こんにちは。現場で泥臭いインシデント対応を繰り返していると、つくづく思うんです。「セキュリティは、完璧な壁を作ることではなく、泥棒に『面倒くさいから別の家に行こう』と思わせるゲームなんだ」と。
今日は、現代のIT環境における「最強の防犯ゲート」であるMicrosoft Entra ID（旧Azure AD）の条件付きアクセスについてお話しします。難しそうに聞こえますが、実は家の防犯と同じなんです。一緒に紐解いていきましょう。
—
1. なぜ「パスワードだけ」じゃダメなのか？
皆さんの家の玄関に「鍵」がかかっているのは当たり前ですよね。でも、もしその鍵が「世界中の誰もが知っている合鍵」だとしたら？
残念ながら、ネット上のパスワードはそれに近い状態です。フィッシングサイトにうっかり入力してしまったり、使い回しで漏洩したり。攻撃者は「鍵を盗む」のではなく、「鍵を拾う」だけで皆さんのシステムに侵入してきます。
ここで登場するのが「多要素認証（MFA）」です。
- 何かを知っている（パスワード）
- 何かを持っている（スマホの認証アプリなど）
この2つを組み合わせることで、「泥棒が鍵を拾ったとしても、家には入れない」状態を作ります。
—
2. 「条件付きアクセス」は、最強の門番
ただ、MFAを入れただけでは、まだ不十分です。例えば、「真夜中に、見知らぬ国のIPアドレスから、古いスマホでログインしようとしている」場合、本当に本人でしょうか？
条件付きアクセスは、「誰が、どこから、どんなデバイスで、何をしようとしているか」を門番がチェックし、「怪しいから追加で確認させて！」あるいは「今の条件ならアクセス拒否！」と判断する仕組みです。
玄関の門番の判断基準（ポリシーの設計）
1. 場所（場所）: 「普段は日本からなのに、なんで今はブラジル？」
2. デバイスの状態（準拠状態）: 「セキュリティ対策ソフトが入っていないボロボロのスマホで入ろうとしていないか？」
3. リスクレベル（サインインリスク）: 「攻撃者のリストにあるような怪しいIPアドレスを使っていないか？」
—
3. 実践：MFAを強制するポリシー設定のコツ
では、実際にEntra IDで設定する際の考え方をコード（JSONポリシーの概念図）に近い形で見てみましょう。
// 条件付きアクセス ポリシーの構成イメージ
{
“policyName”: “MFA強制の基本ポリシー”,
“users”: “全員（または特定の管理者グループ）”,
“targetResources”: “すべてのクラウドアプリ”,
“conditions”: {
“locations”: “すべての場所”,
“deviceState”: “制限なし（まずはここから始めましょう）”
},
“grantControls”: {
“operator”: “AND”,
“controls”: [
“RequireMFA” // ここが肝！パスワードを知っていてもMFAを求める
]
}
}
設定の現場ノウハウ
- 「報告のみ」モードから始める: いきなり強制して「全員ログインできなくなった！」となると大惨事です。まずは「報告のみ」モードで、誰が引っかかるかを確認しましょう。
- 管理者を締め出さない: 管理者アカウントだけは、緊急時のためにMFAをバイパスする例外アカウント（Break-glass account）を必ず2つ用意してください。これは「家の鍵を全部失くした時の予備の合鍵」を金庫に入れておくようなものです。
—
4. 開発者が意識すべき「境界」の考え方
開発者の方にとって、セキュリティは「機能実装の邪魔」に感じることがあるかもしれません。ですが、今や「社内ネットワーク＝安全」という時代は終わりました。
- ゼロトラスト: 「誰も信用しない、常に検証する」。これが現代の合言葉です。
- APIの保護: アプリケーションを作る際も、フロントエンドだけでなく、バックエンドのAPIでも同様に「誰がリクエストしているのか」をEntra ID等のトークンで厳密に検証してください。
—
まとめ：一歩ずつ、強固な城を築こう
セキュリティ対策に「終わり」はありません。しかし、今日お話しした「条件付きアクセスによるMFAの強制」は、攻撃者が最も嫌がる「コストのかかる防衛策」です。
1. まずは自分からMFAをオンにする
2. 組織全体に「条件付きアクセス」を展開する
3. 「怪しい動き」がないかログを眺める癖をつける
これだけで、皆さんの会社やプロダクトの防御力は劇的に向上します。最初は難しく感じるかもしれませんが、家の鍵を一つずつ閉めていくような感覚で、ぜひ今日から設定を触ってみてください。
もし、設定中に「これで本当に大丈夫かな？」と不安になったら、いつでもまた聞きに来てくださいね。泥臭い現場の知見を交えて、また一緒に考えましょう！
コメント