はじめに

Microsoft Entra ID を活用していくと、皆がぶちあたるセキュリティの既定値群についてまとめてみました。

初めて聞いた際に、構成を変えてしまうと、どこに影響がでるのかが良くわからない点があるかと思います。私も今回深堀するまでは、そうでした。今回、セキュリティの既定値群を無効にしたり、有効にしたりして、どのように変化が生じるのかをまとめながら、そのあとに初回に条件付きアクセスをどう構成すれば良いのか・・までを記事化しました。

なお、本記事の第４章で 2025 年 4 月 25 日に公開された 条件付きアクセスポリシーテンプレートの高度な展開ガイド を使った展開方法にも触れています。ぜひ参考にしてください。

Support Blog：条件付きアクセスポリシーテンプレートの高度な展開ガイド
https://jpazureid.github.io/blog/azure-active-directory/advanced-deployment-guide-for-conditional-access-policy-templates/

1. セキュリティの既定値群とは？

Microsoft Entra ID で、条件付きアクセスを利用するためには、セキュリティの既定値群 を無効化する必要があります。

セキュリティの既定値群って言われても、初めは何のことが分からないと思います。セキュリティの既定値群とは、テナントのセキュリティレベルを適切な状態にするための複数の設定値の集まりのことを意味しているので、既定の設定値の群れを略して既定値群になっていると思われます。

セキュリティの既定値群を例えると・・・
セキュリティに疎い子供たちを守る、保護者のようなイメージだと思ってください。
保護者あり = セキュリティの既定値群が有効
まだ、世の中のことが分からない子供を外に出したら様々なリスクが伴うので、保護者が色々と先回りしたり、手を焼いたりして、トラブルを未然に防いでいます。

保護者なし = セキュリティの既定値群が無効
子供が成長して、もう自分で自分を守れるようになったら、保護を解いて自由にします。
自由になっても、リスクそのものは存在するので、自分の身は自分で守らなければなりません。

セキュリティの既定値群が有効の場合は、MFA が有効になり、初心者の管理者であっても、安全にテナントを運用できるようになっています。

しかし、その場合は、条件付きアクセスは利用できません。
条件付きアクセス を利用するためには、セキュリティの既定値群を無効にする必要があります。

無効化することで、管理者はテナントのセキュリティレベルを任意に制御することが可能になります。

その場合は、Microsoft の管理を外れて（親元から離れて）、管理者がテナントのセキュリティにおいて、全責任を持つことになります。セキュリティの脅威に対して、より強固なセキュリティを構成することも出来るようになりますし、何もしなければ、ノーガードの状態にもなるということです。

公開情報：Microsoft Entra ID のセキュリティの既定値群
https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults?wt.mc_id=mvp_407731

Support Blog：セキュリティ既定値群に対するアップデート
https://jpazureid.github.io/blog/azure-active-directory/update-to-security-default/

セキュリティの既定値群を無効にして、条件付きアクセスを使っていないテナント（つまり ID とパスワードのみの運用をしているテナント）については、以下の記事に記載されているとおり、セキュリティの既定値群を有効にするように、注意喚起が行われています。

Support Blog：2022 年 6 月末から「セキュリティの既定値群」の有効化が促されます (対象 : 一部のテナント)
https://jpazureid.github.io/blog/azure-active-directory/security-default-2022/

なぜセキュリティの既定値群の有効化が促されるのか？
セキュリティの脅威は、年を追うごとに増しています。
そのため、セキュリティの既定値群を無効にしつつ、条件付きアクセスを使っていない（いわゆるノーガード状態）では、もはやテナントを維持できない程の脅威となっています。
そのため、保護者である Micrsoft が、親心を働かせて「あなたそんな生活しているようではダメだよ。シャキッとしなさい。それができないならば、また親の保護下で生活しなさい！」と言ってくれているのです。

あと、これは推測ですが、テナントを乗っ取られた場合、それが詐欺など別の悪いことに使われる可能性があるのです。だから、乗っ取られてもいいや、検証用だから中に何も入ってないし・・・という考えでは、それ自体が世の中に迷惑を掛けているという事になります。

