プロジェクト

全般

プロフィール

履歴

海外からのMicrosoft 365アクセスを禁止する設定

1. 目的

Microsoft 365への海外からのサインインを制限し、日本国内および指定した信頼済みIPアドレスからのアクセスのみを許可する。

本設定では、Microsoft Entra IDの条件付きアクセスを使用する。

2. 設定概要

  • 日本を「名前付き場所」として登録する
  • 条件付きアクセスで、任意の場所からのアクセスを対象とする
  • 日本および社内の信頼済みIPアドレスを対象外とする
  • 対象となる海外アクセスをブロックする
  • 最初は少数のテストユーザーにのみ適用する
  • 動作確認後、対象ユーザーを段階的に拡大する

3. 名前付き場所「日本」の作成

  1. Microsoft Entra管理センターへサインインする
  2. 以下のメニューを開く
    1. 保護
    2. 条件付きアクセス
    3. 名前付き場所
  3. 「国の場所」を選択する
  4. 次の内容を設定する
    https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/NamedLocations.ReactView?Microsoft_AAD_IAM_legacyAADRedirect=true
設定項目 設定値
名前 日本
場所の種類 国
対象国 日本
不明な地域を含める 原則としてオフ
信頼済みとしてマーク 原則としてオフ
  1. 設定内容を確認し、「作成」を選択する
  2. 名前付き場所の一覧に「日本」が表示されることを確認する

4. 条件付きアクセスポリシーの作成

  1. Microsoft Entra管理センターで以下を開く
    1. 保護
    2. 条件付きアクセス
    3. ポリシー
  2. 「新しいポリシー」を選択する
  3. ポリシー名を入力する
    https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId/Policies/fromNav/?Microsoft_AAD_IAM_legacyAADRedirect=true

海外からのアクセス禁止

5. ユーザーの割り当て

テスト時

最初は、動作確認用の少数ユーザーのみを対象とする。

設定項目 設定値
対象 選択したユーザーとグループ
ユーザーとグループ テスト対象ユーザーを指定

いきなり全ユーザーを対象にせず、テストユーザーで動作確認してから段階的に対象を拡大する。

本番適用時

動作確認後、必要に応じて「すべてのユーザー」へ変更する。

「すべてのユーザー」を対象にする場合は、緊急アクセス用管理者アカウントを対象外へ設定する。

  • 緊急アクセス用管理者アカウント
  • ブレークグラスアカウント
  • 障害時に使用する管理用アカウント

管理者アカウントを除外せずにポリシーを有効化すると、設定誤りや位置情報の誤判定によって管理者自身がサインインできなくなる可能性がある。

6. ターゲットリソースの設定

「ターゲットリソース」を開き、制御対象を設定する。

設定項目 設定値
対象リソース すべてのリソース

「すべてのリソース」を指定することで、Microsoft Teams、Exchange Online、SharePoint Online、OneDriveなど、Microsoft 365の各サービスへのサインインを対象とする。

