Microsoft Entra IDでの IPv6 サポート

[アーティクル]
04/13/2024

注:

この記事はお役に立ちましたか? お客様の入力は、当社にとって重要です。このページの [フィードバック ] ボタンを使用して、この記事がどれだけうまく機能したか、または改善する方法をお知らせください。

IPv6 のサポートをMicrosoft Entra IDに提供し、モビリティを向上させたお客様をサポートし、急速に枯渇する高価な IPv4 アドレスへの支出を削減することに興奮しています。この変更が Microsoft 365 にどのように影響するかの詳細については、「Microsoft 365 サービスでの IPv6 サポート」を参照してください。

organizationのネットワークが現在 IPv6 をサポートしていない場合は、このような時間が発生するまで、この情報を無視しても問題ありません。

何が変化していますか?

サービスエンドポイント URL は、IPv4 アドレスと IPv6 アドレスの両方を返すように解決されます。クライアントプラットフォームまたはネットワークが IPv6 をサポートしている場合、その間にあるネットワークホップ (ファイアウォールや Web プロキシなど) も IPv6 をサポートしていると仮定して、接続は主に IPv6 を使用して試行されます。 IPv6 をサポートしていない環境の場合、クライアントアプリケーションは引き続き IPv4 経由でMicrosoft Entra IDに接続します。

次の機能では、IPv6 アドレスもサポートされます。

名前付き場所
条件付きアクセスポリシー
ID 保護
サインインログ

Microsoft Entra IDで IPv6 はいつサポートされますか?

2023 年 4 月に、Microsoft Entra IDへの IPv6 サポートの導入を開始します。

IPv6 のサポートは、一部の組織にとって大きな変更であることを認識しています。お客様が準備を行う計画を立てることができるように、この情報を今公開しています。

organizationは何をする必要がありますか?

ネットワークを表すパブリック IPv6 アドレスがある場合は、できるだけ早く次のセクションで説明するアクションを実行します。

お客様がこれらの IPv6 アドレスを使用して名前付き場所を更新しない場合、ユーザーはブロックされます。

ネットワークの場所が原因でユーザーのサインインがブロックされていることを示すスクリーンショット。

必要なアクション

名前付き場所

名前付き場所は、条件付きアクセス、Identity Protection、B2C などの多くの機能間で共有されます。お客様は、ネットワーク管理者やインターネットサービスプロバイダー (ISP) と提携して、公開されている IPv6 アドレスを特定する必要があります。その後、この一覧を使用して名前付き場所を作成または更新し、識別された IPv6 アドレスを含める必要があります。

条件付きアクセス

条件付きアクセスポリシーを構成する場合、組織は場所を条件として含めるか除外するかを選択できます。これらの名前付き場所には、パブリック IPv4 または IPv6 アドレス、国または地域、または特定の国または地域にマップされていない不明な領域が含まれる場合があります。

既存の条件付きアクセスポリシーで使用されている既存の名前付き場所に IPv6 範囲を追加する場合、変更は必要ありません。
organizationの IPv6 範囲に新しい名前付き場所を作成する場合は、関連する条件付きアクセスポリシーをこれらの新しい場所で更新する必要があります。

クラウドプロキシと VPN

クラウドプロキシが配置されている場合、ハイブリッド参加済みまたは苦情のデバイスMicrosoft Entra必要とするポリシーの管理が容易になる場合があります。クラウドホスト型プロキシまたは VPN ソリューションで使用される IP アドレスの一覧を最新の状態に保つことはほぼ不可能です。

ユーザーごとの多要素認証をMicrosoft Entraする

ユーザーごとの多要素認証を使用する顧客の場合は、名前付き場所ではなく信頼された IP アドレスを使用して、オンプレミスの信頼されたネットワークを表す IPv4 アドレスを追加しましたか? ある場合は、オンプレミスの IPv6 対応エグレスポイントを介して開始された要求の多要素認証プロンプトが表示される場合があります。

