender for Identity の管理者にもなります。 Microsoft Entraセキュリティ管理者は、Defender for Identity にアクセスするための追加のアクセス許可は必要ありません。
他のユーザーの場合は、Microsoft 365 ロールベースのアクセス制御 (RBAC) を有効にして使用してカスタム ロールを作成し、既定でセキュリティ オペレーターやセキュリティ閲覧者などのより多くのEntra ID ロールをサポートして Defender for Identity へのアクセスを管理します。
重要
2025 年 3 月 2 日以降、新しいMicrosoft Defender for Identity テナントは、Microsoft Defender XDR Unified Role-Based Access Control (RBAC) を介してのみアクセス許可を構成できます。 この日付より前にロールが割り当てられているかエクスポートされたテナントは、現在の構成を保持します。
カスタム ロールを作成するときは、次の表に示すアクセス許可を必ず適用してください。
| Defender for Identity アクセス レベル | 最低限必要な Microsoft 365 統合 RBAC アクセス許可 |
|---|---|
| Administrators | - Authorization and settings/Security settings/Read - Authorization and settings/Security settings/All permissions - Authorization and settings/System settings/Read- Authorization and settings/System settings/All permissions- Security operations/Security data/Alerts (manage)- Security operations/Security data /Security data basics (Read)- Authorization and settings/Authorization/All permissions - Authorization and settings/Authorization/Read |
| Users | - Security operations/Security data /Security data basics (Read)- Authorization and settings/System settings/Read- Authorization and settings/Security settings/Read- Security operations/Security data/Alerts (manage)- microsoft.xdr/configuration/security/manage |
| 閲覧者 | - Security operations/Security data /Security data basics (Read)- Authorization and settings / System settings (Read and manage) - Authorization and settings / Security setting (All permissions) |
詳細については、「Microsoft Defenderのロールベースのアクセス制御におけるカスタム ロール」および「Microsoft Defender統合 RBAC を使用したカスタム ロールの作成」を参照してください。
注:
Defender for Cloud Apps アクティビティ ログに含まれる情報には、Defender for Identity データが含まれている場合があります。 このコンテンツは、既存のDefender for Cloud Appsアクセス許可に準拠しています。
例外: Microsoft Defender for Cloud AppsでMicrosoft Defender for Identityアラートのスコープ付きデプロイを構成した場合、これらのアクセス許可は引き継がれず、関連するポータル ユーザーに対してセキュリティ操作 \ セキュリティ データ \ セキュリティ データの基本 (読み取り) アクセス許可を明示的に付与する必要があります。
Microsoft Defender の Defender for ID に要求されるアクセス許可
次の表は、Microsoft Defender における Defender for Identity のアクティビティに必要な特定のアクセス許可の詳細を示しています。
| アクティビティ | 最低限必要なアクセス許可 |
|---|---|
| Defender for Identity を導入する (ワークスペースの作成) | セキュリティ管理者 |
| Defender for Identity 設定を構成する | 以下の Microsoft Entra ロールのいずれか: - セキュリティ管理者 - セキュリティオペレーター Or 次の 統合 RBAC アクセス許可: - Authorization and settings/Security settings/Read- Authorization and settings/Security settings/All permissions- Authorization and settings/System settings/Read- Authorization and settings/System settings/All permissions |
| Defender for Identity 設定を表示する | Microsoft Entra ロール: - セキュリティ リーダー Or 次の 統合 RBAC アクセス許可: - Authorization and settings/Security settings/Read - Authorization and settings/System settings/Read |
