MICROSOFT ENTRA TLS 1.1 および 1.0 の非推奨に対して、環境内の TLS 1.2 のサポートを有効にする

[アーティクル]
04/13/2024

テナントのセキュリティ体制を改善し、業界標準に準拠し続けるために、Microsoft Entra IDはすぐに次のトランスポート層セキュリティ (TLS) プロトコルと暗号のサポートを停止します。

TLS 1.1
TLS 1.0
3DES 暗号スイート (TLS_RSA_WITH_3DES_EDE_CBC_SHA)

この変更が組織に与える影響

アプリケーションはMicrosoft Entra IDと通信するか、認証しますか? TLS 1.2 を使用して通信できない場合、これらのアプリケーションは正常に機能しない可能性があります。この状況には次のものが含まれます。

Microsoft Entra Connect
Microsoft Graph PowerShell
アプリケーションプロキシコネクタのMicrosoft Entra
PTA エージェント
レガシブラウザー
Microsoft Entra IDと統合されたアプリケーション

この変更が行われる理由

これらのプロトコルと暗号は、次の理由で非推奨になっています。

Federal Risk and Authorization Management Program (FedRAMP) の最新のコンプライアンス基準に従うため。
ユーザーがクラウドサービスを操作する際のセキュリティを向上させるため。

TLS 1.0、TLS 1.1、および 3DES 暗号スイート サービスは、次のスケジュールで非推奨になっています。

インスタンスの種類	非推奨の日付	状態
米国政府インスタンス	2021 年 3 月 31 日	完了
パブリックインスタンス	2022 年 1 月 31 日	完了
21Vianet が中国で運営するMicrosoft Entraインスタンス	2023 年 6 月	進行中

Microsoft Entra サービスの TLS 1.3 サポート

TLS 1.2 のサポートに加えて、Microsoft Entraでは、セキュリティのベストプラクティス (NIST - SP 800-52 Rev. 2) に合わせて、エンドポイントの TLS 1.3 のサポートも展開しています。この変更により、Microsoft Entra エンドポイントは TLS 1.2 プロトコルと TLS 1.3 プロトコルの両方をサポートします。

環境での TLS 1.2 のサポートを有効にする

Microsoft Entra IDおよび Microsoft 365 サービスへの安全な接続を確保するには、TLS 1.2 と現代的な暗号スイートをサポートするように、クライアントアプリとクライアントとサーバーオペレーティングシステム (OS) の両方を構成します。

クライアントで TLS 1.2 を有効にするためのガイドライン

「WinHTTP」に使用する Windows と既定の TLS を更新します。
TLS 1.2 をサポートしていないクライアントアプリとオペレーティングシステムへの依存を特定して軽減します。
Microsoft Entra IDと通信するアプリケーションとサービスに対して TLS 1.2 を有効にします。
TLS 1.2 をサポートするように .NET Framework のインストールを更新および構成します。
アプリケーションと PowerShell ( Microsoft Graph と Microsoft Graph PowerShell を使用する) スクリプトがホストされ、TLS 1.2 をサポートするプラットフォームで実行されていることを確認します。
Web ブラウザーに最新の更新プログラムがインストールされていることを確認します。新しい Microsoft Edge ブラウザー (Chromium ベース) を使用することをお勧めします。詳細については、「Microsoft Edge Stable チャネルのリリースノート」を参照してください。
Web プロキシが TLS 1.2 をサポートしていることを確認します。 Web プロキシを更新する方法の詳細については、Web プロキシソリューションのベンダーに確認してください。

詳細については、次の資料を参照してください。

WinHTTP に使用する Windows OS と既定の TLS を更新する

これらのオペレーティングシステムは、WinHTTP を介したクライアント/サーバー通信用の TLS 1.2 をネイティブにサポートします。

Windows 8.1、Windows 10、およびそれ以降のバージョン
R2、Windows Server 2016、およびそれ以降のバージョンをWindows Server 2012する

これらのプラットフォームで TLS 1.2 を明示的に無効にしていないことを確認します。

既定では、以前のバージョンの Windows (Windows 8 や Windows Server 2012 など) では、WinHTTP を使用したセキュリティで保護された通信のために TLS 1.2 または TLS 1.1 を有効にしません。これらの以前のバージョンの Windows の場合は、次の手順を実行します。

更新プログラム 3140245 をインストールします。
「クライアントまたはサーバーのオペレーティングシステムで TLS 1.2 を有効にする」セクションのレジストリ値を有効にします。

