Micrsoft 365 に緊急アクセス用管理者アカウントを準備する

緊急アクセス用管理者アカウント(Break Glass アカウント) とは、普段利用している管理者アカウントが利用できなくなった時など緊急時に使用する管理者アカウントのことです。

緊急アクセス用管理者アカウントの利用シーン

• 全体管理者アカウントのサインイン時、多要素認証で使用するモバイルデバイスを紛失してしまい、Microsoft 365 にサインインできない
• Azure AD の条件付きアクセス機能で、全体管理者アカウントのサインインがブロックされてしまった

上記のような管理者アカウントでアクセスできない状態が発生した時に、緊急アクセス用管理者アカウントがあれば、サインインできない全体管理者アカウントを利用できるように設定変更が行えます。

緊急アクセス用管理者アカウントの注意点

緊急アクセス用管理者アカウントは、どのようなトラブル時でも利用できるアカウントである必要があります。そのため、組織のアカウントの運用管理と同じルールではなく以下のような点を考慮して管理を行います。

• 通常のシステム運用では使用しない。
• アカウントは Azure Active Directory で作成・管理する。
• 永続的な全体管理者権限を付与する。
• onmicrosoft.com ドメインを使用したアカウントとする (カスタムドメインアカウントにしない)。
• 多要素認証や条件付きアクセス機能、セルフサービス パスワード リセット機能の設定対象から除外する。
• アカウントの利用を定期的に監査する。
• 少なくとも 90 日に一度は、アカウントとパスワードが利用できるか確認する。
• 緊急アクセス用管理者アカウントを知っているシステム管理者の異動や退職があった時は、パスワードを変更する。
• パスワードは、16 文字以上の長さでランダムに生成する。
• パスワードは 2 つ以上に分けて、異なる紙に書き記し、個別に金庫等で厳重に保管する。

まとめ

自然災害などの予期しない状況の発生や多要素認証や条件付きアクセス機能でMicrosoft 365 へのアクセスがブロックされてしまった、管理者アカウントの流出によりパスワードが書き換えられたなど、Microsoft 365 の緊急事態に備えて、緊急アクセス用管理者アカウントを用意しておくことをお勧めします。

参考 URL
https://docs.microsoft.com/ja-jp/azure/active-directory/roles/security-emergency-access#validate-accounts-regularly