テスト段階で影響範囲を限定する場合は、特定のリソースのみを指定して検証することも検討する。

7. ネットワーク条件の設定

「ネットワーク」を開き、次の設定を行う。

対象

設定項目 設定値
構成 はい
対象 任意のネットワークまたは場所

対象外

設定項目 設定値
対象外 選択したネットワークと場所
選択する場所 日本
追加の対象外 社内の信頼済みIPアドレス

今回の設定では、以下の場所を対象外とする。

  • 名前付き場所「日本」
  • 既に登録されている社内の信頼済みIPアドレス

この設定により、日本国内および社内の信頼済みIPアドレスからのアクセスはブロック対象外となる。

8. アクセス制御の設定

「許可」を開き、次の内容を設定する。

設定項目 設定値
アクセス制御 アクセスのブロック

設定後、「選択」を押して確定する。

9. セッション設定

今回の海外アクセス禁止設定では、セッション制御は設定しない。

設定項目 設定値
セッション制御 設定なし

10. ポリシーの有効化

初回は「オン」にせず、「レポート専用」で保存することを推奨する。

段階 設定値
初期検証 レポート専用
テスト実施 必要に応じてテストユーザーのみオン
本番適用 検証完了後にオン

「レポート専用」にすると、実際にはアクセスをブロックせず、ポリシーが適用された場合の結果をサインインログで確認できる。

11. 設定内容の最終確認

項目 設定内容
ポリシー名 海外からのアクセス禁止
対象ユーザー 初期段階ではテストユーザー
ターゲットリソース すべてのリソース
ネットワークの対象 任意のネットワークまたは場所
ネットワークの対象外 日本、社内の信頼済みIPアドレス
アクセス制御 アクセスのブロック
セッション制御 設定なし
初期状態 レポート専用またはテストユーザーのみオン

12. 動作確認

日本国内からの確認

  1. 対象のテストユーザーでMicrosoft 365へサインインする
  2. Microsoft Teams、Outlook、SharePointなどへアクセスできることを確認する
  3. Microsoft Entra管理センターのサインインログを確認する
  4. 条件付きアクセスポリシーの評価結果を確認する

海外アクセス相当の確認

社内ルール上許可されたテスト環境を使用し、海外IPアドレスからのサインイン相当の検証を行う。

確認項目は以下のとおり。

  • 対象ユーザーのサインインがブロックされること
  • 適用された条件付きアクセスポリシーが「海外からのアクセス禁止」であること
  • 日本国内または信頼済みIPアドレスからはアクセスできること
  • 対象外ユーザーへ影響がないこと

13. サインインログの確認

  1. Microsoft Entra管理センターを開く
  2. Entra ID を開く
  3. 監視と正常性 を開く
  4. サインインログ を開く
  5. テストユーザーのサインインを選択する
  6. 「条件付きアクセス」タブを確認する

主な確認項目は以下のとおり。

  • ポリシーが適用対象になっていること
  • 日本からのサインインがブロック対象外になっていること
  • 海外からのサインインがブロック対象になっていること
  • 想定外のアプリケーションやユーザーに影響していないこと

14. 本番展開

テストで問題がないことを確認した後、次の順序で対象範囲を拡大する。

  1. 情報システム担当者
  2. 一部の一般ユーザー
  3. 部門単位のグループ
  4. 全ユーザー

全ユーザーへ適用する場合も、緊急アクセス用管理者アカウントは除外する。

15. 注意事項

  • 日本国内であっても、海外経由のVPNやプロキシを利用している場合は海外アクセスとして判定されることがある
  • 海外出張者や海外拠点の利用者はアクセスできなくなる
  • クラウドサービスや自動処理で使用するアカウントへの影響を事前に確認する
  • サービスアカウントや同期用アカウントの利用状況を確認する
  • 社内IPアドレスを対象外にする場合は、固定グローバルIPアドレスであることを確認する
  • IPアドレスによる国判定には誤差が発生する可能性がある
  • 設定変更後は必ずサインインログを確認する
  • ポリシーをいきなり全ユーザーへ適用しない
  • 緊急アクセス用管理者アカウントを除外する
  • 設定作業に使用している管理者セッションとは別に、復旧用の管理者セッションを確保してからテストする

16. ロールバック手順

アクセス障害や想定外のブロックが発生した場合は、次の手順でポリシーを停止する。

  1. Microsoft Entra管理センターへ緊急アクセス用管理者アカウントでサインインする
  2. 保護 を開く
  3. 条件付きアクセス を開く
  4. ポリシー を開く
  5. 「海外からのアクセス禁止」を選択する
  6. 「ポリシーの有効化」を「オフ」に変更する
  7. 保存する
  8. 対象ユーザーのサインインを再確認する

17. 作業結果

  • 名前付き場所「日本」を作成
  • 社内の信頼済みIPアドレスを確認
  • 条件付きアクセスポリシー「海外からのアクセス禁止」を作成
  • テスト対象ユーザーを指定
  • ターゲットリソースを指定
  • 任意の場所をポリシー対象に設定
  • 日本および社内の信頼済みIPアドレスを対象外に設定
  • アクセス制御を「アクセスのブロック」に設定
  • 本番展開前のテスト設定を完了