ラボ 08 - 多要素認証を有効にする

ラボのシナリオ

組織のセキュリティを向上させるために、Microsoft Entra ID の多要素認証を有効にするよう指示されています。

推定時間:15 分

重要 - この演習には Microsoft Entra ID Premium ライセンスが必要です。

演習 1 - Azure で多要素認証を確認して有効にする

タスク1 - Azure Multi-Factor Authentication オプションを確認する

ディレクトリのグローバル管理者アカウントを使用して、https://entra.microsoft.com にアクセスし、サインインします。
検索機能を使用して、「多要素」を検索します。
検索結果で、[多要素認証] を選択します。

または、[ID] を開き、[保護]、[多要素認証] の順に選択することもできます。
[はじめに] ページの [構成] で、[追加のクラウドベースの MFA 設定] を選択します。
新しいブラウザーページには、Azure ユーザーの MFA オプションとサービス設定が表示されます。

ここで、サポートされている認証方法を選択します。上の画面では、すべてが選択されています。

ここでは “アプリパスワード” の有効/無効を切り替えることもできます。これにより、多要素認証がサポートされないアプリに対して一意のアカウントパスワードを作成できます。この機能を使うと、ユーザーはそのアプリに固有となる別のパスワードを利用し、Microsoft Entra の ID で認証できます。

タスク 2 - Delia Dennis の MFA の条件付きアクセスルールを設定する

次に、ネットワークにある特定のアプリにアクセスするゲストユーザーに MFA を強制する条件付きアクセスポリシールールを設定する方法を確認してみましょう。

Microsoft Entra 管理センターに戻り、[ID]、[保護]、[条件付きアクセス] の順に選択します。
メニューで [+ 新しいポリシー] を選択します。ドロップダウンから [+ 新しいポリシーの作成] を選択します。
ポリシーに名前を付けます。たとえば、MFA_for_Delia にします。
[割り当て] で [ユーザーまたはワークロード ID] を選択します。
- [ユーザーまたはワークロード ID が選択されていません] を選択します
- 右側の画面で、[構成するユーザーとグループを選択する] チェックボックスをオンにします。
- ユーザーとグループを確認します (使用可能なユーザーは右側に表示されます)
- ユーザーのリストから [Delia Dennis] を選択し、[選択] ボタンを選択します。
[ターゲットリソース] で [ターゲットリソースが選択されていません] を選択します。
- ダイアログボックスで、[クラウドアプリ] が選択されていることを確認します。
- [含める] で、[すべてのクラウドアプリ] にマークを付け、ロックアウトの可能性についてポップアップする警告に注意してください。
- [含める] で、選択を [アプリの選択] 項目に変更します。
- 新しく開いたダイアログで、[Office 365] を選択します。
  - リマインダー - 以前のラボで、Delia Dennis に Office 365 ライセンスを付与し、ログインして動作することを確実にしました。
- [選択] を選択します。
[条件] セクションを確認します。
- [場所] を選択し、[すべての場所] に対してそれを構成します。
[アクセス制御] で [許可] セクションを探し、[0 個のコントロールが選択されました] を選択します。
[多要素認証を要求する] チェックボックスをオンにして、MFA を適用します。
[選択したコントロールすべてが必要] が選択されていることを確認します。
[選択] を選択します。
[ポリシーを有効にする] を [オン] に設定します。
[作成] を選択し、ポリシーを作成します。

これで、選択したユーザーとアプリケーションに対して MFA が有効になりました。次回、ゲストがそのアプリにサインインしようとすると、MFA の登録が求められます。

タスク 3 - Delia のログインをテストする

新しい InPrivate ブラウジングウィンドウを開きます。
https://www.office.comに接続します。
サインインオプションを選択します。
「DeliaD@ <<your domain address>>」を入力します。
パスワードを入力します = テナントのグローバル管理者パスワードを入力します (注: 管理者パスワードを取得するには、[ラボリソース] タブを参照してください)。

注 - この時点で、2 つのことのうちの 1 つが起こります。 Authenticator アプリをセットアップして MFA に登録する必要があるというメッセージが表示されます。プロンプトに従って、個人の電話を使用して完了します。注 - 続行する方法に関するいくつかのオプションを含むログイン失敗メッセージが表示される可能性があります。この場合、 [再試行] オプションを選択します。

Delia 用に作成した条件付きアクセスルールのため、MFA は Office 365 ホームページを起動するために必要であることがわかります。

演習 2 - ログインを必要とするように MFA を構成する

タスク 1 - Microsoft Entra ユーザーごとに MFA を構成する

最後に、ユーザーアカウントに対して MFA を構成する方法を見ていきましょうこれは多要素認証設定にアクセスするもう 1 つの方法です。

Microsoft Entra 管理センターに戻り、左側のナビゲーションメニューで [ID] を探します。
[ユーザー]、[すべてのユーザー] の順に選択します。
[ユーザー] ウィンドウの一番上で、[Per-user MFA] を選択します。
新しいブラウザーのタブ/ウィンドウが開き、多要素認証のユーザー設定ダイアログが表示されます。

ユーザーを選択し、右側にあるクイック手順を利用することで、ユーザーベースで MFA の有効/無効を切り替えることができます。
チェックマークの付いた Adele Vance を選択します。
クイック手順で、[有効化] オプションを選択します。
通知ポップアップが表示されたらそれを読み、[多要素認証を有効にする] ボタンを選択します。
[閉じる] を選びます。
Adele が MFA ステータスとして有効になっていることに注意してください。
[サービス設定] を選択して、ラボの前半で見た MFA 設定画面を表示できます。
[MFA 設定] タブを閉じます。

タスク 2 – Adele としてログインを試みる

MFA ログインプロセスの別の例を見たい場合は、Adele にログインしてみてください。