条件付きアクセスポリシーを考える（２）

以前の記事で、条件付きアクセスについて簡単に説明し、OSごとのアクセス制御ポリシーを作成してみました。

今回は、条件付きアクセスポリシーの基本的な考え方についてです。

条件付きアクセスの基本的な考え方

条件付きアクセスは、アクセスを制限するもの

条件付きアクセスポリシーは、アクセスを許可するためのものではなく、アクセスをブロックしたり制限をかけるためのものです。
基本的には、すべてアクセス許可された状態がスタートとなり、そこから、「ブロックもしくは制限をかけてアクセスさせたいパターンのブラックリストを作る」と言えます。

１．ブロックする
２．制限をかけてアクセスを許可する
３．設定しない（＝条件を付けずにアクセスを許可する）

のポリシーを作成することになります。

ポリシーには強さがある

例えば、ユーザーを対象にSharePoint Onlineへのアクセスを制限する条件付きアクセスポリシーを２つ作成したとします。

この場合、ユーザーがSharePoint Onlineにアクセスを試みるとどのような動作になるでしょうか？

結論から言うと、ユーザーはSharePoint Onlineにアクセスできません。

ポリシーには、強さがあります。これが先ほどの、数字１～３です。
「１」が一番強い制御で、「３」が一番弱い制御になります。

１．ブロックする
２．制限をかけてアクセスを許可する
３．設定しない（＝条件を付けずにアクセスを許可する）

２つのポリシーを見比べてみると、①のポリシーは、「２．制限をかけてアクセスを許可する」になります。②のポリシーは、「１．ブロックする」になります。
「１」と「２」では、「１」が強いため、ユーザーはSharePoint Onlineにアクセスできないという動作になります。

ポリシーに優先順位はありません

例えば、ユーザーを対象にSharePoint Onlineへのアクセスを制限する条件付きアクセスポリシーを３つ作成したとします。

この場合、ユーザーがSharePoint Onlineにアクセスを試みるとどのような動作になるでしょうか？

結論から言うと、ユーザーは、会社所有のWindows PCでかつ、多要素認証をパスできた時のみ、SharePoint Onlineにアクセス可能です。それ以外の場合は、アクセスできません。

３つのポリシーを見比べてみると、すべて、「制限をかけてアクセスを許可する」になり、前述の強さは同じになります。
条件付きアクセスポリシーを複数作成し有効化した場合、作成した順番による優先劣後の関係はありませんので、すべての条件が合致した場合のみ、アクセスできるという動作になります。

割り当て対象も考慮する必要があります

「社員にはアクセスさせたいが、派遣社員にはアクセスさせたくない」という制御はよくありますが、この場合、注意が必要です。
例えば、以下のポリシーのみが存在すると仮定します。

この場合、ユーザーAがSharePoint Onlineにアクセスを試みるとどのような動作になるでしょうか？

結論から言うと、ユーザーAは、多要素認証をパスできた時のみ、SharePoint Onlineにアクセス可能です。

では、ユーザーA以外がSharePoint Onlineにアクセスを試みるとどのような動作になるでしょうか？

（なかなかない条件ではあると思いますが）この場合、ユーザーA以外のユーザーは、多要素認証をパスしなくても、SharePoint Onlineにアクセス可能です。

割り当て対象を極端に狭めてしまうと設定漏れが発生しやすいので、注意したいポイントです。