Entra セキュリティの既定値群が有効になっていない

Microsoft Entra ID セキュリティの既定値群は、ID 関連の一般的な脅威に対し、簡単に有効化できる Microsoft 推奨の保護を提供します。

セキュリティの既定値群は、2019 年 10 月以降のテナントでは自動有効化されていますが、古いテナントでは手動でアクティブ化する必要があります。条件付きアクセスポリシーとは異なり、Free を含め、すべての Microsoft Entra ID ティアで利用できます。

テナントで条件付きアクセスポリシーがアクティブ (「オン」状態) になっている場合、この IoE がセキュリティの既定値群を評価したり、検出結果を生成したりすることはありません。これは、同様の保護を提供することができる、カスタムの条件付きアクセスポリシーによってセキュリティが自主管理されていると推定されるからです。セキュリティの既定値群は、アクティブな条件付きアクセスポリシーと一緒に有効にすることはできません。他の IoE が特に条件付きアクセスポリシーに対応します。

Microsoft も、セキュリティを強化するために Microsoft Entra を構成するで、「Microsoft Entra ID セキュリティの既定値を有効にする」ことを推奨しています。

Tenable は、セキュリティの既定値群により強制施行されるセキュリティポリシーやデプロイメントに関する考慮事項を確認した後に、テナントのセキュリティの既定値群を有効にすることをお勧めします。これらの既定値群は、無料バージョンを含め、すべての Microsoft Entra ID ライセンスティアで提供されています。

より高い柔軟性を望む場合は、条件付きアクセスポリシーへの移行を検討してください。ただし、条件付きアクセスポリシーには Microsoft Entra ID P1 または P2 ライセンスが必要であることに注意してください。

Microsoft Entra Connect や Microsoft Entra Cloud Sync のようなハイブリッドアイデンティティソリューションを使用している場合、それらのサービスアカウント (より正確には、[ディレクトリ同期アカウント] ロールに割り当てられているセキュリティプリンシパル) はセキュリティのデフォルトから自動的に除外される ことに注意してください。そのため、このアカウントが多要素認証 (MFA) の登録や実行を求められることはありません。それらの要件に準拠できないためです。条件付きアクセスポリシーでは、この自動除外は適用されません。条件付きアクセスポリシーに移行する場合は、MFA を強制するすべてのポリシーからこのアカウントを明示的に除外する必要があります。そうしないと、同期が停止するおそれがあります。[ユーザーを除外] アクションを使用してサービスアカウントを直接除外するか、[ディレクトリロール] オプションを選択して [ディレクトリ同期アカウント] ロールと [オンプレミスディレクトリ同期アカウント] ロールを選択します。

名前: Entra セキュリティの既定値群が有効になっていない

コード名: ENTRA-SECURITY-DEFAULTS-NOT-ENABLED

深刻度: Medium

タイプ: Microsoft Entra ID Indicator of Exposure