条件付きアクセスはゼロトラストの中核です。MFA必須→デバイス信頼性→場所制限→リスクベースの順に段階的に導入しましょう。
条件付きアクセスとは
条件付きアクセス（Conditional Access）は、Microsoft Entra IDの機能で、「誰が」「どのデバイスから」「どこから」「何にアクセスするか」に基づいてアクセスを制御するゼロトラストの中核技術です。Microsoft 365 Business PremiumのEntra ID P1で利用できます。
設計パターン集
パターン1：MFA必須（全ユーザー）
| 条件 | 設定 |
|---|---|
| 対象ユーザー | すべてのユーザー |
| 対象アプリ | すべてのクラウドアプリ |
| アクセス制御 | MFAを要求 |
最も基本的なポリシー。すべてのアクセスにMFAを必須化します。
パターン2：会社管理デバイスのみアクセス許可
| 条件 | 設定 |
|---|---|
| 対象ユーザー | すべてのユーザー |
| デバイスの状態 | Intune準拠デバイスのみ |
| アクセス制御 | 準拠デバイスを要求 |
個人デバイスからのアクセスをブロックし、会社管理のPC・スマホのみ許可します。
パターン3：個人デバイスはブラウザのみ（ダウンロード禁止）
| 条件 | 設定 |
|---|---|
| 対象ユーザー | すべてのユーザー |
| デバイスの状態 | Intune非準拠デバイス |
| セッション制御 | アプリの条件付きアクセス制御を使用（ダウンロード禁止） |
BYODを許可しつつ、データの持ち出しを防止する設計です。
パターン4：海外アクセスのブロック
| 条件 | 設定 |
|---|---|
| 対象ユーザー | すべてのユーザー（海外出張者を除外） |
| 場所 | 日本以外のすべての国 |
| アクセス制御 | ブロック |
パターン5：リスクベースのアクセス制御
| 条件 | 設定 |
|---|---|
| サインインリスク | 中以上 |
| アクセス制御 | MFAを要求＋パスワード変更を要求 |
Entra ID Protection（P2ライセンス）が必要ですが、不審なサインインを自動検知して追加認証を要求する高度な制御です。
パターン6：管理者アカウントの強化
| 条件 | 設定 |
|---|---|
| 対象ユーザー | グローバル管理者、Exchange管理者等の特権ロール |
| アクセス制御 | MFA必須＋準拠デバイス必須＋セッション有効期間を短縮（1時間） |
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Entra ID コンサルティング を見る →設計のコツ
- レポート専用モードで事前検証：本番適用前にレポート専用モードでポリシーの影響を確認
- 緊急アクセス用アカウント：条件付きアクセスの設定ミスで全員ロックアウトされるのを防ぐため、MFA除外の緊急アカウントを1つ用意
- シンプルに始める：最初はパターン1（MFA必須）から始め、段階的にパターンを追加
よくある質問
条件付きアクセスとは何ですか？
「誰が」「どのデバイスから」「どこから」「何にアクセスするか」に基づいてアクセスを制御するMicrosoft Entra IDの機能で、ゼロトラストの中核技術です。
まずどのポリシーから始めるべきですか？
全ユーザー・全クラウドアプリにMFAを要求するパターン1から始めます。シンプルに始めて、会社管理デバイスのみ許可（Intune準拠デバイス必須）、個人デバイスはブラウザのみでダウンロード禁止、と段階的に追加するのが安全です。
管理者アカウントには何を設定しますか？
グローバル管理者やExchange管理者などの特権ロールに対して、MFA必須＋準拠デバイス必須＋セッション有効期間の短縮（1時間）を組み合わせます。
設定ミスで全員がロックアウトされるのを防ぐには？
本番適用前にレポート専用モードでポリシーの影響を確認すること、そしてMFAなどの制御から除外した緊急アクセス用アカウントを1つ用意しておくことです。
まとめ
条件付きアクセスはゼロトラストの中核です。MFA必須→デバイス信頼性→場所制限→リスクベースの順に段階的に導入しましょう。