Microsoft MD-102: アイデンティティ、アクセス、条件付きアクセス — 学習ガイド

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Endpoint Administrator Associate MD-102 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Microsoft 365におけるID、アクセス、条件付きアクセスは、ユーザー、デバイス、アプリが企業リソースに対してどのように認証・認可されるかを確立します。Azure AD 条件付きアクセス (CA) は、ユーザーとデバイスの状態、場所、リスクなどのシグナルを評価し、MFA、準拠デバイス、アプリ保護、セッション制限などの制御を強制します。Azure AD Identity Protectionのリスクベースのポリシーは、侵害されたユーザーや危険なサインインに対する修復を自動化します。プライマリ更新トークン (PRT) はAzure AD参加済みデバイスでシームレスなシングルサインオンを提供し、Enterprise State Roamingはデバイス間で生産性の高いユーザーエクスペリエンスを維持します。Privileged Identity Managementは、管理者に対してジャストインタイムの権限昇格を強制します。最後に、Intuneと条件付きアクセスの両方で正確なターゲティングを行うためには、適切に構造化されたAzure ADグループ戦略が不可欠です。

条件付きアクセス: 条件、許可制御、名前付きの場所、MFA戦略

条件付きアクセスは、条件を評価し、許可/セッション制御を適用して、トークン発行時にYes/Noの決定を下します。CAポリシーは、プライマリ認証の後、アクセストークンが発行される前に評価されます。

習得必須の主要な条件:

• ユーザーとグループ: ポリシーの対象範囲をスコープします。パイロット運用や緊急アクセス用アカウントを除外するために、含める/除外するロジックを使用します。
• クラウドアプリまたはアクション: 特定のアプリ (例: Exchange Online, SharePoint Online, カスタムエンタープライズアプリ) またはユーザーアクション (セキュリティ情報の登録) を選択します。
• デバイスプラットフォームとデバイスの状態: OSでフィルターし、ゼロトラストのデバイス要件を満たすために、デバイスの準拠またはハイブリッドAzure AD参加を要求します。デバイスの準拠はIntuneによって通知され、デバイスが評価されて準拠済みとしてマークされる必要があります。
• 場所: 名前付きの場所を使用して、国/地域またはIP範囲で含める/除外します。信頼できるネットワークの出口を「信頼済み」としてマークし、必要に応じて制御を緩和します。
• クライアントアプリ: 先進認証クライアント (ブラウザー、先進認証対応Officeクライアント) とレガシープロトコル (IMAP/POP/SMTP/ActiveSync基本認証) を区別します。先進認証を許可しつつレガシー認証のみをブロックするには、クライアントアプリの条件と、レガシークライアントに対するブロックの許可制御を組み合わせて使用します。
• サインインリスクとユーザーリスク: Identity Protectionからリスクシグナルを取り込み、サインイン時またはアカウントの侵害に基づいて、ステップアップ認証やブロックの決定をトリガーします。

許可制御は、アクセスするために満たすべき要件を定義します:

• 多要素認証を要求する
• デバイスを準拠済みとしてマークすることを要求する
• ハイブリッドAzure AD参加済みデバイスを要求する
• パスワードの変更を要求する (リスク修復)
• 利用規約を要求する
• 承認済みクライアントアプリやアプリ保護ポリシーを要求する (登録なしのMAM向け)

セッション制御は、認証後の動作を形成します:

• サインインの頻度と永続的なブラウザーセッション
• リアルタイムのセッション検査のためのConditional Access App Control (Microsoft Defender for Cloud Apps経由)
• 高い保証が要求される場合に回復性の既定値を無効にする

ポリシーライフサイクルのベストプラクティス:

• まずはレポート専用モードで影響を検証する
• 一般的なシナリオ (例: レガシー認証のブロック、管理者ロールの保護) にはポリシーテンプレートを使用する
• CAをバイパスする緊急アクセス用アカウントを常に含める
• 「デバイスの準拠を要求する」とIntuneのコンプライアンスポリシーを組み合わせて、OS、暗号化、ウイルス対策、脱獄/ルート化のチェックを強制する

名前付きの場所と信頼できるIP範囲:

