Entra ID のユーザーは、外部アプリケーションが組織のデータにアクセスすることに独断で同意することができます。攻撃者はこれを「不正な同意付与」攻撃で悪用する可能性があります。アクセスを確認済み発行者に限定するか、管理者の承認を必須とすることで、これを防ぎます。

Entra ID は、OAuth 2.0 委任メカニズムを実装しており、ユーザーは任意のサードパーティアプリケーションに<a href="https://learn.microsoft.com/ja-jp/entra/identity-platform/permissions-consent-overview#consent">同意する</a>ことができます。それにより、ユーザーはこれらのアプリケーションに、自分のデータだけでなく、自分がアクセス可能な任意の組織データへのアクセスも付与します。
攻撃者は、機密性の高いアクセス許可を必要とする正当なビジネスアプリケーションにしばしばなりすます悪意のあるアプリケーションを使用して、ソーシャルエンジニアリング攻撃を仕掛けることができます。これらのアクセス許可が付与されると、攻撃者はデータを盗んだり、ユーザーに代わってアクションを実行したりできます。これらの攻撃は、「<a href="https://learn.microsoft.com/ja-jp/defender-office-365/detect-and-remediate-illicit-consent-grants">不正な同意付与</a>」や「<a href="https://www.microsoft.com/ja-jp/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#oauth">同意フィッシング</a>」と呼ばれています。
Entra ID は、アプリケーションのユーザー同意に関して、次の 3 つのオプションを提供しています。
<ul>
<li>[Do not allow user consent] (ユーザーの同意を許可しない): 最も安全なオプションです。</li>
<li>[Allow user consent for apps from verified publishers, for selected permissions] (選択されているアクセス許可について、発行者確認済みアプリに対するユーザーの同意を許可する): Microsoft は、この中間オプションを推奨しています。これは、機密性の低いアクセス許可のみを許可し、「<a href="https://learn.microsoft.com/ja-jp/entra/identity-platform/publisher-verification-overview">発行者確認済み</a>」のアプリケーションのみにアクセスを限定することでリスクが軽減されるためです。</li>
<li>[Allow user consent for apps] (アプリに対するユーザーの同意を許可する): 安全性が最も低いこのデフォルトのオプションにより、ユーザーがほとんどのアクセス許可 (管理者用に予約されているものを除く) に関して、外部アプリケーションを含め、任意のアプリケーションに同意できるようになります。</li>
</ul>
デフォルトでは、この IoE は Entra ID の安全性の低いオプションだけに不適切のフラグを立てます。セキュリティの機密性を高めるために、IoE の [厳密] オプションを有効にできます。有効にすると、安全性の低い Entra ID オプションと中程度の Entra ID オプションの両方にフラグが立てられます。
BOD 25-01 により強制される、CISA 「Microsoft Entra ID の M365 での安全な設定ベースライン」の <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.2v1</a> ポリシーでは、「管理者だけがアプリケーションの同意を許可されるべきである」と要求しています。

初期アクセス

フィッシング

権限昇格

アカウント操作: 追加のクラウド認証情報

アカウント操作: 追加のクラウドロール

認証情報アクセス

アプリケーションアクセストークンの窃取

ラテラルムーブメント

代替認証マテリアルの使用: アプリケーションアクセストークン

アプリケーションの無制限のユーザー同意

検出

アプリケーションの無制限のユーザー同意

MEDIUM

バージョン 202507230918

バージョン 202411071130

バージョン 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
バージョン 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130