Microsoft Entra ID ライセンスに条件付きアクセスが含まれていない場合、セキュリティの既定値を使用しない限り、ユーザーごとの多要素認証の使用はお勧めしません。

送信トラフィックの制限

organizationが送信ネットワークトラフィックを特定の IP 範囲に制限する場合は、IPv6 エンドポイントを含むようにこれらのアドレスを更新する必要があります。管理者は、次の記事でこれらの IP 範囲を見つけることができます。

Microsoft Entra IDに指定されている IP 範囲の場合は、プロキシまたはファイアウォールで送信アクセスを許可していることを確認します。

デバイス構成

既定では、IPv6 と IPv4 の両方のトラフィックは、Windows およびその他のほとんどのオペレーティングシステム (OS) プラットフォームでサポートされています。標準の IPv6 構成を変更すると、意図しない結果が生じる可能性があります。詳細については、「 Windows で高度なユーザー向けに IPv6 を構成するためのガイダンス」を参照してください。

サービスエンドポイント

Microsoft Entra IDでの IPv6 サポートの実装は、Azure Virtual Network サービスエンドポイントには影響しません。サービスエンドポイントは引き続き IPv6 トラフィックをサポートしていません。詳細については、「Virtual Network サービスエンドポイントの制限事項」を参照してください。

IPv6 経由Microsoft Entra認証をテストする

IPv6 経由Microsoft Entra認証をテストしてから、次の手順を使用して世界中で有効にすることができます。これらの手順は、IPv6 範囲の構成の検証に役立ちます。推奨される方法は、Microsoft Entra参加している Windows デバイスにプッシュされた名前解決ポリシーテーブル (NRPT) ルールを使用することです。 Windows Server では、NRPT を使用すると、DNS 解決パスをオーバーライドするグローバルポリシーまたはローカルポリシーを実装できます。この機能を使用すると、さまざまな完全修飾ドメイン名 (FQDN) の DNS を、Microsoft Entraサインイン用の IPv6 DNS エントリを持つよう構成されている特殊な DNS サーバーにリダイレクトできます。 PowerShell スクリプトを使用して NRPT ルールを有効または無効にするのは簡単です。 Microsoft Intuneを使用して、この機能をクライアントにプッシュできます。

注:

Microsoft では、テスト目的でのみこれらの手順を提供しています。クライアントが運用 DNS サーバーを使用していることを確認するには、2023 年 5 月までに次の構成を削除する必要があります。次の手順の DNS サーバーは、2023 年 5 月以降に使用停止になる可能性があります。
Resolve-DnsName コマンドレットを使用して、NRPT 規則を検証することをお勧めします。 nslookup コマンドを使用する場合、これらのツール間に存在する違いにより、結果が異なる場合があります。
クライアントデバイスと NRPT 規則に使用される DNS サーバーとの間に、TCP ポートと UDP ポート 53 で開いているネットワーク接続があることを確認します。

クライアント NRPT 規則を手動で構成する - パブリッククラウド

管理者として PowerShell コンソールを開きます (PowerShell アイコンを右クリックし、[ 管理者として実行] を選択します)。

次のコマンドを実行して、NRPT 規則を追加します。

$DnsServers = (
    "ns1-37.azure-dns.com.",
    "ns2-37.azure-dns.net.",
    "ns3-37.azure-dns.org.",
    "ns4-37.azure-dns.info."
)
$DnsServerIPs = $DnsServers | Foreach-Object {
    (Resolve-DnsName $_).IPAddress | Select-Object -Unique
}
$params = @{
    Namespace = "login.microsoftonline.com"
    NameServers = $DnsServerIPs
    DisplayName = "AZURE-AD-NRPT"
}
Add-DnsClientNrptRule @params

Resolve-DnsName コマンドレットを実行して、login.microsoftonline.comクライアントが IPv6 応答を受け取っていることを確認します。コマンド出力は次のテキストのようになります。