• 名前付きの場所は、国/地域 (IP-to-geoに基づく) または特定のIPv4/IPv6 CIDR範囲にすることができます。名前付きの場所を信頼済みとしてマークすると、除外として使用したり、制御を緩和したり (例: 信頼できるオフィスでのMFAバイパス) することができます。効果があるのはパブリックな出口IPのみで、NAT化されたプライベートIPは外部から見えません。
• Identity Protectionは、信頼できる名前付きの場所を、見慣れないサインインの検出において低リスクとして扱うことができます。企業の出口IPの信頼できるリストを維持し、誤検知を避けるために最新の状態

ID 保護、ユーザーとサインインのリスク、シームレス SSO における PRT の役割

Azure AD Identity Protection (AIP) は、機械学習と Microsoft の脅威インテリジェンスを使用して、確率論的なリスクを計算します。

• サインイン リスクは、各認証をリアルタイムで評価します (例: 見慣れないサインイン プロパティ、非典型的な移動、マルウェアにリンクされた IP、匿名 IP)。
• ユーザー リスクは、ID が侵害されている可能性を反映します (例: 漏洩した資格情報、異常なサインインの繰り返し)。

ポリシー:

• サインイン リスク ポリシー: 中/高のサインイン リスクに対して、「MFA を要求する」または「アクセスをブロックする」を適用します。これは、リスクの高い認証の瞬間にステップアップ認証を行うのに最適です。
• ユーザー リスク ポリシー: 中/高のユーザー リスクに対して、「パスワードの変更を要求する」または「アクセスをブロックする」を適用します。これにより、SSPR/MFA を介した安全なパスワード リセットを強制することで、侵害された ID を修復します。
• 統合: アプリごとに正確な制御を行うために、「サインイン リスク」または「ユーザー リスク」を条件として CA ポリシーを構成します。緊急アクセス用アカウント (break-glass account) は除外します。名前付きの信頼できる場所を使用して、誤検知を減らします。
• ライセンスと監査: Identity Protection には Azure AD Premium P2 が必要です。リスク検出と調査のワークフローを使用して、リスクの確認、無視、または修復を行い、ログを SIEM にエクスポートします。

プライマリ更新トークン (PRT) と Azure AD 参加済みデバイスでのシームレス SSO:

• PRT は、デバイスのサインイン時 (Azure AD 参加済みまたはハイブリッド Azure AD 参加済み) に発行される、デバイスにバインドされたユーザー スコープの更新トークンです。OS の資格情報スタックに存在し、利用可能な場合は TPM によって保護されます。
• PRT は、Web Account Manager (WAM) と MSAL を介して Azure AD 統合アプリへの SSO を可能にし、繰り返しのプロンプトを排除します。最初のサインインが MFA を満たした場合、PRT は MFA 要求を保持し、サインイン頻度の有効期限が切れるかポリシーが変更されるまで、新しいプロンプトなしで CA の「MFA を要求する」を満たすことができます。
• 更新とセキュリティ: PRT は定期的に更新され、デバイスの存在を表明するために nonce チャレンジを受けることがあります。デバイス登録を取り消すか、ユーザーを無効にすると、その後のトークン発行が無効になります。
• シームレス SSO との関係: Azure AD シームレス SSO (Azure AD Connect 経由の Kerberos ベース) は、主に PHS/PTA を使用して企業ネットワーク上のドメイン参加済みマシンにメリットをもたらします。Azure AD 参加済みデバイスは SSO のために PRT に依存します。AADJ デバイスがクラウド リソースへの SSO を実現するためにシームレス SSO は必要ありません。

Enterprise State Roaming、PIM、および正確なターゲット設定のためのグループ戦略

Enterprise State Roaming (ESR):

• ESR は、Azure AD ユーザーのサポートされている Windows 設定と特定のアプリ設定を、Azure AD 参加済みおよびハイブリッド Azure AD 参加済みデバイス間で同期します。例としては、個人用設定、言語、一部の Windows アプリ設定が含まれますが、ドキュメントや任意のファイルは含まれません。
• Azure AD テナント設定で ESR を有効にし、すべてのユーザーまたは選択したユーザーにスコープを設定します。データは転送中および Azure での保存時に暗号化され、キーはテナント スコープです。ESR は、デバイスの交換や Autopilot プロビジョニング時の再構成時間を短縮し、プロファイル管理ソリューションを補完しますが、置き換えるものではありません。

ジャストインタイムの管理者アクセスのための Privileged Identity Management (PIM):