これらの値を構成して、TLS 1.2 および TLS 1.1 を WinHTTP の既定のセキュリティで保護されたプロトコルの一覧に追加できます。

詳細については、「クライアントで TLS 1.2 を有効にする方法」を参照してください。

注:

既定では、TLS 1.2 (Windows 10 など) をサポートする OS では、従来のバージョンの TLS プロトコルもサポートされます。 TLS 1.2 を使用して接続が確立され、タイムリーな応答が返されない場合、または接続がリセットされると、OS は以前の TLS プロトコル (TLS 1.0 や 1.1 など) を使用してターゲット Web サービスに接続しようとする可能性があります。これは通常、ネットワークがビジー状態の場合、またはパケットがネットワーク内でドロップした場合に発生します。レガシ TLS への一時的なフォールバックの後、OS は TLS 1.2 接続の確立を再試行します。

Microsoft がレガシ TLS のサポートを停止した後、このようなフォールバックトラフィックの状態は何になりますか? OS は、従来の TLS プロトコルを使用して TLS 接続を試行する可能性があります。ただし、Microsoft サービスが古い TLS プロトコルをサポートしなくなった場合、従来の TLS ベースの接続は成功しません。これにより、代わりに TLS 1.2 を使用して OS が接続を再試行するように強制されます。

TLS 1.2 をサポートしないクライアントへの依存を特定して軽減する

次のクライアントを更新して、中断のないアクセスを提供します。

Android バージョン 4.3 およびそれ以前のバージョン
Firefox 5.0 およびそれ以前のバージョン
Windows 7 上の Internet Explorer バージョン 8 ～ 10 およびそれ以前のバージョン
Windows Phone 8.0 上の Internet Explorer 10
OS X10.8.4 上の Safari 6.0.4 およびそれ以前のバージョン

詳細については、「www.microsoft.com に接続するさまざまなクライアントのハンドシェイクシミュレーション (SSLLabs.com 提供)」を参照してください。

Microsoft Entra IDと通信する一般的なサーバーロールで TLS 1.2 を有効にする

Microsoft Entra Connect (最新バージョンをインストールする)
- 同期エンジンサーバーとリモート SQL Server の間で TLS 1.2 も有効にしますか? 次に、Microsoft SQL Server の TLS 1.2 サポートに必要なバージョンがインストールされていることを確認します。
Microsoft Entra Connect 認証エージェント (パススルー認証) (バージョン 1.5.643.0 以降のバージョン)
Azure アプリケーションプロキシ (バージョン 1.5.1526.0 以降のバージョンでは TLS 1.2 が適用されます)
Azure 多要素認証 (Azure MFA) を使用するように構成されているサーバーのActive Directory フェデレーションサービス (AD FS) (AD FS)
NPS 拡張機能を使用して多要素認証をMicrosoft Entraするように構成されている NPS サーバー
MFA Server 8.0.x 以降のバージョン
パスワード保護プロキシサービスのMicrosoft Entra

操作が必要です
1. 最新バージョンのエージェント、サービス、またはコネクタを実行することを強くお勧めします。
2. 既定では、TLS 1.2 は Windows Server 2012 R2 以降のバージョンで有効になっています。まれに、TLS 1 を無効にするように既定の OS 構成が変更されている場合があります。
  
  TLS 1.2 が有効になっていることを確認するには、Windows Server を実行しており、Microsoft Entra IDと通信するサーバーの [クライアントまたはサーバーオペレーティングシステムで TLS 1.2 を有効にする] セクションのレジストリ値を明示的に追加することをお勧めします。
3. 前述のサービスのほとんどは、.NET Framework に依存しています。「TLS 1.2 をサポートするように .NET Framework を更新および構成する」の説明に従って更新されていることを確認します。
詳細については、次の資料を参照してください。

クライアントまたはサーバーのオペレーティングシステムで TLS 1.2 を有効にする

レジストリ文字列

Windows 2012 R2、Windows 8.1以降のオペレーティングシステムの場合、TLS 1.2 は既定で有効になっています。したがって、次のレジストリ値は、異なる値で設定されていない限り表示されません。

オペレーティングシステムレベルで TLS 1.2 を手動で構成して有効にするには、次の DWORD 値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
- DisabledByDefault: 000000000
- Enabled: 00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server
- DisabledByDefault: 000000000
- Enabled: 00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
- SchUseStrongCrypto: 00000001