PS C:\users\username> Resolve-DnsName login.microsoftonline.com
Name                          Type   TTL   Section    IPAddress 
----                          ----   ---   -------    --------- 
login.microsoftonline.com     AAAA   300   Answer     2603:1037:1:c8::8 
login.microsoftonline.com     AAAA   300   Answer     2603:1036:3000:d8::5 
login.microsoftonline.com     AAAA   300   Answer     2603:1036:3000:d0::5 
login.microsoftonline.com     AAAA   300   Answer     2603:1036:3000:d8::4 
login.microsoftonline.com     AAAA   300   Answer     2603:1037:1:c8::9 
login.microsoftonline.com     AAAA   300   Answer     2603:1037:1:c8::a 
login.microsoftonline.com     AAAA   300   Answer     2603:1036:3000:d8::2 
login.microsoftonline.com     AAAA   300   Answer     2603:1036:3000:d0::7 
login.microsoftonline.com     A      300   Answer     20.190.151.7 
login.microsoftonline.com     A      300   Answer     20.190.151.67 
login.microsoftonline.com     A      300   Answer     20.190.151.69 
login.microsoftonline.com     A      300   Answer     20.190.151.68 
login.microsoftonline.com     A      300   Answer     20.190.151.132 
login.microsoftonline.com     A      300   Answer     20.190.151.70 
login.microsoftonline.com     A      300   Answer     20.190.151.9 
login.microsoftonline.com     A      300   Answer     20.190.151.133

NRPT 規則を削除する場合は、次の PowerShell スクリプトを実行します。

Get-DnsClientNrptRule | Where-Object {
    $_.DisplayName -match "AZURE-AD-NRPT" -or $_.Namespace -match "login.microsoftonline.com"
} | Remove-DnsClientNrptRule -Force

クライアント NRPT ルールを手動で構成する - US Gov クラウド

パブリッククラウドのスクリプトと同様に、次のスクリプトでは、US Gov サインインエンドポイントの NRPT 規則が作成されます login.microsfotonline.us。

PowerShell アイコンを右クリックし、[管理者として実行] を選択して、管理者 として PowerShell コンソールを開きます。

次のコマンドを実行して、NRPT 規則を追加します。

$DnsServers = (
    "ns1-35.azure-dns.com.",
    "ns2-35.azure-dns.net.",
    "ns3-35.azure-dns.org.",
    "ns4-35.azure-dns.info."
)
$DnsServerIPs = $DnsServers | Foreach-Object {
    (Resolve-DnsName $_).IPAddress | Select-Object -Unique
}
$params = @{
    Namespace = "login.microsoftonline.us"
    NameServers = $DnsServerIPs
    DisplayName = "AZURE-AD-NRPT-USGOV"
}
Add-DnsClientNrptRule @params

Intuneを使用して NRPT ルールをデプロイする

Intuneを使用して複数のマシンに NRPT ルールを展開するには、Win32 アプリを作成し、1 つ以上のデバイスに割り当てます。

手順 1: スクリプトを作成する

フォルダーを作成し、展開で使用する .intunewin ファイルを作成できるように、次のインストールスクリプトとロールバックスクリプト (InstallScript.ps1 と RollbackScript.ps1) をそのフォルダーに保存します。

InstallScript.ps1

# Add Azure AD NRPT rule.
$DnsServers = (
    "ns1-37.azure-dns.com.",
    "ns2-37.azure-dns.net.",
    "ns3-37.azure-dns.org.",
    "ns4-37.azure-dns.info."
)
$DnsServerIPs = $DnsServers | Foreach-Object {
    (Resolve-DnsName $_).IPAddress | Select-Object -Unique
}

# List the rules.
$existingRules = Get-DnsClientNrptRule | Where-Object {
    $_.DisplayName -match "AZURE-AD-NRPT" -or $_.Namespace -match "login.microsoftonline.com"
}
if ($existingRules) { 
    Write-Output ("Azure AD NRPT rule exists: {0}" -F $existingRules) 
} 
else { 
    Write-Output "Adding Azure AD NRPT DNS rule for login.microsoftonline.com ..." 
    $params = @{
        Namespace = "login.microsoftonline.com"
        NameServers = $DnsServerIPs
        DisplayName = "AZURE-AD-NRPT"
    }
    Add-DnsClientNrptRule @params
}