• PIM (Azure AD P2) は、ユーザーを特権ロール (例: 全体管理者、Intune 管理者、セキュリティ管理者) や特権アクセス グループ (PAG) に永続的に割り当てるのではなく、対象 (eligible) にします。
• アクティブ化には、MFA、正当な理由、チケット番号、承認を要求でき、開始/終了を強制する時間制限を設けることができます。これにより、不変の監査レコードが生成され、過剰なアクティブ化に対するアラートが発せられます。
• PIM を使用して、常設の特権を減らし、影響範囲 (blast radius) を限定し、コンプライアンス要件を満たします。Intune の場合、管理者を Intune 管理者ロールまたはスコープ指定された Intune RBAC が付与された PAG の対象にします。影響の大きいロールには承認を要求し、アクティブ化を勤務時間内に制限します。

Intune と CA でのターゲット設定のための Azure AD グループ:

• 割り当て済みグループ: 静的なメンバーシップで、パイロット運用や属性が不十分な場合に最適です。管理が簡単で確定的です。
• 動的ユーザー グループ: ユーザー属性 (例: department, usageLocation, jobTitle) からメンバーシップが計算されます。ユーザー スコープのポリシー、アプリの割り当て、ライセンス ガバナンスに最適です。Azure AD Premium P1 が必要です。
• 動的デバイス グループ: デバイス属性 (例: deviceOSType, deviceOwnership, enrollmentProfileName, deviceCategory) に基づくメンバーシップです。デバイス スコープのポリシーやアプリの展開に最適です。
• Intune のターゲット設定ガイダンス:
  • ユーザーベースのポリシー (例: アプリ保護ポリシー、Office アプリの割り当て) にはユーザー グループを使用し、デバイスベースのプロファイル (例: 構成、コンプライアンス) にはデバイス グループを使用します。
  • グループの乱立と評価の遅延を減らすために、「すべてのデバイス」の割り当て全体で高精度のスコープ設定を行うには、Intune デバイス フィルターの使用を推奨します。
  • 条件付きアクセスでは、ポリシーのスコープをユーザーとワークロード ID に設定します。デバイスのプロパティによって適用範囲を絞り込む必要がある場合は CA 内でデバイス フィルターを使用し、「デバイスは準拠済み」または「ハイブリッド参加済み」を要求してデバイスの態勢を強制します。
• 衛生管理: 動的評価で予測不能な遅延を引き起こす入れ子になったグループの使用は避けてください。メンバーシップの処理を監視し、緊急アクセス用アカウントやサービス アカウントのためのフォールバック除外を設計します。

まとめ：セキュアでモダンなアクセスパターンの構築

クラウドファーストのエンドポイントに対する堅牢なパターン：

• レガシープロトコルを対象範囲とするクライアントアプリの条件と、ブロックの許可コントロールを持つCAポリシーを使用して、レガシー認証をブロックする。
• 機密性に応じたポリシーのスコープ設定（例：Exchange/SharePointおよびすべての管理者ポータルにMFAを要求）により、CAベースのMFAを強制する。競合を防ぐため、ユーザーごとのMFAは廃止する。
• デスクトッププラットフォームにはデバイスのコンプライアンスを要求し、サインイン頻度のセッション制御を行う。モバイルのBYODについては、デバイス登録なしで、承認済みクライアントアプリとアプリ保護ポリシーを要求する。
• Identity Protectionを活用する：中程度のサインインリスクにはMFAを要求し、高いサインインリスクはブロックし、中程度/高いユーザーリスクにはパスワードの変更を要求する。
• 名前付きの場所を使用して、信頼された企業ネットワーク上でのユーザーの負担を軽減しつつ、必要に応じてデバイスのコンプライアンスとセッション制御を引き続き強制する。
• Azure AD参加済みデバイスがPRTを取得してシームレスなSSOを実現できるようにし、該当する場合はIntuneのコンプライアンスとDefender for Endpointのシグナルでサポートする。
• PIMで管理者アクセスを統制し、定期的なアクセスレビューを実行する。

実践的な問題シナリオ

Fabrikam社は、グローバルな従業員向けに、Intuneで管理されるAzure AD参加済みのWindows 11ノートPCを展開しています。セキュリティ要件として、レガシー認証のブロック、リスクに基づいたMFAの強制、Microsoft 365アクセスに対する準拠デバイスの義務付け、SSOの有効化、そして頻繁なプロンプトによるユーザーの負担の最小化が求められています。管理者は必要な場合にのみ権限を昇格させる必要があります。ユーザーは新しいデバイス間でもデスクトップの個人設定を維持できる必要があります。

