条件付きアクセス: デバイスのフィルター

条件付きアクセス ポリシーを作成する際、管理者は、環境内の特定のデバイスを対象または対象外とする機能を求めています。 デバイスのフィルター条件が用意されたことで、管理者はこれを実現できます。 デバイスのフィルターでサポートされている演算子とプロパティ、そして、条件付きアクセスポリシーで使用可能なその他の割り当て条件を使用して、特定のデバイスを対象にすることができるようになりました。

一般的なシナリオ

組織がデバイスのフィルター条件を使用して有効にできるようになったシナリオは複数あります。 この新しい条件を使用する方法の例を、次のシナリオで示します。

• 特権リソースへのアクセスを制限します。 この例では、特権ロールが割り当てられ、多要素認証を満たしており、特権またはセキュリティで保護された管理ワークステーションであり、準拠していることが証明されているデバイスからのアクセスを許可したユーザーから Microsoft Azure Service Management API へのアクセスを許可するとします。 このシナリオでは、組織は次の 2 つの条件付きアクセス ポリシーを作成します。
  • ポリシー 1: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求し、デバイスは準拠としてマーク済みである必要があります。
  • ポリシー 2: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、device.extensionAttribute1 が SAW に等しいというルール式を使用するデバイスのフィルターを除外し、アクセス制御についてブロックします。 Microsoft Entra デバイス オブジェクトで extensionAttributes を更新する方法について説明します。
• サポートされていないオペレーティング システムを実行しているデバイスから組織のリソースへのアクセスをブロックします。 この例では、Windows 10 より前の Windows OS バージョンからリソースへのアクセスをブロックするとします。 このシナリオでは、組織は次の条件付きアクセス ポリシーを作成します。
  • すべてのユーザーが、すべてのクラウド アプリにアクセスし、device.operatingSystem が Windows に等しい、かつ、device.operatingSystemVersion が "10.0" で始まるというルール式を使用してデバイスのフィルターを除外し、アクセス制御についてブロックします。
• 特定のデバイスの特定のアカウントに多要素認証を要求しないでください。 この例では、Teams 電話や Surface Hub デバイスなどの特定のデバイスでサービス アカウントを使用する場合に、多要素認証を要求しないことにします。 このシナリオでは、組織は次の 2 つの条件付きアクセス ポリシーを作成します。
  • ポリシー 1: サービス アカウントを除くすべてのユーザーが、すべてのクラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求します。
  • ポリシー 2: ユーザーとグループを選択し、サービス アカウントのみを含むグループを含め、すべてのクラウド アプリにアクセスし、device.extensionAttribute2 が TeamsPhoneDevice に等しくないというルール式を使用して対象外デバイスのフィルターを指定し、アクセス制御についてブロックします。

条件付きアクセス ポリシーを作成する

デバイスのフィルターは、条件付きアクセス ポリシーを作成するときのオプションのコントロールです。

次の手順を利用して、一般的なシナリオの最初のシナリオをサポートする 2 つの条件付きアクセス ポリシーを作成します。

ポリシー 1: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、アクセス制御についてアクセス権を付与しますが、多要素認証を要求し、デバイスは準拠としてマーク済みである必要があります。

1. 条件付きアクセス管理者以上として Microsoft Entra 管理センターにサインインします。
2. 保護>条件付きアクセス を参照します。
3. [新しいポリシーの作成] を選択します。
4. ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
5. [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。

   1. [Include] (含める) で、[ディレクトリ ロール] を選択し、名前に管理者を持つすべてのロールを選択します。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、管理単位スコープやカスタム ロールなど、その他の種類のロールには適用されません。

   2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。

   3. 完了 を選択します。

6. [ターゲット リソース]>[クラウド アプリ]>[含む]>[アプリの選択] の下の Windows Azure Service Management API を選択し、[選択] を選択します。
7. [アクセス制御]>[許可] で [アクセス権の付与]、[多要素認証を要求する]、[デバイスは準拠しているとしてマーク済みであることが必要] を選択して、[選択] を選択します。
8. 設定を確認し、 [Enable policy](ポリシーの有効化) を [オン] に設定します。
9. [作成] を選択して、ポリシーを作成および有効化します。