RollbackScript.ps1

# Remove the Azure AD NRPT rule.
# List the rules.
$existingRules = Get-DnsClientNrptRule | Where-Object {
    $_.DisplayName -match "AZURE-AD-NRPT" -or $_.Namespace -match "login.microsoftonline.com"
}
if ($existingRules) { 
    Write-Output "Removing Azure AD NRPT DNS rule for login.microsoftonline.com ..." 
    $existingRules | Format-Table 
    $existingRules | Remove-DnsClientNrptRule -Force 
} 
else { 
    Write-Output "Azure AD NRPT rule does not exist. Device was successfully remediated."
}

DetectionScript.ps1

次のスクリプト (DetectionScript.ps1) を別の場所に保存します。その後、Intuneで作成するときに、アプリケーションで検出スクリプトを参照できます。

# Add Azure AD NRPT rule.
$DnsServers = (
    "ns1-37.azure-dns.com.",
    "ns2-37.azure-dns.net.",
    "ns3-37.azure-dns.org.",
    "ns4-37.azure-dns.info."
)
$DnsServerIPs = $DnsServers | Foreach-Object {
    (Resolve-DnsName $_).IPAddress | Select-Object -Unique
}
# List the rules.
$existingRules = Get-DnsClientNrptRule | Where-Object {
    $_.DisplayName -match "AZURE-AD-NRPT" -or $_.Namespace -match "login.microsoftonline.com"
}
if ($existingRules) { 
    Write-Output 'Compliant' 
}

手順 2: スクリプトを .intunewin ファイルとしてパッケージ化する

以前に保存したフォルダーとスクリプトから .intunewin ファイルを作成するには、「Win32 アプリのコンテンツをアップロード用に準備する」を参照してください。

手順 3: Win32 アプリケーションを作成する

次の手順では、必要な Win32 アプリケーションを作成する方法を示します。詳細については、「Microsoft Intuneでの Win32 アプリの追加、割り当て、監視」を参照してください。

Intune ポータルにサインインします。
[ アプリ>] [すべてのアプリ] の順に選択し、[ + 追加] を選択して新しい Win32 アプリを作成します。
[ アプリの種類 ] ドロップダウンリストで、[ Windows アプリ (Win32)] を選択し、[選択] を選択します。
[ アプリ情報 ] ページで、[ アプリパッケージファイルの選択 ] をクリックして、前に作成した .intunewin ファイルを選択します。 [ OK] を選択 して続行します。
[アプリ情報] ページに戻り、アプリケーションのわかりやすい名前、説明、発行元を入力します。その他のフィールドは省略可能です。 [次へ] を選んで続行します。
[ プログラム ] ページで、次の情報を入力し、[ 次へ] を選択します。
- コマンド文字列をインストールします 。
  powershell.exe -executionpolicy bypass -NoLogo -NoProfile -NonInteractive -WindowStyle Hidden -file "InstallScript.ps1"
- コマンド文字列のアンインストール :
  powershell.exe -executionpolicy bypass -NoLogo -NoProfile -NonInteractive -WindowStyle Hidden -file "RollbackScript.ps1"
- インストール動作:
  System
[要件] ページで、両方のオペレーティングシステムアーキテクチャを選択し、[最小オペレーティングシステム] を [Windows 10 1607] に設定します。 [次へ] を選んで続行します。
[検出] ページで、[ルールの形式] ドロップダウンリストから [カスタム検出スクリプトを使用する] を選択します。 [ スクリプトファイル ] ボックスの横にある [参照] ボタンを選択して、検出スクリプトを選択します。残りのフィールドは既定値のままにします。 [次へ] を選んで続行します。
[依存関係] ページで [次へ] を選択して、変更を加えずに続行します。
[置き換え (プレビュー)] ページで [次へ] を選択して、変更を加えずに続行します。
[ 割り当て] ページで 、要件に基づいて割り当てを作成し、[ 次へ ] を選択して続行します。
[確認 と作成 ] ページで情報を最後に 1 回確認します。検証が完了したら、[ 作成 ] を選択してアプリケーションを作成します。