1. 条件付きアクセスのベースラインを実装する

• 「レガシー認証のブロック」CAポリシーを作成する：すべてのユーザーを対象とし、2つの緊急アクセス用アカウントを除外し、すべてのクラウドアプリを対象とし、クライアントアプリをレガシープロトコルに設定し、ブロックを許可する。 理由：これにより、モダン認証アクセスを維持しつつ、レガシープロトコルのみを正確にブロックできます。

2. Microsoft 365にMFAとデバイスコンプライアンスを要求する

• 「M365アクセスには準拠デバイスまたはMAMが必要」CAポリシーを作成する：すべてのユーザーを対象とし、Exchange OnlineとSharePoint Onlineを含め、Windows/macOSに対してはデバイスが準拠済みとしてマークされていることを要求する。iOS/Androidに対しては、承認済みクライアントアプリとアプリ保護ポリシーを要求する。セッション制御のサインイン頻度を14日に設定する。 理由：セキュリティとユーザビリティのバランスを取り、管理対象エンドポイントにはゼロトラストを、登録不要のBYODにはMAMを強制します。

3. Identity Protectionでリスクベースの保護を有効にする

• サインインリスクポリシーを構成する：中程度以上にはMFAを要求し、高リスクの場合はアクセスをブロックする。
• ユーザーリスクポリシーを構成する：中程度以上にはSSPR+MFAを使用したパスワード変更を要求する。 理由：リアルタイムおよびアカウント侵害の修復を自動化し、インシデント対応時間を短縮します。

4. 名前付きの場所を確立する

• Fabrikam社のデータセンターと各地域のオフィスの名前付きIP範囲を定義し、信頼済みとしてマークする。 理由：既知の出口ポイントからの不要なMFAプロンプトを減らし、リスクシグナルの精度を向上させます。

5. Azure AD参加済みデバイスでPRTによるシームレスなSSOを確保する

• Windows Autopilot（Azure AD参加）とIntuneでデバイスを登録する。dsregcmd /statusを使用してPRTの発行を確認し、時刻同期とTPMが正常であることを確認する。 理由：PRTはデバイスに紐付けられたSSOを提供し、該当する場合にはCAのMFA要求を満たし、繰り返しのプロンプトを排除します。

6. Azure ADグループを使用してIntuneのコンプライアンスとターゲット設定を構成する

• プラットフォームと所有者ごとに動的デバイスグループを作成し、コンプライアンスポリシー（暗号化、最小OS、Defenderの状態）を適用する。Intuneデバイスフィルターを使用して、構成プロファイルとWin32アプリの「すべてのデバイス」の割り当てを調整する。 理由：グループの乱立と評価の遅延を最小限に抑えながら、準拠デバイスのみがアクセスできるようにします。

7. PIMで特権アクセスを統制する

• ヘルプデスクをIntune Help Desk OperatorおよびEndpoint Security Managerロールに割り当て可能にする。Cloud OpsをIntune Administratorに割り当て可能にする。より高い権限のロールには、MFA、正当な理由、および承認付きの4時間のアクティブ化ウィンドウを要求する。 理由：常設の特権を削減し、最小権限の原則を徹底し、監査可能なアクティブ化を提供します。

8. Enterprise State Roamingを有効にする

• すべてのAzure ADユーザーに対してESRを有効にする。どの設定がローミングされるかを周知し、パイロットデバイスで同期を検証する。 理由：デバイスの交換後もユーザーの個人設定を維持し、ライフサイクルイベント中の生産性を向上させます。

この設計では、コンテキストに応じた強制のために条件付きアクセスを、自動化されたリスク修復のためにIdentity Protectionを、Azure AD参加済みデバイスでの摩擦のないSSOのためにPRTを、正確なポリシーのターゲット設定のためにIntuneと動的グループを、ジャストインタイム管理のためにPIMを、そして一貫したユーザーエクスペリエンスのためにESRを使用しており、これらすべてがゼロトラストと運用効率に沿ったものです。

← エンドポイントセキュリティと Microsoft Defender · すべてのドメイン · 共同管理とハイブリッド環境 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →