Microsoft 365 で多要素認証を必須にする作業そのものは、設定画面のスイッチを1つ入れるだけで済む場合があります。難しいのは設定ではなく、有効化した瞬間に止まる業務を事前に把握しておくことです。この記事では手順と、詰まりどころの潰し方を扱います。
方法は2つあります
| セキュリティの既定値群 | 条件付きアクセス | |
|---|---|---|
| 費用 | 追加費用なし | 上位ライセンスが必要 |
| 設定の手間 | スイッチ1つ | ポリシーを個別に作成 |
| 対象の除外 | できない | ユーザー・アプリ単位で可能 |
| 段階的な展開 | できない（全員一括） | できる |
| 併用 | 同時には使えません。既定値群を有効にしている間は条件付きアクセスを使えません | |
まず押さえるべきは「除外ができない」点です。セキュリティの既定値群は全ユーザーが対象になり、例外を作れません。これが導入時に問題になる主因です。
ライセンスの条件は契約内容によって異なります。条件付きアクセスが使えるかどうかは、管理画面またはライセンスの内容をご確認ください。
有効化する前に潰しておくこと
ここを飛ばすと、有効化した直後に業務が止まります。順に確認してください。
① 複合機・スキャナからのメール送信
最も多い停止要因です。複合機のスキャン結果をメールで送る設定は、多くの場合ID・パスワードのみでメールサーバーに接続しています。
多要素認証を必須にすると、この接続が拒否されます。「スキャンしてメール送信」が全社的に使えなくなります。
対応としては、複合機を送信専用の別経路に切り替えるか、機器側が新しい認証方式に対応しているか確認する形になります。機種によっては対応しておらず、機器の更新が必要になる場合があります。
② 業務システムからの自動メール送信
受発注システムや勤怠システムが、Microsoft 365 のアカウントを使ってメールを送っている場合があります。①と同じ理由で止まります。
誰も設定を覚えていないことが多い箇所です。「システムから自動でメールが届いている」ものがあれば、送信元の設定を確認してください。
③ 古いバージョンのOutlook・メールソフト
古い方式でしか接続できないソフトは、認証が通らなくなります。更新が必要になります。
スマートフォンの標準メールアプリで社内メールを見ている場合も、設定の作り直しが必要になることがあります。
④ 共有メールボックス・代表アドレス
「info@」「support@」のような代表アドレスを、共有のID・パスワードで複数人が使っている場合は、先に方式を変える必要があります。
多要素認証は「本人が持っているもの」を使う仕組みなので、複数人が同じアカウントを使う運用と噛み合いません。誰の端末で承認するのかが決まらないためです。
置き換えの進め方は 共有アカウントの廃止で扱っています。
⑤ スマートフォンを持っていない人
認証アプリを使う前提だと、会社支給の端末がない人・私物の利用を拒む人が対象から漏れます。
代替手段は スマートフォンを使わない多要素認証で扱っています。
手順：セキュリティの既定値群を有効にする
上記の確認が済んだら設定します。全体管理者の権限が必要です。
- Microsoft Entra 管理センター（entra.microsoft.com）にサインイン
- 左メニューの 「ID」 を開く
- 「概要」 → 「プロパティ」 タブ
- ページ下部の 「セキュリティの既定値群の管理」 をクリック
- 「有効」 に変更して保存
有効化すると、全ユーザーが次回サインイン時に認証方法の登録を求められます。登録の猶予期間は設けられますが、最終的に登録しないとサインインできなくなります。
周知を先に行ってください
予告なしに有効化すると、問い合わせが情報システム担当に集中します。次の内容を事前に伝えておくと、負荷が大きく下がります。
- いつから始まるか
- 何を求められるか（スマートフォンでの認証アプリの設定など）
- 設定にかかる時間（数分程度）
- うまくいかない場合の連絡先
緊急時に入れなくなる事態を避ける
これは必ず考えておく必要があります。
管理者が認証用の端末を紛失・故障させた場合、管理画面に入れず、設定を戻すこともできなくなります。
対策として、
- 管理者権限を持つアカウントを2つ以上用意し、それぞれ別の端末で認証できる状態にする
- 認証方法を2種類以上登録する（アプリと電話番号など）
セキュリティの既定値群では除外を作れないため、「管理者だけ対象外にする」という逃げ道はありません。複数の管理者アカウントで冗長化する形になります。
有効化したあとに確認すること
- 複合機からのスキャン送信が動くか
- 業務システムからの自動メールが届いているか
- 登録が完了していないユーザーが残っていないか
- サインインの失敗が急増していないか
2つ目は数日たってから気づくことが多い項目です。日次や週次で動くバッチ処理は、有効化の直後には現れません。
ログの確認方法は 不審なログインの確認方法を参照してください。
これで守れない範囲
Microsoft 365 の多要素認証は、Microsoft 365 へのサインインを守るものです。次は対象外です。
- PC本体へのWindowsログイン
- 社内のファイルサーバーへの接続
- Microsoft 365 と連携していない業務システム
PCのログインパスワードが盗まれた場合、端末内に保存されたファイルは守られません。ここは別の手当てが必要です。
WindowsのOSログインに二要素認証を入れる方法、 シングルサインオンの基本と限界で扱っています。
よくある質問
Microsoft 365 の多要素認証は追加費用がかかりますか
セキュリティの既定値群であれば追加費用なしで有効にできます。ユーザーやアプリ単位で細かく制御する条件付きアクセスは、上位のライセンスが必要です。
特定の人だけ対象外にできますか
セキュリティの既定値群では除外を作れません。除外が必要な場合は条件付きアクセスを使うことになり、上位ライセンスが前提になります。
有効化して業務が止まる可能性が高いのはどこですか
複合機・スキャナからのメール送信です。ID・パスワードのみで接続している場合、有効化した時点で拒否されます。業務システムからの自動送信も同じ理由で止まります。
有効化したあとに残る2つの宿題
多要素認証を必須にしても、それだけでは閉じない経路と、新たに生まれるリスクがあります。有効化の作業が終わったら、続けてこの2つを確認してください。
- 古い接続方式が残っていないか — 追加の確認を要求できない接続方式は、IDとパスワードだけで通ってしまいます。塞ぐ手順はレガシー認証をブロックする手順で扱っています
- 管理者が締め出されたときの逃げ道があるか — 設定ミスや端末の紛失で管理画面に入れなくなる事態に備えます。緊急用の管理者アカウントを用意する手順を先に済ませておくと安全です
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、クラウドとPC本体の双方を含めた認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。