５年くらい前は、MFA が有効化されると、じゃまなのでセキュリティの既定値群を無効化して、ID とパスワードのみで運用できる・・・というノウハウのみが共有され、リスクのある状態が生まれやすい状態でした。もう、時代が変わりました。利用者も他社サービスなどで MFA を経験していますし、MFA 無しで情報セキュリティを守ることはできません。

2. セキュリティの既定値群の状態について

この章では、Azure Portal（または Microsoft Entra 管理センター）で確認することができる、セキュリティの既定値群の３つの状態について見ていきましょう。

① お客様の組織は、セキュリティの既定値群で保護されていません。
② お客様の組織は現在、条件付きアクセスポリシーを使用しています。
③ お客様の組織は、セキュリティの既定値群で保護されています。

セキュリティの既定値群の設定がある場所
[概要] - [プロパティ] タブを開いて下スクロールの最下段

（Azure Portal）

（Microsoft Entra 管理センター）

① お客様の組織は、セキュリティの既定値群で保護されていません。

セキュリティの既定値群が無効で無防備な状態であることを示しています。
セキュリティの既定値群の管理 というリンクを開くと、右ペインの画面が開きます。

注意
これは、リスクのある状態です。この状態のまま、長期放置することが無いようにしましょう。
その場合、気が付いたらハッキングされて乗っ取られてしまっているかもしれません。

早めに条件付きアクセスを構成するか、セキュリティの既定値群を有効に戻すかを考えましょう。

② お客様の組織は現在、条件付きアクセスポリシーを使用しています。

セキュリティの既定値群が無効で条件付きアクセスが利用されている状態です。

お客様の組織は現在、条件付きアクセスポリシーを使用しています。
これにより、セキュリティの既定値群を有効にすることができなくなります。
条件付きアクセスを使用して、セキュリティの既定値群の場合と同じ動作を有効にするカスタムポリシーを構成できます。

既に、条件付きアクセスが利用されている状態です。
いわゆる、自分の身は自分で守る必要がある。自己責任モード

注意
この状態がセキュリティ的に万全かというと、そうとは言い切れません。
条件付きアクセスの設定の内容によります。

単に条件付きアクセスのテストを行っただけで放置しているような状態の場合は、あらためて内容の棚卸をおこなって、適切な状態を維持しましょう。

場合によっては、セキュリテイの既定値群を有効に戻すことも検討しましょう。
セキュリティの既定値群を有効に戻すためには、条件付きアクセスポリシーをすべて削除すると、戻すことができるようになります。

③ お客様の組織は、セキュリティの既定値群で保護されています。

セキュリティの既定値群が有効で、守られている状態です。

テナントのセキュリティは、Microsoft に管理されており、安全な状態です。
但し、条件付きアクセスを使用するためには、セキュリティの既定値群を無効にする必要があります。

3. セキュリティの既定値群を無効化する手順

では、条件付きアクセスを使用するために、セキュリティの既定値群を無効化していきます。

注意
テナント内に業務利用者がいる状態の本番運用のテナントでは、いきなりセキュリティの既定値群の設定を変更することはお勧めしません。
かならず、検証用のテナントを用意して、十分に検証して理解を深めてから実施してください。

以下の画面から、セキュリティの既定値群の管理 を選択し、右ペインに表示された セキュリティの既定値群 の選択肢で無効を選択します。

すると、無効にする理由 というタイトルのアンケートを求められます。
組織では、条件付きアクセスの使用を計画しています を選択して、保存を押します。

条件付きアクセスポリシーを有効にして、セキュリティの既定値群を置き換えます
無効化する際に、以下の緑枠のチェックを ON にしたかどうかで、行われる処理に違いが生じます。

ON の場合は、適切な条件付きアクセスが自動的に構成されるようになっています。
なお、Microsoft Entra Premium P1 以上のライセンスが無い場合は、ON にすることはできません。

