MS_AzureADIdentityProtection

Azure Active Directory Identity Protection

• 戻る（Microsoft Azure Active Directory、Azureのアクセス制御と権限）
  • Azure Active Directory Identity Protection
  • Azure Active Directory 条件付きアクセス

概要

危ない使われ方をしているアカウントに自動的に対応する。

詳細

ユーザ・リスク

「そのアカウントの資格情報が漏れている可能性」を評価する。

項目	内容
（対象）ユーザ	適用するユーザ／グループ
リスク レベル	高／中／低（低にしてあると煩雑になり易い）
割当	ブロック、若しくはパスワード変更

• 低リスクの例: パスワードが漏洩しているアカウント

※ アクセスのブロックはログインできなくなるリスクがあるので、
　 パスワードの変更が好ましい。

サインイン・リスク

「そのサインイン自体が不正である可能性」を評価する。

項目	内容
（対象）ユーザ	適用するユーザ／グループ
リスク レベル	高／中／低
割当	ブロック、若しくはパスワード変更

• 例: 普段と違うサインイン・アクセスの場合

※ アクセスのブロックはログインできなくなるリスクがあるので、
　 MFA を要求するなどが好ましい。

補足: 2 つのリスクの違いを押さえておくとよい。

	問い	検出例
ユーザ リスク	このアカウントは乗っ取られていないか	資格情報の漏洩（ダーク Web での発見）、疑わしい活動パターン
サインイン リスク	このサインインは本人か	匿名 IP（Tor 等）、あり得ない移動（Atypical travel）、未知の場所・デバイス

対処の割り当てが異なるのはこのためである。

• ユーザ リスク → パスワード変更（漏れた資格情報を無効化する）
• サインイン リスク → MFA（この 1 回が本人かを確かめる）

「ブロックを避ける」という本ページの判断は妥当で、 誤検知でユーザを締め出すと運用が回らなくなる （条件付きアクセス の lockout の注意も参照）。

MFA登録ポリシー

リスクが検出された時点で MFA が未登録だと、 上記の「MFA を要求する」対処が機能しない。 そのため、あらかじめ全ユーザに MFA を登録させるポリシーを併用する。

補足（最新化）: 現在は リスク ベースのポリシーを Identity Protection 単体で設定するのではなく、 条件付きアクセス の条件として リスクを参照する構成が推奨されている （Identity Protection 側の従来のポリシーはレガシー扱い）。

これにより、リスク以外のシグナル（場所、デバイスの準拠状態）と 組み合わせた判断ができる。

なお、Identity Protection は Microsoft Entra ID P2 が必要である。 P1 ではリスクの検出結果を見ることはできても、 リスクベースの自動対処はできない。

参考

• Microsoft Azure Active Directory
• Azure Active Directory 条件付きアクセス
• LoA(Level of Assurance)
• Microsoft Entra ID Protection とは - Microsoft Learn

---

Tags: セキュリティ, アカウント, クラウド, 認証基盤, Azure, Active Directory