概要
条件付きアクセスは、適切な状況で適切なセキュリティ アクセス制御を適用することで、組織のセキュリティを維持するのに役立ちます。 特に新しいポリシーを展開する場合、これらのポリシーの影響を理解することは困難です。 この記事では、レポート専用モードやその他のツールを使用して条件付きアクセス ポリシーの影響を分析する方法について説明します。
管理者には、レポート専用モードに基づいていくつかのオプションがあります。 レポート専用モードは、管理者がほとんどの条件付きアクセス ポリシーを有効にする前にテストできるようにするポリシー状態です。
- 管理者は、"ユーザー アクション" スコープに含まれるアイテムを除き、レポート専用モードで条件付きアクセス ポリシーを評価できます。
- サインイン時に、システムはレポート専用モードでポリシーを評価しますが、ポリシーは適用しません。
- 結果は、サインイン ログの詳細の [条件付きアクセス ] タブと [ レポート専用 ] タブに記録されます。
- Azure Monitor サブスクリプションをお持ちのお客様は、条件付きアクセスに関する分析情報のブックを使用して、条件付きアクセス ポリシーの影響を監視できます。
Warnung
準拠デバイスを必要とするレポート専用モードのポリシーでは、デバイスのコンプライアンスが適用されていない場合でも、ポリシーの評価中に macOS、iOS、Android デバイスのユーザーにデバイス証明書の選択を求めることができます。 これらのプロンプトは、デバイスが準拠するまで繰り返すことができます。 エンド ユーザーがサインイン中にプロンプトを受信できないようにするには、デバイスコンプライアンスチェックを実行するレポート専用ポリシーから Mac、iOS、Android デバイス プラットフォームを除外します。
ポリシーの評価結果
特定のサインインに対してポリシーが評価されると、いくつかの結果が考えられます。
| 結果 | 説明 |
|---|---|
| レポートのみ: 成功 | 構成されたすべてのポリシー条件、必要な非対話型の許可コントロール、およびセッション制御が満たされました。 たとえば、トークンに既に存在する MFA 要求によって多要素認証の要件が満たされている場合や、準拠しているデバイスでデバイス チェックを実行することで準拠しているデバイス ポリシーが満たされている場合などです。 |
| レポートのみ: 失敗 | 構成されたすべてのポリシー条件が満たされましたが、必要なすべての非対話型許可コントロールまたはセッション制御が満たされたわけではありません。 たとえば、ブロック コントロールが構成されているユーザーにポリシーが適用される場合や、デバイスがデバイスポリシーの準拠要件を満たさない場合があります。 |
| レポートのみ: ユーザー アクションが必要 | 構成されたすべてのポリシー条件が満たされましたが、必要な許可コントロールまたはセッション制御を満たすためにユーザーアクションが必要になります。 レポート専用モードでは、ユーザーは必要なコントロールを満たすように求められません。 たとえば、ユーザーは多要素認証のチャレンジや使用条件を求められません。 |
| レポートのみ: 未適用 | 構成されたすべてのポリシー条件が満たされたわけではありません。 たとえば、ユーザーがポリシーから除外されるか、ポリシーが特定の信頼された名前付き場所にのみ適用されます。 |
| 成功 | ポリシーが適用され、要件が満たされ、ポリシーによってサインインの続行が許可されるサインイン イベント。 サインインは、引き続き別のポリシーによってブロックされる可能性があります。 |
| 失敗 | ポリシーが適用され、要件が満たされておらず、ポリシーによってサインインがブロックされるサインイン イベント。 これは、特定の場所からのサインインがブロックされている場合や、ポリシーが正しく構成されていない場合など、仕様によって異なります。 |
| 未適用 | ポリシーが適用されなかったサインイン イベント (ユーザーが除外されたなど)。 |
結果の確認
管理者は、いくつかのオプションを使用して、環境内のポリシーの潜在的な結果を確認できます。
- Workbooks
- サインイン ログ
- ポリシーへの影響 (プレビュー)
ポリシーへの影響
条件付きアクセスのポリシー影響ビューでは、少なくともセキュリティ閲覧者ロールを持つ管理者は、組織内の対話型サインインに対するポリシーの潜在的または既存の影響のスナップショットを表示できます。 過去 24 時間、7 日間、または 1 か月間の影響を調べることができます。 詳細を確認するために、サインイン イベントのサンプルを表示してリンクすることもできます。