もし、テナントで条件付きアクセスを利用するためのライセンス Microsoft Entra Premium P1 以上 のライセンスが無い場合は、以下のように表示されます。

セキュリティの既定値群を無効にすると、ID とパスワードのみでサインインが可能となり、そのままでは危険な状態です（すぐにハッキングされてしまいます）
まずは、Microsoft Entra ID P2 の無料試用版ライセンスをアクティブ化して、条件付きアクセスをテストしましょう。

評価期間が終わったら、セキュリティの既定値群 を有効に戻すか、ライセンスを購入して条件付きアクセスを本格的に導入してください。以下の記事も参考にしてみてください。

Microsoft Entra テナントでライセンスを購入して利用を開始する
https://qiita.com/carol0226/items/efbeb78c93d903403676

① チェック OFF の場合（またはライセンス無し）

保存を押したあとに表示される確認ウィンドウのタイトルが セキュリティの既定値群の無効化 になっています。

無効化を押すと、以下のようにセキュリティの既定値群が無効になったことが通知されます。

ライセンス無しで切り替えた場合は、以下のように 条件付きアクセス は、なにも構成されていません。

これで、無防備な状態になっています。

② チェック ON の場合

保存を押したあとに表示される確認ウィンドウのタイトルが セキュリティの既定値群を無効にして、条件付きアクセスを有効にします になっています。

無効化を押すと、セキュリティの既定値群が無効になったと同時に、条件付きアクセスが構成された・・・という意味の通知が届きます。

チェック ON で切り替えた場合は、以下のようにあらかじめ４つの条件付きアクセスポリシーが用意された状態になっており、タグに MICROSOFT マネージド と書かれています。
このポリシーは、無効化することはできますが、削除することはできません。
(Azure Portal)

(Microsoft Entra 管理センター)

この状態であれば、セキュリティの既定値群を無効にしても、Microsoft が推奨する条件付きアクセスが構成されており、安全な状態です。

MICROSOFT マネージド のポリシーは、グレーアウトされた項目が多くあり、ポリシーのオン／オフと、多少の設定変更が行えますが、完全に自由なカスタマイズはできなくなっています。
管理者自身で、柔軟なポリシーを構成したい場合は、MICROSOFT マネージド のポリシーはオフにしたうえで次章の手順で、条件付きアクセスを構成してください。

公開情報：Microsoft が管理する条件付きアクセスポリシー
https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/managed-policies?wt.mc_id=mvp_407731

4. 条件付きアクセスを構成する

前章で、MICROSOFT マネージド で自動構成された場合は、安心ですが、そうではない場合は、以下の方法を使って、初回の条件付きアクセスを構成することをお勧めします。

なにも設定されていない場合は、テナントへのサインインが ID + パスワードのみになっているので、脆弱な状態です。簡単なパスワードを設定していると、簡単に乗っ取られてしまいます。

ここでは、以下の２通りの初回のポリシー展開方法をお伝えしたいと思います。
① 従来から存在するテンプレートでの展開方法
② 条件付きアクセスポリシーテンプレートの高度な展開ガイドでの展開方法
→　2025年4月25日に提供された新しい機能

① 従来から存在するテンプレートでの展開方法

＋新しいポリシーをテンプレートから のボタンを押します。

以下の４つのポリシーを１つずつ選びながら有効化していくと、MICROSOFT マネージド と同等の構成になります。

ぞれぞれのテンプレートで、レビューと作成 タブでポリシーをオンにします。

以下の状態になれば、MFA が有効化されて適切なセキュリティの状態になります。
(Azure Portal)

(Microsoft Entra 管理センター)
こちらでみると、ポリシーの作成者が ユーザー であることが確認できます。

この方法で作成したポリシーは、ユーザー管理 の扱いになっており、管理者が自由に設定変更や削除を行う事が可能です。

② 条件付きアクセスポリシーテンプレートの高度な展開ガイドでの展開方法

2025年4月25日に提供された新しい機能です。
ウィザード形式で、組織のセキュリティ要求に応じた条件付きアクセスポリシーを構成してくれる機能です。

Support Blog：条件付きアクセスポリシーテンプレートの高度な展開ガイド
https://jpazureid.github.io/blog/azure-active-directory/advanced-deployment-guide-for-conditional-access-policy-templates/

