「Entra ID – 条件付きアクセスで多要素認証を強制」では、ユーザーがクラウド アプリにアクセスするときに、条件付きアクセスで多要素認証を強制しました。実際の運用では、社内の信頼できるネットワークからのアクセスは多要素認証を省き、ユーザーの手間を減らしたいという要件がよくあります。
この記事では、社内から接続するときの送信元の固定 IP アドレス（この記事では 1.2.3.4 と表記）を信頼し、その IP アドレスからのサインインでは多要素認証を求めないように、条件付きアクセスを変更します。
- 「多要素認証の信頼済み IP」を設定する手順
- 条件付きアクセスの「場所」で、信頼済み IP を対象外にする設定
- サインイン ログで、ポリシーが適用されなかった理由を確認する方法
この記事の構成
ポリシー「MFA強制」の「場所」の条件で、対象を「すべての場所」、対象外を「多要素認証の信頼済み IP」にします。社内（送信元 1.2.3.4）からのサインインは対象外の場所に当たるので、ポリシーが適用されず、多要素認証は求められません。
多要素認証の信頼済み IP を構成する
Microsoft Entra 管理センター（https://entra.microsoft.com/）で、保護 ›› 条件付きアクセス ›› ネームド ロケーション を開き、「多要素認証の信頼済み IP の構成」をクリックします。
多要素認証のサービス設定の画面が開くので、「trusted ips」に、多要素認証をスキップする IP アドレスの範囲を CIDR 形式で入力します。1つの IP アドレスなら /32 を付けます。入力したら「save」をクリックし、完了のメッセージで「close」をクリックします。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| Skip multi-factor authentication for requests from federated users on my intranet | ☐ |
| 1Skip multi-factor authentication for requests from following range of IP address subnets | 1.2.3.4/32 |
| ⋮ （中略：verification options など） | |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | IP アドレスの範囲 | 1.2.3.4/32（社内の送信元の固定 IP）。クラウドの多要素認証では、パブリック IPv4 アドレスの範囲を最大50個まで登録できる |
| 2 | save | 設定を保存する |
ここで登録した範囲は、条件付きアクセスの場所の一覧に「多要素認証の信頼済み IP」として表示されます。
条件付きアクセスを変更する
前の記事で作成した条件付きアクセスのポリシー「MFA強制」を開き、「条件」の「場所」をクリックします。
場所の条件を構成する
「構成」を「はい」にします。「対象」は「すべての場所」のままにし、「対象外」のタブで「選択された場所」を選びます。「選択」のリンクから「多要素認証の信頼済み IP」を選んで「選択」をクリックします。
| 1構成 | ◉ はい○ いいえ |
| 2ポリシーから除外する場所 | ○ すべての信頼できる場所◉ 選択された場所 |
| 選択 | 多要素認証の信頼済み IP |
| デバイス プラットフォーム | 未構成 |
| 3場所 | すべての場所 かつ 1 件を除く |
| クライアント アプリ | 未構成 |
| デバイスのフィルター | 未構成 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 構成 | はい。場所の条件を使う |
| 2 | 対象外 | 選択された場所：多要素認証の信頼済み IP |
| 3 | 場所 | 「すべての場所 かつ 1 件を除く」と表示されれば、信頼済み IP 以外のすべての場所が対象になっている |
| 4 | 保存 | ポリシーを保存する |
多要素認証のサービス設定にある信頼済み IP は従来の設定で、IPv4 しか登録できないこともあり、Microsoft Learn では条件付きアクセスの場所（ネームド ロケーション）を使うことが推奨されています。新しく設定する場合は、条件付きアクセス ›› ネームド ロケーション の「IP 範囲の場所」で社内の送信元 IP を登録して「信頼できる場所としてマークする」を有効にし、ポリシーの対象外に「すべての信頼できる場所」（または作成した場所）を指定します。現在の管理センターでは、条件の「場所」は「ネットワーク」という表記になっています。
動作を確認する
Windows 11 のデバイスにユーザーでサインインし、社内（多要素認証の信頼済み IP の 1.2.3.4/32）を経由して、Microsoft 365 のホーム（https://www.office.com/?auth=2）にアクセスします。多要素認証の画面は表示されず、そのままホーム画面が表示されました。
サインイン ログで確認する
Microsoft Entra 管理センターの条件付きアクセスの画面で、監視 ›› サインイン ログ を開きます。先ほどのアクセスのサインイン ログ（アプリケーション：OfficeHome）を開き、「条件付きアクセス」タブをクリックすると、ポリシー「MFA強制」の結果が「適用されていません。」になっていました。
| ポリシー名 | 制御の許可 | セッション制御 | 結果 |
|---|---|---|---|
| 1MFA強制 | 多要素認証を要求する | 適用されていません。 |
ポリシー名「MFA強制」をクリックすると、条件ごとの判定がわかります。「場所」が「一致しません」となっていて、対象外の場所からのサインインと判定されたため、ポリシーが適用されず、多要素認証が求められなかったことがわかります。
| ユーザー （伏せています） | 一致しました |
| アプリケーション OfficeHome | 一致しました |
| デバイスのプラットフォーム Windows10 | 構成されていない |
| 1場所 1.2.3.4 | 一致しません |
| クライアント アプリ Browser | 構成されていない |
| デバイス （伏せています） | 評価されていない |
| ユーザーのリスク | 構成されていない |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 場所：一致しません | 送信元 1.2.3.4 は対象外の場所（多要素認証の信頼済み IP）に当たるため、場所の条件に一致しない（赤）。ユーザーとアプリケーションは一致（緑）しているが、すべての条件を満たさないのでポリシーは適用されない |
社外の IP アドレスからサインインした場合は、場所の条件に一致してポリシーが適用され、前の記事と同じように多要素認証が求められます。
まとめ
| 項目 | 今回の設定・ポイント |
|---|---|
| 信頼する IP | 多要素認証の信頼済み IP：1.2.3.4/32（社内の送信元の固定 IP） |
| ポリシー | MFA強制（前の記事で作成）の「場所」：対象＝すべての場所、対象外＝多要素認証の信頼済み IP |
| 結果 | 社内からは多要素認証なし、社外からは多要素認証を要求 |
| 確認 | サインイン ログの「条件付きアクセス」タブ（結果と、場所の判定） |
| これから設定する場合 | 信頼済み IP の代わりに、IP 範囲のネームド ロケーションを信頼できる場所として使う |
コメント