PowerShell スクリプトを使用して TLS 1.2 を有効にするには、「Microsoft Entra Connect の TLS 1.2 の適用」を参照してください。

使用されている TLS プロトコルをチェックする方法

使用されている TLS をチェックするには、次の 2 つの方法があります。

ブラウザーのセキュリティ設定
Windows のインターネットプロパティ

インターネットのプロパティを使用して使用されている TLS プロトコルをチェックするには、次の手順に従います。

Windows+R キーを押して [実行] ボックスを開きます。
「inetcpl.cpl」と入力し、[OK] を選択します。次に、[ インターネットのプロパティ] ウィンドウが開きます。
[インターネットのプロパティ] ウィンドウで、[詳細設定] タブを選択し、下にスクロールして TLS に関連する設定をチェックします。

TLS 1.2 をサポートするように .NET Framework を更新および構成する

マネージド Microsoft Entra統合アプリケーションとWindows PowerShell スクリプト (Microsoft Graph PowerShell と Microsoft Graph を使用) では、.NET Frameworkを使用できます。

.NET 更新プログラムをインストールして、強力な暗号化を有効にする

.NET のバージョンの確認

まず、インストールされている .NET のバージョンを確認します。

詳細については、「インストールされている Microsoft .NET Framework のバージョンおよび Service Pack のレベルを確認する」を参照してください。

.NET 更新プログラムのインストール

強力な暗号化を有効にできるように、.NET 更新プログラムをインストールします。強力な暗号化を有効にするには、.NET Framework の一部のバージョンを更新する必要がある場合があります。

次のガイドラインを使用してください：

.NET Framework 4.6.2 以降のバージョンは、TLS 1.2 および TLS 1.1 をサポートします。レジストリ設定を確認します。その他の変更は不要です。
.NET Framework 4.6 以前のバージョンを更新して、TLS 1.2 および TLS 1.1 をサポートします。

詳細については、「.NET Framework のバージョンおよび依存関係」を参照してください。
Windows 8.1 または Windows Server 2012 で .NET Framework 4.5.2 または 4.5.1 を使用していますか? 次に、関連する更新プログラムと詳細も「Microsoft Update カタログ」から入手できます。
- 詳細については、「マイクロソフトセキュリティアドバイザリ 2960358」を参照してください。

ネットワークを介して通信し、TLS 1.2 対応システムを実行しているコンピューターの場合は、次のレジストリ DWORD 値を設定します。

32 ビット OS で実行されている 32 ビットアプリケーションおよび 64 ビット OS で実行されている 64 ビットアプリケーションの場合、次のサブキー値を更新します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727
  - SystemDefaultTlsVersions: 00000001
  - SchUseStrongCrypto: 00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
  - SystemDefaultTlsVersions: 00000001
  - SchUseStrongCrypto: 00000001
64 ビット OS で実行されている 32 ビットアプリケーションの場合、次のサブキー値を更新します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727
  - SystemDefaultTlsVersions: dword:00000001
  - SchUseStrongCrypto: dword:00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
  - SystemDefaultTlsVersions: dword:00000001
  - SchUseStrongCrypto: dword:00000001

たとえば、次の値を設定します。

構成マネージャークライアント
サイトサーバーにインストールされていないリモートサイトシステムのロール
サイトサーバー自体

詳細については、次の資料を参照してください。

環境内でレガシ TLS を引き続き使用するクライアントまたはアプリを特定するには、Microsoft Entraサインインログを表示します。レガシ TLS 経由でサインインするクライアントまたはアプリの場合、Microsoft Entra IDは[追加の詳細] の [レガシ TLS] フィールドに True を付けてマークします。 [レガシ TLS] フィールドは、サインインがレガシ TLS を介して行われた場合にのみ表示されます。ログにレガシ TLS が表示されない場合は、TLS 1.2 に切り替える準備が整います。

レガシ TLS プロトコルを使用したサインイン試行を確認するために、管理者は次の方法でログを確認できます。

Azure Monitor でログをエクスポートしてクエリします。
過去 7 日間のログを JavaScript Object Notation (JSON) 形式でダウンロードします。
PowerShell を使用してサインインログをフィルター処理およびエクスポートします。

これらの方法については、以下で説明します。

Azure Monitor を使用してサインインログをクエリできます。 Azure Monitor は、強力なログ分析、監視、およびアラートツールです。次に対して Azure Monitor を使用します。

ログのMicrosoft Entra
Azure リソースログ
独立したソフトウェアツールからのログ

注:

レポートデータを Azure Monitor にエクスポートするには、Microsoft Entra ID P1 または P2 ライセンスが必要です。

Azure Monitor を使用してレガシ TLS エントリをクエリするには、次の手順を実行します。

[Microsoft Entra ログと Azure Monitor ログの統合] で、Azure Monitor のMicrosoft Entraサインインログにアクセスする方法の手順に従います。

クエリ定義領域に、次の Kusto クエリ言語クエリを貼り付けます。

// Interactive sign-ins only
SigninLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

// Non-interactive sign-ins
AADNonInteractiveUserSignInLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

// Workload Identity (service principal) sign-ins
AADServicePrincipalSignInLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

[実行] を選択してクエリを実行します。クエリに一致するログエントリは、クエリ定義の下の [結果] タブに表示されます。
レガシ TLS 要求のソースの詳細については、次のフィールドを検索します。
- User.DisplayName
- AppDisplayName
- ResourceDisplayName
- UserAgent

PowerShell を使用して、レガシ TLS が使用されているサインインログエントリをフィルター処理およびエクスポートします。

注:

PowerShell を使用して Microsoft Graph APIを呼び出すには、Microsoft Entra ID P1 または P2 ライセンスが必要です。

サインインログエントリをフィルター処理してエクスポートするには、次の手順を実行します。

[管理者として実行] オプションを使用して、[スタート] メニューから Windows PowerShell を開きます。
次のコマンドを実行して、Microsoft Graph SDK をインストールし、実行ポリシーを設定します。
```
Install-Module Microsoft.Graph -Scope AllUsers
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser
```

次のスクリプトを PowerShell スクリプト (.ps1) ファイルに保存します。

$tId = "your-tenant-id"  # Add tenant ID from Azure Active Directory page on portal.
$agoDays = 4  # Will filter the log for $agoDays from the current date and time.
$startDate = (Get-Date).AddDays(-($agoDays)).ToString('yyyy-MM-dd')  # Get filter start date.
$pathForExport = "./"  # The path to the local filesystem for export of the CSV file.

Connect-MgGraph -Scopes "AuditLog.Read.All" -TenantId $tId  # Or use Directory.Read.All.
Select-MgProfile "beta"  # Low TLS is available in Microsoft Graph preview endpoint.

# Define the filtering strings for interactive and non-interactive sign-ins.
$procDetailFunction = "x: x/key eq 'legacy tls (tls 1.0, 1.1, 3des)' and x/value eq '1'"
$clauses = (
    "createdDateTime ge $startDate",
    "signInEventTypes/any(t: t eq 'nonInteractiveUser')",
    "signInEventTypes/any(t: t eq 'servicePrincipal')",
    "(authenticationProcessingDetails/any($procDetailFunction))"
)

# Get the interactive and non-interactive sign-ins based on filtering clauses.
$signInsInteractive = Get-MgAuditLogSignIn -Filter ($clauses[0,3] -Join " and ") -All
$signInsNonInteractive = Get-MgAuditLogSignIn -Filter ($clauses[0,1,3] -Join " and ") -All
$signInsWorkloadIdentities = Get-MgAuditLogSignIn -Filter ($clauses[0,2,3] -Join " and ") -All

$columnList = @{  # Enumerate the list of properties to be exported to the CSV files.
    Property = "CorrelationId", "createdDateTime", "userPrincipalName", "userId",
              "UserDisplayName", "AppDisplayName", "AppId", "IPAddress", "isInteractive",
              "ResourceDisplayName", "ResourceId", "UserAgent"
}

$columnListWorkloadId = @{ #Enumerate the list of properties for workload identities to be exported to the CSV files.
    Property = "CorrelationId", "createdDateTime", "AppDisplayName", "AppId", "IPAddress",
              "ResourceDisplayName", "ResourceId", "ServicePrincipalId", "ServicePrincipalName"
}

$signInsInteractive | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnList
        }
    }
} | Export-Csv -Path ($pathForExport + "Interactive_lowTls_$tId.csv") -NoTypeInformation

$signInsNonInteractive | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnList
        }
    }
} | Export-Csv -Path ($pathForExport + "NonInteractive_lowTls_$tId.csv") -NoTypeInformation

$signInsWorkloadIdentities | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnListWorkloadId
        }
    }
} | Export-Csv -Path ($pathForExport + "WorkloadIdentities_lowTls_$tId.csv") -NoTypeInformation