Microsoft 365 管理センターを開き、左ペインから セットアップ を開きます。続いて下スクロールして 条件付きアクセス (CA) ポリシーテンプレートを展開する を選択します。

　
以下の画面が表示されるため 始める を押します。

　
テンプレートのカテゴリでは 安全なファンデーション を選択して次へを押します。

　
以下の画面の通り、４つのポリシーにチェックを入れて、それぞれオンになるように構成します。この４つのポリシーが、"① 従来から存在するテンプレートでの展開方法" で４種類を展開したものと同等の内容になっています。

　
多要素認証方法の選択 を行う画面です。
ここで、Microsoft Authenticator の他に FIDO2 や証明書ベースの認証、一時アクセスパスなどを自由に選択することが出来るようになっており、① 従来から存在するテンプレートでの展開方法 には無かった機能かと思います。利用する機能にチェックを入れて次へを押します。

　
設定内容を確認して 構成の保存 を押します。

　
これで、ポリシーが作成されました。完了を押します。

　
本記事のキャプチャの内容と同じ設定で進めた場合は、結果的に、"① 従来から存在するテンプレートでの展開方法" で 4つのポリシーを展開した時と同じ構成になっています。
(Azure Portal)

(Microsoft Entra 管理センター)

ガイドを使って展開した場合は、以下のようにテナントの 認証方法 の設定値も変更されます。

この場合、展開ガイドを再度実行すると、選択肢がグレーアウトしてオフにできないのですが、この 認証方法 の各設定を いいえ にしてから、展開ガイドをリトライすると、グレーアウトが消えて選択できるようになります。
（グレーアウトの状態）
設定変更ができない

（認証方法を "いいえ" にしてから、展開ガイドを再実行）
自由に選択が可能

MICROSOFT マネージド をオフにしてから、① や ② の展開を行うことも可能です。
その場合は、以下の通りマネージドとユーザーが共存する形になります。

以上で、セキュリティの既定値群を無効化しつつ基本的な条件付きアクセスポリシーを構成することができました。

5. セキュリティの既定値群を有効に戻すには

ライセンスが失効した場合や、検証中で条件付きアクセスが不十分な場合は、本章の手順でセキュリティの既定値群を有効に戻しておきましょう。

セキュリティの既定値群を有効にするためには、条件付きアクセスポリシーが使われていない状態にする必要があります。

上記の画面の状態では、セキュリティの既定値群を有効には戻せません。

ポリシーを削除するか、オフにします。

MICROSOFT マネージドのポリシーは削除できません。
ユーザーのポリシーであれば、以下の方法で削除できます。

設定をオフにするには、MICROSOFT マネージドとユーザーで、ちょっと違います。
（MICROSOFT マネージド）
以下の状態欄で編集を開きます。

以下の画面で、オフを選択して、画面が閉じて上の画面に戻ったあと、保存を押します。

（ユーザー）
ポリシーを開いた際の、最下段の箇所でオフを選んで保存します。

ポリシーがすべてオフまたは削除されていれば、以下の通り セキュリティの既定値群の管理 のリンクが表示されるため、これを押して、有効にすることができます。

6. 条件付きアクセスの応用

前章で作成された条件付きアクセスをカスタマイズすることで、応用していくことが可能です。

条件付きアクセスをフル活用することで、ユーザー、場所、アプリ、認証方法などの複合的な条件を設定して、認証を行うことが出来るようになります。

本記事で紹介したテンプレート以外のものを展開したりして、設定値を分析し、検証することで、理解を深めていただくと良いと思います。

以下の公開情報の左ペインのチュートリアルや、操作方法ガイドを活用して、理解を深めていきましょう。

以下のトレーニングコンテンツも活用しましょう。

条件付きアクセスの応用だけで、複数の記事が書けてしまうほどに奥が深いため、本記事では取り上げません（それは、また別の機会に・・・）