社内IPからならパスワードだけで認証許可、社外IPからならMFAを要求する、というのはよくある話。

インターネットアクセス用のIPが変更になるので、Azure ADに信頼できるIPを追加しようと思ったら自分で設定したにも構成がみつけられず、やられてしまったので備忘録を兼ねてまとめてみた。

条件付きアクセス

Azure ADではの条件付きアクセスは、最近のSaaS関係の相談も多いのでよく触ってる。特定のIPを「場所」として登録しておき、場所ごとに「信頼できる場所としてマーク」できる。
その上で、条件付きアクセスで「MFAを要求する、ただし信頼できる場所を除く」という設定を行う。
あとは、対象のアプリやらユーザーを設定すれば適用できる。

ここにあるはず・・・と、既存の構成の「信頼できる場所」に登録しているはずと思ってたら見つからなくて一人パニックに。どこで設定したんだ、俺。

Azure Multi-Factor Authentication

方々調べてみて、教えてもらったのがこっちの設定。
Azure Active Directry - セキュリティ - MFA にある、追加のクラウドベースのMFA設定。
少々古めかしいデザインの画面。ここでIP追加して、
https://account.activedirectory.windowsazure.com/usermanagement/mfasettings.aspx
あとは、ユーザーごとに有効あるいは強制を適用すればOK。365管理センター - ユーザー - アクティブなユーザーの編集で「多要素認証の管理」から以下の画面を表示できる。
https://account.activedirectory.windowsazure.com/UserManagement/MultifactorVerification.aspx

同じような機能なら、まとめてよね・・・。

なんとなく、だけどAzure AD MFA はすべてのアプリに一律強制っぽい。一か所設定すれば適用できるし、あとはユーザーさえ追加すればいいので管理はラク。

しかし、細かい制御ができたり、複数の条件を組めるという点では、条件付きアクセスのほうが自由度が高い。漏れているケースを考えなきゃいけないので慣れが必要ではあるけど、構成の自由度を求めるなら条件付きアクセス。

ザックリまとめると、こんな感じ。間違ってたらご指摘ください。

Azure AD MFA での構成をすべて条件付きアクセスに作り直しして、Azure AD　MFA の設定はすべて削除しました。

もともと、複数の条件付きアクセス設定を使ってたし、ゲストユーザーのアクセス制御にも使ってたから、1箇所に集めるほうが管理も分散しないし。これですっきりしました。