Azure portalで、[Microsoft Entra ID] を検索して選択します。
[Microsoft Entra ID] ページの [テナント ID] の値を PowerShell スクリプトの最初のステートメントにコピーし、変数に$tId割り当てます。
スクリプトを保存して実行します。スクリプトの実行時にメッセージが表示されたら、グローバル管理者としてサインインします。次に、Microsoft Graph に監査ログ情報を読み取らせることに同意します。
従来の TLS 要求のソースについて学習するには、スクリプト出力ファイル (Interactive_lowTls_<Tenant-ID>.csv と NonInteractive_lowTls_<Tenant-ID>.csv) で次のフィールドを検索します。
- User.DisplayName
- AppDisplayName
- ResourceDisplayName
- UserAgent

Microsoft Entra 管理センターのログエントリに関する詳細を表示する

ログを取得すると、Microsoft Entra 管理センターで従来の TLS ベースのサインインログエントリの詳細を取得できます。次の手順を実行します。

Azure portalで、[Microsoft Entra ID] を検索して選択します。
[概要] ページのメニューで、[サインインログ] を選択します。
ユーザーのサインインログエントリを選択します。
[追加の詳細情報] タブを選択します (このタブが表示されない場合は、最初に右隅の省略記号 (...) を選択して、タブの完全なリストを表示します)。
True に設定されているレガシ TLS (TLS 1.0、1.1、または 3DES) 値を確認します。その特定のフィールドと値が表示されている場合は、レガシ TLS を使用してサインインが行われています。サインインが TLS 1.2 を使用して行われた場合、そのフィールドは表示されません。

詳細については、「Microsoft Entra IDでのサインインログ」を参照してください。

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティサポートにお問い合わせください。 Azure フィードバックコミュニティに製品フィードバックを送信することもできます。

MICROSOFT ENTRA TLS 1.1 および 1.0 の非推奨に対して、環境内の TLS 1.2 のサポートを有効にする

この変更が組織に与える影響

この変更が行われる理由

Microsoft Entra サービスの TLS 1.3 サポート

環境での TLS 1.2 のサポートを有効にする

クライアントで TLS 1.2 を有効にするためのガイドライン

WinHTTP に使用する Windows OS と既定の TLS を更新する

TLS 1.2 をサポートしないクライアントへの依存を特定して軽減する

Microsoft Entra IDと通信する一般的なサーバーロールで TLS 1.2 を有効にする

クライアントまたはサーバーのオペレーティングシステムで TLS 1.2 を有効にする

レジストリ文字列

使用されている TLS プロトコルをチェックする方法

TLS 1.2 をサポートするように .NET Framework を更新および構成する

.NET 更新プログラムをインストールして、強力な暗号化を有効にする

.NET のバージョンの確認

.NET 更新プログラムのインストール

JSON ログのダウンロード

JSON ファイルの表示

Microsoft Entra 管理センターのログエントリに関する詳細を表示する

お問い合わせはこちらから

フィードバック

フィードバック

その他のリソース

MICROSOFT ENTRA TLS 1.1 および 1.0 の非推奨に対して、環境内の TLS 1.2 のサポートを有効にする

この変更が組織に与える影響

この変更が行われる理由

Microsoft Entra サービスの TLS 1.3 サポート

環境での TLS 1.2 のサポートを有効にする

クライアントで TLS 1.2 を有効にするためのガイドライン

WinHTTP に使用する Windows OS と既定の TLS を更新する

TLS 1.2 をサポートしないクライアントへの依存を特定して軽減する

Microsoft Entra IDと通信する一般的なサーバー ロールで TLS 1.2 を有効にする

クライアントまたはサーバーのオペレーティング システムで TLS 1.2 を有効にする

レジストリ文字列

使用されている TLS プロトコルをチェックする方法

TLS 1.2 をサポートするように .NET Framework を更新および構成する

.NET 更新プログラムをインストールして、強力な暗号化を有効にする

.NET のバージョンの確認

.NET 更新プログラムのインストール

サインイン ログの新しいテレメトリの概要

Microsoft Entra 管理センターのログ エントリに関する詳細を表示する

お問い合わせはこちらから

フィードバック

フィードバック

その他のリソース

Microsoft Entra IDと通信する一般的なサーバーロールで TLS 1.2 を有効にする

クライアントまたはサーバーのオペレーティングシステムで TLS 1.2 を有効にする

サインインログの新しいテレメトリの概要

Microsoft Entra 管理センターのログエントリに関する詳細を表示する