| Defender for Identity セキュリティのアラートとアクティビティを管理する | 以下の Microsoft Entra ロールのいずれか: - セキュリティオペレーター Or 次の 統合 RBAC アクセス許可: - Security operations/Security data/Alerts (Manage)- Security operations/Security data /Security data basics (Read) |
|
Defender for Identity セキュリティ評価を表示する (Microsoft セキュア スコア の一部になりました) |
Microsoft セキュア スコア にアクセスするためのアクセス許可 そして 次の統合 RBAC アクセス許可: Security operations/Security data /Security data basics (Read) |
| [資産/ID] ページを表示する |
Defender for Cloud Appsにアクセスするためのアクセス許可 Or Microsoft Defender に必要な Microsoft Entra ロールの 1 つ |
| Defender for Identity 応答アクションを実行する |
Response (manage) のアクセス許可で定義された カスタム ロール Or 以下の Microsoft Entra ロールのいずれか: - セキュリティオペレーター - SOC ID レスポンダー |
Defender for Identity のセキュリティ グループ
重要
3 月 2 日以降、Defender for Identity は Microsoft Entra ID セキュリティ グループを作成しなくなります。 テナントは、Microsoft Defender XDR統合 Role-Based Access Control (RBAC) を使用して同じアクセス許可を引き続き構成できます
Defender for Identity には、Defender for Identity リソースへのアクセスを管理するのに役立つ次のセキュリティ グループが用意されています。
- AZURE ATP (ワークスペース名) 管理者
- AZURE ATP (ワークスペース名) ユーザー
- AZURE ATP (ワークスペース名) 閲覧者
次の表に、各セキュリティ グループで使用できるアクティビティの一覧を示します。
| アクティビティ | AZURE ATP (ワークスペース名) 管理者 | Azure ATP (ワークスペース名) ユーザー | Azure ATP (ワークスペース名) 閲覧者 |
|---|---|---|---|
| 正常性の問題の状態を変更する | 利用可能 | 使用不可 | 使用不可 |
| セキュリティ アラートの状態を変更 する (再度開く、閉じる、除外する、抑制する) | 利用可能 | 利用可能 | 使用不可 |
| ワークスペースの削除 | 利用可能 | 使用不可 | 使用不可 |
| レポートをダウンロードする | 利用可能 | 利用可能 | 利用可能 |
| サインイン | 利用可能 | 利用可能 | 利用可能 |
| セキュリティ アラートの共有/エクスポート (メール、リンクの取得、詳細のダウンロード) | 利用可能 | 利用可能 | 利用可能 |
| Defender for Identity 構成の更新 (更新) | 利用可能 | 使用不可 | 使用不可 |
| Defender for Identity 構成を更新 する (機密性の高いエンティティ タグと honeytoken の両方を含む) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (除外) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (言語) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (電子メールと syslog の両方を含む通知) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (プレビュー検出) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (スケジュールされたレポート) | 利用可能 | 利用可能 | 使用不可 |
| Defender for Identity 構成の更新 (ディレクトリ サービス、SIEM、VPN、Defender for Endpoint を含むデータ ソース) | 利用可能 | 使用不可 | 使用不可 |
| Defender for Identity 構成の更新 (ソフトウェアのダウンロード、キーの再生成、構成、削除など、センサー管理) | 利用可能 | 使用不可 | 使用不可 |
| エンティティ プロファイルとセキュリティ アラートを表示する | 利用可能 | 利用可能 | 利用可能 |
ユーザーの追加と削除
Defender for Identity では、Microsoft Entraセキュリティ グループが役割グループの基礎として使用されます。
Azure portalの [グループ管理] ページからロール グループを管理します。 セキュリティ グループMicrosoft Entraユーザーのみを追加または削除できます。
Identity のスコープの割り当て
ユーザー Role-Based Access Control (URBAC) を使用すると、組織は特定の Active Directory ドメインに対する可視性を制限するカスタム ロールを定義できます。 これらのスコープ付きロールに割り当てられた個人には、Defender XDR ロールの割り当てに含まれる Active Directory ドメインに関連するアラート、ID、アクティビティなどのデータのみが表示されます。
詳細については、「Microsoft Defender for Identityのスコープアクセス」を参照してください。