次の 1 つ以上の方法を使用して、IPv6 アドレスの一覧を想定したアドレスと比較します。これらの IPv6 アドレスを名前付き場所に追加し、必要に応じて一部を信頼済みとしてマークすることを検討してください。サインインログを読み取るには、少なくともレポート閲覧者ロールが割り当てられている必要があります。

Azure portal

Azure portalに、レポート閲覧者、セキュリティ閲覧者、グローバル閲覧者、セキュリティ管理者、またはその他のロールにアクセス許可を持ってサインインします。
Microsoft Entra ID>サインインログを参照します。
[ + フィルター>IP アドレス の追加] を選択し、[ 適用] を選択します。
[ IP アドレスでフィルター処理 ] ボックスにコロン (:) を挿入します。
必要に応じて、このログエントリの一覧を JSON または CSV 形式にダウンロードして、さらに処理します。

Log Analytics

organizationで Log Analytics を使用している場合は、次のクエリを使用して、ログ内の IPv6 アドレスを照会できます。

union SigninLogs, AADNonInteractiveUserSignInLogs
| where IPAddress has ":"
| summarize RequestCount = count() by IPAddress, AppDisplayName, NetworkLocationDetails
| sort by RequestCount

PowerShell

組織は、次の PowerShell スクリプトを使用して、Microsoft Graph PowerShell のサインインログMicrosoft Entraクエリを実行できます。このスクリプトでは、アプリケーションと共に IPv6 アドレスの一覧と、それが表示される回数を示します。

$tId = "TENANT ID"  # Add the Azure Active Directory tenant ID.
$agoDays = 2  # Will filter the log for $agoDays from the current date and time.
$startDate = (Get-Date).AddDays(-($agoDays)).ToString('yyyy-MM-dd')  # Get filter start date.
$pathForExport = "./"  # The path to the local filesystem for export of the CSV file. 

Connect-MgGraph -Scopes "AuditLog.Read.All" -TenantId $tId 

# Get both interactive and non-interactive IPv6 sign-ins.
$signInsInteractive = Get-MgAuditLogSignIn -Filter "contains(IPAddress, ':')" -All
$signInsNonInteractive = Get-MgAuditLogSignIn -Filter "contains(IPAddress, ':')" -All 

# Summarize IPv6 & app display name count.
$signInsInteractive |
    Group-Object IPaddress, AppDisplayName |
    Select-Object @{Name = 'IPaddress'; Expression = {$_.Group[0].IPaddress}},
        @{Name = 'AppDisplayName'; Expression = {$_.Group[0].AppDisplayName}},
        Count |
    Sort-Object -Property Count –Descending |
    Export-Csv -Path ($pathForExport + "Summary_Interactive_IPv6_$tId.csv") -NoTypeInformation
$signInsNonInteractive |
    Group-Object IPaddress, AppDisplayName |
    Select-Object @{Name = 'IPaddress'; Expression = {$_.Group[0].IPaddress}},
        @{Name = 'AppDisplayName'; Expression = {$_.Group[0].AppDisplayName}},
        Count |
    Sort-Object -Property Count –Descending |
    Export-Csv -Path ($pathForExport + "Summary_NonInteractive_IPv6_$tId.csv") -NoTypeInformation

次の手順

この記事は引き続き更新されます。更新された情報と新しい情報に戻るために使用できる短いリンクを次に示します。 https://aka.ms/azureadipv6

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティサポートにお問い合わせください。 Azure フィードバックコミュニティに製品フィードバックを送信することもできます。