はじめに

テナント制限には v1 と v2 があります。
v2 は、2023年5月からパブリックプレビューで提供された機能です。
v2 と識別するために、従来からあった「テナント制限」を v1 と呼ぶようになったようです。
この記事では、v1 と v2 の機能の違いや、組み合わせて使う必要性についてまとめてみました。

テナント制限とは何か？

テナント制限とはどういうものか？
それと、機密情報の流出を防ぐうえで、テナント制限と組み合わせて考える必要があるアクセス制御はどういうものがあるのかを、以下の記事にまとめました。ぜひこちらも参照ください。

テナント制限 v1 と v2 の違い

v1 と v2 の機能の違いを表にしてみました。

	テナント制限v1	テナント制限v2	備考
提供時期	以前から提供	2023年5月からパブリックプレビュー
プロキシサーバー	必須	不要	v1 では端末が必ずプロキシを経由するような構成が必要です。 v2 では端末から直接インターネットに出るような構成でも利用が可能です。
デバイス	すべてのデバイス	Windowsデバイスのみ	(★1) v2は他社製デバイスは制御できない
細かい制御	できない	テナント、ユーザー、グループ、アプリケーションを細かく制御可能
匿名アクセス	できてしまう	ブロック可能	v1 は匿名アクセスが穴
制御可能なアプリ	すべて	Microsoftアプリのみ	(★2) v2は他社製アプリをテナント制限できない

★ をつけた個所は、v2 のデメリットです。
★1 は、他社製デバイスが社内ネットワークに接続されないような対処策と組み合わせる必要があります。
（厳格な持ち込みPC持ち込み制限、 802.1x認証スイッチ、VDIの採用など）
★2 は、Chromeなどの他社製アプリにはテナント制限が掛けられません。
WDACポリシーを使うと Chromeなどが Microsoft 365などのテナントの認証を必要とするサイトへのアクセスだけを許可し、その他のアクセスをブロックさせることでその対策ができます。

（詳細：テナント制限 V1 と V2 を比較する）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#compare-tenant-restrictions-v1-and-v2

どう使い分けるべきか？

v1 と v2 は、それぞれメリット・デメリットがあるので、特長を踏まえて、v1 か v2 を単独で使うか、両方を組み合わせるかを考慮して活用すると良いと思います。

私の想像レベルですが、以下のようなシナリオが考えられそうです。

自社のネットワークに接続する端末を Windowsデバイスのみに統一できる場合

AVD を使っていて実質的に全クライアントが Windows10/11 のみであるまたは、L2 Switch で、802.1x認証を採用していて自社Windowsデバイス以外は物理的にアクセスされることが出来ない環境、厳格な持ち込み制限があり物理的に社外PCは持ち込めない、などのシチュエーションに適していると思います。
この場合は、「テナント制限v2」がお勧めです。
プロキシサーバーの運用が不要という点が、最大のメリットであり、すべて Microsoft提供のソフトウェア機能だけで実現できます。

テナント制限v2 のみを使った場合、端末上の Edge や Officeなどの MS製アプリの制限は可能なものの、Chrome や Safari などの外部アプリケーションにはテナント制限が掛かりません。制限を掛けるためには、WDAC を使って制御することが可能です。

社内LAN配下にさまざまな OSメーカーのデバイスがあり、匿名アクセスは容認できる

社内LAN環境には、Windows以外に Mac、ChromeBook、タブレット、スマホなど、あらゆるデバイスが接続されているような環境の場合は、「テナント制限v1」がお勧めです。
プロキシサーバーの導入が必要になってしまいますが、テナント側とプロキシサーバーの設定のみで構成することができ、端末側は何も設定する必要はありません。

自社のネットワークには、さまざまな OSメーカのデバイスが接続可能で、テナント制限では細かい制御が必要となる場合

「テナント制限 v1 と v2」を組み合わせてハイブリッドで導入することをお勧めします。
「テナント制限v1」を使って、社内の全デバイスからの他社テナントへのサインインを制限します。しかしこれだけでは、匿名アクセスが許可されてしまうし、テナントごとの制御やユーザー・グループごと、アプリケーションの種類などによって、テナント制御のON/OFF をコントロールすることはできません。
そのため、「テナント制限v1」で、ブロックすべきおおざっぱなテナント制御を構成しておき、より細かい制御が必要な部分を「テナント制限v2」でさらに制限を強化します。

関連記事

私の方でテナント制限v2 を実装する方法について、記事化してあります。
画面キャプチャ付きで、判りやすく手順化していますので、ぜひ、参照いただきお試しください。

以降で紹介する記事は、私は未だ検証はできていないのですが、色々なサイトを見てきたなかで判りやすくまとめられていて、私も参考にさせていただいた記事です。

テナント制限v1 の関連記事

テナント制限v2 の関連記事