条件付きアクセスとは

詳細な図解

条件付きアクセスを読むときの前提

条件付きアクセスは、ユーザー、端末、場所、リスク、アプリ、操作内容に応じてアクセス可否や追加確認を制御する仕組みです。

SaaS、VPN、管理画面、ゼロトラスト設計で使われます。実務では、対象範囲、除外、MFA条件、端末準拠、場所、リスク検知、緊急用アカウント、ログを確認します。

証跡には、ポリシー名、対象ユーザー、対象アプリ、条件、制御内容、除外、テスト結果、失敗ログ、適用日、戻し手順を残します。

条件を組み合わせて判断する

条件付きアクセスは、社外IP、未管理端末、高リスクサインイン、管理者操作などに応じてMFA要求や拒否を行います。

条件が強すぎると正規利用者も入れなくなり、弱すぎると侵害経路が残ります。業務影響が大きいポリシーは段階適用します。

• 対象ユーザーとアプリを明記する。
• 条件と制御内容を分けて確認する。
• 段階適用で影響を測る。

除外と緊急用アカウントを見る

除外設定は業務継続に必要な場合がありますが、攻撃者にとって抜け道にもなります。対象外ユーザー、例外グループ、古い端末、レガシープロトコルを確認します。

緊急用アカウントは、IdP障害や誤設定から復旧するために必要です。保管、監査、通知、定期テストをセットで管理します。

• 除外に期限と理由を付ける。
• 緊急用アカウントを監査する。
• レガシープロトコルを確認する。

ログで拒否理由を説明する

条件付きアクセスのトラブルは、ログイン不可、MFA要求の繰り返し、端末準拠失敗、場所判定誤りとして現れます。

調査では、利用者、端末、IP、国、アプリ、適用ポリシー、拒否理由、相関IDを同じ時間帯で確認します。

• 適用されたポリシー名を確認する。
• 端末準拠状態を確認する。
• 相関IDと拒否理由を保存する。

変更証跡と引き継ぎ

条件付きアクセスは、1つの設定で多数の利用者へ影響します。変更前後の設定、テスト対象、段階適用結果、戻し手順を残します。

引き継ぎでは、IdP管理者、ヘルプデスク、セキュリティ担当、関連語としてMFA、ゼロトラスト、IdP、認証を残すと確認しやすくなります。

• ポリシー変更理由を記録する。
• 除外一覧を棚卸しする。
• 障害時の無効化手順を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能