Microsoft 365でレガシー認証をブロックする手順｜多要素認証を有効にしても残る抜け道

多要素認証を全員に必須にしたのに、ID とパスワードだけで入れてしまう経路が残っていることがあります。原因のひとつがレガシー認証です。この経路は多要素認証を要求する仕組みそのものを持たないため、設定を有効にしても素通りします。ここでは、その経路を塞ぐまでの順序を扱います。

なぜ多要素認証で止まらないのか

多要素認証は、サインインの途中で「追加の確認をしてください」と利用者に返し、その応答を待つ形で成立します。ところが古い接続方式は、この「追加の確認を求める」というやり取り自体を想定していません。認証情報を一度送って、通るか通らないかだけを受け取る作りです。

結果として何が起きるかというと、サーバー側は追加の確認を要求できず、ID とパスワードが合っていればそのまま接続を許してしまいます。攻撃者から見れば、多要素認証を突破する必要がなく、漏えいしたパスワードをそのまま試せる入口です。多要素認証そのものの限界については多要素認証を入れても防げない攻撃の記事も併せてご覧ください。

対象になる接続方式

この一覧を見て「うちには関係ない」と判断しないでください。複合機の設定は導入時に業者が入れたまま誰も触っていないことが多く、担当者の記憶に残っていません。実際に使われているかどうかは、記憶ではなく記録で確認します。

手順1｜実際に使われているかを記録で確認する

Microsoft Entra 管理センターのサインインログを開き、クライアントアプリの条件でレガシー認証に該当するものを絞り込みます。ここに出てくるアカウントと接続元が、ブロックした瞬間に止まる相手です。数日分ではなく、月次処理や棚卸しのような月に一度しか動かない処理を拾うために、少なくとも1か月分をさかのぼって確認してください。ログの読み方はEntra IDのサインインログを確認する手順で詳しく扱っています。

手順2｜止まるものを代替に移す

確認できた接続を、ブロックする前に別の方式へ移します。ここを飛ばして先にブロックすると、複合機からメールが飛ばなくなって業務が止まります。

• 複合機・スキャナ — 現行の認証方式に対応した機種であれば設定を切り替えます。対応していない場合は、社内から外部へ中継する送信の仕組みを別に用意するか、機器の更新時期と合わせて計画します
• 業務システムの自動送信 — ベンダーに現行方式への対応可否を確認します。すぐに対応できない場合、その期間だけ例外を残す判断になります
• 古いメールソフト・古い端末 — 代替が用意されている場合がほとんどです。移行の期限を切って通知します

手順3｜ブロックする

止め方は契約内容によって変わります。細かい除外を作れるかどうかが分かれ目です。

• セキュリティの既定値群 — 有効にすると全体に適用されます。個別の除外は作れないため、手順2で例外を残す必要がある場合は選べません
• 条件付きアクセス — 対象を指定してブロックできます。上位のライセンスが前提です。まずレポート専用の状態で作成し、影響範囲を見てから有効化する運び方が安全です
• Exchange Online の認証ポリシー — メール系のプロトコルを個別に止める方法です。メールボックス単位で例外を作れます

使える手段は管理画面またはライセンスの内容によって異なりますので、実際の契約でご確認ください。

順序を間違えたときに起きること

先にブロックしてから影響を調べる進め方は避けてください。止まった業務の側は「セキュリティ対策のせいで仕事にならない」という受け取り方をします。一度その印象がつくと、次の対策で協力を得るのが難しくなります。技術的には巻き戻せても、社内の合意は巻き戻せません。

逆に、影響を洗い出したうえで「この日にこれを止めます、代替はこれです」と先に伝えられれば、同じ作業でも受け止められ方が変わります。この工程で時間を使う価値は、そこにあります。PC本体側の入口も含めた全体の考え方はWindowsのOSログインに2要素認証を導入する解説で整理しています。

塞いだあとに確認すること

ブロックを有効にしたら、もう一度サインインログを見て、レガシー認証の記録が失敗として残るようになったか、あるいは消えたかを確認します。設定したつもりで対象から外れていた、という状態はよく起こります。設定画面ではなく記録で確かめてください。

あわせて、ブロック後に「入れなくなった」という問い合わせが来る窓口を決めておきます。想定外の接続が1つ2つ残っているのが普通で、そこで慌てて設定ごと元に戻してしまうのが一番もったいない結末です。

まずは自社の状況を確認する

applippliの無料診断では、約3分の質問に回答するだけで、クラウドとPC本体の双方を含めた認証の状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。