前回の記事の続きになります

テレワークに伴い、
自社PCの配布が行き届いておらず、個人のPC利用している
顧客環境のPCを利用して仕事をしている

という方は多いと思いますが、自社で管理できないPCに勝手に自社の情報が
ダウンロードされてしまうのは困ると思います。

そこでダウンロードを防止する方法を考えてみました。

いつも通り条件付きアクセスを利用しますが、ダウンロード防止にはMCAS(Microsoft Cloud App Security）を使用してみました。
MCASのセッションポリシーは、ブラウザーアプリにのみ対応しているようです
デスクトップアプリでは制御できないので、
そこを考慮して考えてみます
MCASでサポートしているブラウザーは以下のようです。(各最新バージョン)
Microsoft Edge/Google Chrome/Mozilla Firefox/Apple Safari

#条件付きアクセスの設定
###デスクトップアプリのブロック
MCASがブラウザしか対応していないので、デスクトップアプリからのアクセスはブロックするようにしました。(自社で管理していないPCからのアクセスはデスクトップアプリの利用を禁止）

今回もテストユーザを使用します

アプリをOffice 365に設定

場所の対象を[すべての場所]を選択

場所の対象外を[選択された場所ー自社用]を選択
※自社用はネームドロケーションで自社のGIP（グローバルIP）を設定しています

クライアントアプリは以下のように設定。ブラウザは通すようにしました。

デバイスの状態の対象を[すべてのデバイスの状態]を選択

デバイスの状態の対象外を以下のように設定
※準拠しているデバイスはモバイル/デスクトップアプリからでもブラウザでもアクセスさせるため、対象外としています。

許可を[アクセスのブロック]を選択します。

ポリシーを有効化して保存します

###MCAS用のポリシーを設定
続いて条件付きアクセスでMCASを利用するよう設定します

ユーザーをtestuserに設定

アプリはOffice 365を選択

場所の対象を[すべての場所]に設定する

場所の対象外を[選択された場所ー自社用]を選択
※自社用はネームドロケーションで自社のGIP（グローバルIP）を設定しています

アプリの条件付きアクセス制御を使う[カスタムポリシーを使用する]
を選択します

ポリシーを有効化して保存します

ここで条件付きアクセスの設定は終了です。

#MCAS(Microsoft Cloud App Security）の設定
続いて、MCASの設定を実施します。
MCASを用いて、Intuneに準拠していないPCで、office365利用時にダウンロードをブロックしてみようと思います。

intuneに準拠しているPCの除外設定を　条件付きアクセスと同じ挙動になるか
今回はあえてMCAS側で設定してみました。（MCAS側でもある程度条件付きアクセスと同じ設定が出来ます）

Cloud App Security ポータルにアクセス

Office 365の認証画面が出るので、管理者のアカウントでログインします。

Cloud App Security ポータル画面に遷移します

設定のアイコンからアプリの条件付きアクセス

Office365関連のアプリが表示されていることを確認して、制御から[ポリシー]を選択

ポリシー画面に遷移するのでポリシーの作成から[セッションポリシー]を選択

セッションポリシーの作成画面が表示されます

ここで以下のように設定しました

ポリシー名と説明は任意に決めます。

アクティビティソースで条件を決めます
アプリはoffice365に設定

デバイスを以下のように設定
等しくないと設定することで、条件付きアクセスと同じような設定ができます。
（intuneに準拠しているPCは　ダウンロードブロックの対象としない）

ブロックにチェックをいれる
メールで通知することと、ブロックのメッセージをカスタマイズしてみました

#テストしてみる
intuneに準拠していない外部PCから　onedriveにアクセスしたら
以下の表示がされました

そんなの無視無視！！とダウンロード試みたら　しっかりブロックされました。
設定したメッセージも表示されてます。

アクセス権がなくて、ブロックしたぞってメールもユーザに届いています。

intuneに準拠している端末は問題なく利用できることを確認しています。

#まとめ
無事にダウンロード制御できました。
もう少しテストが必要と感じますが、とりあえず社内で管理してないPC（出向先でPC借りている、自宅の個人PC等）からOffice365にアクセスしてもダウンロードを防止することができました。OWAでつないでいるメールからもダウンロードブロックできることを確認しています。

次回はもう少し制御の範囲を増やしてみようと思います！！
少しでも参考になれれば嬉しいです(^^♪