管理対象デバイスを必須とし、不正アクセスや侵害の可能性を防ぎます。セキュリティのベストプラクティスとして、条件付きアクセスポリシーを使用して、管理対象でないデバイスから Entra ID への認証をブロックするすることが推奨されています。

デフォルトでは、Microsoft Entra ID は任意のデバイスからの認証を許可しています。これにより、デバイスが侵害されている、非準拠である、攻撃者によって制御されている場合は特に不正アクセスや侵害につながる可能性があります。
ゼロトラストモデルでは、認証はデバイスのステータスに応じて行い、組織のセキュリティポリシーに準拠しかつ組織が管理するデバイスからしかアクセスを許可しません。
BOD 25-01 により強制される、CISA 「Microsoft Entra ID の M365 セキュア設定ベースライン」の <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.7v1</a> ポリシーでは、「認証に管理対象デバイスを必須とする」ことが要求されます。CISA ガイダンスに従う場合、この IoE は、少なくとも 1 つの条件付きアクセスポリシーに次の設定が含まれていることを確認します。
<ul>
<li><a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">ユーザー</a>は [All users] (すべてのユーザー) を含めるように設定されている。</li>
<li><a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-cloud-apps">ターゲットリソース</a>は [All resources] (すべてのリソース) に設定されている。</li>
<li><a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant">許可</a>は [Grant access] (アクセス許可) に設定され、<a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">[Require device to be marked as compliant] (デバイスが準拠としてマーク済みであることを必要とする)</a> と <a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">[Require Microsoft Entra hybrid joined device]</a> (Microsoft Entra ハイブリッド参加済みデバイスが必要) オプション、および一番下にある [Require one of the selected controls] (選んだコントロールのいずれかを必須とする) が選択されている。</li>
<li>[Enable policy] (ポリシーを有効にする) が [On] (オン) に設定されている ([Off] (オフ) または [Report-only] (レポートのみ) ではない)。</li>
</ul>
Microsoft の推奨事項に従う場合、この IoE は、少なくとも 1 つの条件付きアクセスポリシーに同じ設定が含まれ、さらに [多要素認証を必須にする] が追加されていることを確認します。つまり、
<ul>
<li><a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant">付与</a> が<a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant#require-multifactor-authentication">多要素認証を必須にする</a>、<a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">デバイスが準拠としてマーク済みであることを必要とする</a>、<a href="https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Microsoft Entra ハイブリッド参加済みデバイスが必要</a> で [アクセスを許可] に設定され、下部の [選んだコントロールのいずれかが必要] が選択されていることを確認します。</li>
</ul>

検出

認証の必要がない管理対象デバイス

MEDIUM

バージョン 202608241311