多要素認証 (MFA) 必須化！ 緊急アクセス用管理者アカウントのことを考えてみた
2024年10月15日以降、Microsoft Azure ポータル、Microsoft Entra 管理センター、Microsoft Intune 管理センターへのアクセス時に多要素認証 (MFA) の利用が義務付けられます。緊急アクセス用管理者アカウントを用意している場合にも、もれなく MFA の対象となるため対応が必要です。
緊急アクセス用管理者アカウントとは
緊急アクセス用管理者アカウント (BreakGlass アカウント) とは、普段は利用せずに非常時のみ利用する個人アカウントに紐づかない管理者アカウントのことです。
※ 詳細は以前書かせていただいた Micrsoft 365 に緊急アクセス用管理者アカウントを準備するをご覧ください。
緊急時にすぐに利用できるように、今までは MFA は設定非推奨でしたが、今回 Update により MFA の利用が義務化されました。
緊急アクセス用管理者アカウントの MFA
Microsoft 365 の MFA には、電話 (音声、SMS)、Microsoft Authenticator アプリケーション、ハードウェア トークンなど、さまざまな方法が利用できますが、認証強度が 「Best（高い）」 のものを利用することが推奨されています。特に緊急アクセス用管理者アカウントは、Microsoft 365 管理者の役割を持つことになるため、不正利用を防ぐためにも 「Best」 の認証方法の採用をおすすめします。
「Best」 の認証は パスワードレス認証となります。ユーザーアカウントやパスワードの入力が不要になるだけでなく、SMS やトークン コードの入力などの MFA と比べて、安全な認証を実現できます。
出典：Microsoft Entra ID で使用できる認証方法と検証方法
加えて、緊急アクセス用管理者アカウントの MFA は、緊急時に必ず利用できるように用意しておきたいため、懸念点を洗い出して精査することも重要です。
| 認証方式 | 緊急アクセス用管理者アカウントにて利用時の懸念点 |
|---|---|
| SMS |
|
| Voice (電話音声) | 【携帯電話の場合】
【会社電話の場合】
|
| Authenticator |
|
| Software Tokens OTP |
|
| Hardware Tokens OTP |
|
| Authenticator (Phone Sign-in) |
|
| Windows Hello |
|
| FIDO2 security key |
|
| Certificates (証明書) |
|
最後に
これらを考慮すると、緊急アクセス用管理者アカウントは 「FIDO2 Security Key」 の利用がよいのでは？ と私は考えてます。
皆さんが MFA 対応される場合の参考になればと思います。
実際に社内の緊急アクセスアカウントに設定してみましたので、次回は FIDO2 セキュリティ キーを利用した MFA 設定方法を備忘録としてご紹介します。
Microsoft 365 管理者向けコース
- CI505-H Microsoft 365 運用管理
Microsoft 365 の運用管理において必要となる知識を習得し、行うべき設定項目を理解いただけます。アカウントやデバイス管理の必須となる Azure AD に対する必須知識から、Exchange Online、Microsoft Teams、SharePoint Online、OneDrive for Business などの各サービスに対して行うべき設定、推奨される設定、理解しておきたいしくみなど、運用管理に必要となる内容を基本から、運用にもとめられるレベルまで解説します。また入退社や人事異動への対応方法、監査ログや検疫といったセキュリティ・コンプライアンス対策のために行うべきこともあわせてご紹介します。 - CI509-H Microsoft 365 デバイス運用管理
IT 担当者を対象に、安全なモバイルワークを実現する第一歩である Microsoft 365 でのデバイスの管理や運用手法について解説します。デバイスの安全性を高めるために Microsoft Entra ID や Microsoft Intune により、OS のバージョン管理、利用可能とするアプリの許可、接続するネットワークの制限、デバイスの盗難や紛失、退職者のデバイスを正しく管理する方法などを解説します。本コースでは iPhone を使用した実習を行うため、モバイルデバイスの管理方法について、動作を確認しながらさまざまな機能をご理解いただけます。 - CI507-H Microsoft 365 情報保護とコンプライアンス
Microsoft 365 の管理者を対象に、ファイルやメール、チームといった Microsoft 365 内の情報を保護するために必要な基本知識や利用すべき機能、および利用方法を解説します。 - CI508-H Microsoft 365 PowerShell による管理効率化
Microsoft 365 に対する運用管理で PowerShell を利用するための基本や Exchange Online、SharePoint Online、Microsoft Teams を設定するための便利なコマンドライン、設定を自動化するためのスクリプトの作成方法など、PowerShell による Microsoft 365 管理の基本から必須スキルを運用管理で利用できるサンプルをもちいて解説します。また、今後利用が推奨される Microsoft Graph PowerShell SDK の利用方法もあわせて解説します。