ポリシー 2: 管理者ロールを持つすべてのユーザーが、Microsoft Azure Service Management API クラウド アプリにアクセスし、device.extensionAttribute1 が SAW に等しいというルール式を使用するデバイスのフィルターを除外し、アクセス制御についてブロックします。

1. [新しいポリシーの作成] を選択します。
2. ポリシーに名前を付けます。 ポリシーの名前に対する意味のある標準を組織で作成することをお勧めします。
3. [割り当て] で、 [ユーザーまたはワークロード ID] を選択します。

   1. [Include] (含める) で、[ディレクトリ ロール] を選択し、管理者名のあるすべてのロールを選択します。

      警告

      条件付きアクセス ポリシーでは、組み込みロールがサポートされています。 条件付きアクセス ポリシーは、管理単位スコープやカスタム ロールなど、その他の種類のロールには適用されません。

   2. [除外] で、 [ユーザーとグループ] を選択し、組織の緊急アクセス用または非常用アカウントを選択します。

   3. 完了 を選択します。

4. [ターゲット リソース]>[クラウド アプリ]>[含む]>[アプリの選択] の下の Windows Azure Service Management API を選択し、[選択] を選択します。
5. [ 条件] で、 デバイスをフィルター処理します。
   1. [構成] を [はい] に切り替えます。
   2. [Devices matching the rule](ルールに一致するデバイス) を [Exclude filtered devices from policy](フィルター選択されたデバイスをポリシーから除外する) に設定します。
   3. プロパティを ExtensionAttribute1、演算子を Equals、値を SAW に設定します。
   4. [Done] を選択します。
6. [アクセス制御]>[許可] で、 [アクセスのブロック] 、 [選択] の順に選択します。
7. 設定を確認し、 [Enable policy](ポリシーの有効化) を [オン] に設定します。
8. [作成] を選択して、ポリシーを作成および有効化します。

属性値の設定

拡張属性の設定は、Graph API によって実現されています。 デバイス属性の設定の詳細については、「デバイスの更新」という記事を参照してください。

デバイスのフィルター Graph API

デバイスのフィルター API は、Microsoft Graph v1.0 のエンドポイントで使用できます。また、エンドポイント https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/ を使用してアクセスできます。 新しい条件付きアクセス ポリシーを作成するときにデバイスのフィルターを構成するか、既存のポリシーを更新してデバイスのフィルター条件を構成できます。 既存のポリシーを更新するには、既存のポリシーのポリシー ID を追加し、次の要求本文を実行して、Microsoft Graph v 1.0 のエンドポイントでパッチ呼び出しを実行します。 次の例は、SAW デバイスとしてマークされていないデバイスを対象外とするデバイスのフィルター条件を構成する方法を示しています。 ルール構文は、複数の単一式で構成できます。 構文の詳細については、「Microsoft Entra ID の動的グループ メンバーシップ ルール」を参照してください。

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

フィルターでサポートされている演算子とデバイスのプロパティ

次のデバイス属性は、条件付きアクセスのデバイスのフィルター条件で使用できます。

デバイスのフィルターを使用したポリシーの動作

条件付きアクセスのデバイスのフィルター条件では、Microsoft Entra ID の登録済みデバイスのデバイス属性に基づいてポリシーが評価されるため、どのような状況でポリシーが適用されるのか、または適用されないのかを理解することが重要です。 次の表は、デバイスのフィルター条件が構成されている場合の動作を示しています。

次のステップ

• 新学期 - 複雑なフィルターでブール代数を正しく使用する
• デバイスを更新する Graph API
• 条件付きアクセス:条件
• 一般的な条件付きアクセス ポリシー
• 特権アクセスの一部としてデバイスをセキュリティで保護する