Workbooks
管理者はレポート専用モードで複数のポリシーを作成できるため、各ポリシーの個々の影響と、一緒に評価される複数のポリシーの組み合わせの影響の両方を理解することが重要です。 条件付きアクセスの分析情報とレポート ブックを使用すると、管理者は条件付きアクセス ポリシーを視覚化し、特定の時間範囲、一連のアプリケーション、およびユーザーに対するポリシーの影響を照会および監視できます。 管理者は、ニーズに合わせてワークブックをカスタマイズできます。
サインイン ログ
条件付きアクセス ポリシーとそのアプリケーションを特定のサインインで詳細に評価するために、管理者は個々のサインイン イベントを調査する場合があります。 各イベントには、レポート専用モード、適用済み、または適用されていない条件付きアクセス ポリシーに関する詳細が含まれます。
これらのオプションの使用
ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。
適用前にポリシーを比較して検証する
レポート専用モードは、ポリシーの変更を適用する前に段階的に検証するための重要なツールです。 意図しないアクセス中断のリスクを軽減するには、次のプラクティスを使用します。
- 適用されたポリシーと共に新しいポリシーをテストします。 既存の適用済みポリシーがアクティブなまま、レポート専用モードで新しいポリシーを作成します。 この方法では、ユーザー アクセスに影響を与えずに、新しいポリシーで何が行 われる かを確認できます。 レポートのみの結果をサインイン ログで監視し、ポリシーを強制状態に切り替える前に期待どおりに動作することを確認します。
- Insights ワークブックで結果を比較します。 条件付きアクセスの分析情報とレポート ブックを使用して、特定の時間範囲、一連のアプリケーション、およびユーザーについて、レポートのみのポリシー結果と適用されたポリシー結果を並べて表示します。 この比較は、新しいポリシーがアクセスの決定を変更してから変更が反映される場所を特定するのに役立ちます。 このブックには、Microsoft Entra ID P1 とサインイン ログを受け取るLog Analytics ワークスペースが必要です。詳細については、ブックの前提条件を参照してください。
- 既存のポリシーに対する変更を検証します。 適用されたポリシーを変更する前に、提案された変更を含むレポート専用モードでコピーを作成します。 レポートのみのコピーの結果を元の適用済みポリシーと比較して、意図した効果を確認します。 問題がなければ、適用されたポリシーを更新し、コピーを削除します。
- AI 支援の段階的ロールアウトを使用します。 使用可能な場合、 条件付きアクセス最適化エージェント は、推奨されるポリシーをレポート専用モードで作成します。 適用を決定する前に、エージェントの分析と予想される影響を確認できます。 詳細については、「 条件付きアクセス最適化エージェントを使用した段階的ロールアウト」を参照してください。 エージェントには、プロビジョニングされたセキュリティ コンピューティング ユニット (SKU) と Microsoft Entra ID P1 を使用したMicrosoft Security Copilotが必要であるため、すべてのテナントで有効になるわけではありません。詳細については、エージェント prerequisites を参照してください。
- A/B テストに関する注意事項。 条件付きアクセスでは、従来の A/B テストはサポートされていません。これは、ポリシーの 2 つの適用されたバリエーション間でライブ トラフィックを分割します。 テナントで最適化エージェントが有効になっている場合、最も近いネイティブのロールアウトは 最適化エージェントの段階的なロールアウトです。これにより、元のレポートのみのポリシーをそのまま維持しながら、順序付けられたグループに新しいポリシーが徐々に適用されるため、完全に適用される前にコーホート間の結果を比較できます。
Note
レポートのみのモードではポリシーが評価されますが、許可コントロールやセッション制御は適用されません。 ユーザーは多要素認証を求められたり、レポート専用ポリシーによってブロックされたりすることはありません。 ユーザー アクション スコープを使用するポリシーなど、いくつかの制限が適用されます。 詳細については、この記事の ポリシー評価結果 を参照してください。
関連コンテンツ
- 条件付きアクセス ポリシーでレポート専用モードを構成する方法について説明します。