Microsoft Entra管理センターへのアクセスを禁止する方法について

@Michelle-N
ありがとうございます。

調査していくうちに、以下2つの制御方法で目的を達成できないかを考えております。

方法に関して適切か、リスクや懸念点や考慮が漏れている点がないか教えてください。

その他の方法で制御可能でしたら教えていただけますと幸いです。

■制御方法

【1】条件付きアクセスを設定する

⇒以下のようにMicrosoftEntra上から、条件付きアクセスを設定
ユーザ：対象：全てのユーザ
　　　　対象外：管理者アカウント＋その他制御から除外したいメンバーが入ったセキュリティグループ

ターゲットリソース：

　・P1: Microsoft Admin Portals
　　（一般社員対象、管理者＆非常口アカウント除外）。

　・P2: Windows Azure Service Management API
　　（Azure管理/ARM/CLI/PowerShell等の抜け道対策）

　・P3: Windows Azure Active Directory
　　（Graphの低特権スコープも実質カバー）

アクセス：ブロック

⇒最初は「レポート専用モード」にし、影響範囲を事前に確認。必要な対象者を対象外に設定した上で「オン」にする

**
【2】Entra ユーザー設定で「Microsoft Entra 管理センターへのアクセスを制限する」を有効にする**

■目的

・IT部門の管理者アカウント以外の、一般社員に関して、以下2点制御したい

　①全Microsoft365の管理センターへのサインイン禁止

　②全Microsoft365の管理センター上のリソースへのアクセスも禁止

　※現状、一般社員でも、EntraID管理センターにアクセスできるようになってしまっている

こんにちは @BCAzure01

お問い合わせいただき、また、具体的な制御方法をご提示いただきありがとうございます。テナントのセキュリティにおいて非常に重要な検討事項ですね。

ご提案いただいた2つの方法について、その妥当性、リスク、考慮漏れの可能性がある点などを、私の知識と公式ドキュメントに基づいて回答いたします。

■制御方法【1】条件付きアクセスについて

以前のやり取りでもお伝えした通り、私のテスト環境では、この設定の条件付きアクセスポリシーではアクセスを完全にブロックできない可能性が確認されています。テストでは、一般ユーザーがEntra管理センターにサインインできてしまいました（ただし、閲覧できるデータは制限されていました）。

そのため、私の推奨事項は以前と変わりません。最も効果的で安全な方法は、制限したいユーザーグループに [ディレクトリ閲覧者 (Directory Readers)] ロールを割り当てることです。

• なぜこの方法が優れているか： ポータルへのアクセスをブロックしようとすると抜け道が生まれる可能性がありますが、「ディレクトリ閲覧者」ロールは、ユーザーの権限そのものをテナント全体で「読み取り専用」に制限します。これにより、ユーザーが何かを変更することを根本的に防ぐことができ、セキュリティの目的をより確実に達成できます。これは、特定のアプリケーションへのアクセスをブロックするよりも、直接的で信頼性の高い権限管理の方法です。

■制御方法【2】Entraのユーザー設定について

公式ドキュメントによると、このアプローチには重大な制限があり、お客様の目的を完全には達成できません。

• この設定は、カスタムロールを含む、いかなる管理者ロールを持つユーザーにも適用されません。 管理者権限を一切持たないユーザーに対してのみ有効です。
• アクセスを完全には禁止できません。 ユーザーは他のポータルや直接リンク、またはPowerShellやGraph APIなどのAPIを経由して管理センターの一部にアクセスできる可能性があります。

この設定は、包括的なセキュリティ制御というよりは、管理者以外のユーザーによる 偶発的なアクセス の可能性を低減するためのツールと考えるべきです。もし一般社員の中に軽微な管理者ロールを持つメンバーがいる場合、この設定ではサインインとリソースアクセスを禁止するという目的は達成できません。

次の記事を参照してください: Microsoft Entra ID の既定のユーザー アクセス許可とは

@Michelle-N さん
ご回答いただきありがとうございます。
2点の内容に関して、内容確認いたしました。

追加でそれぞれ2点確認させてください。
【1】条件付きアクセスについて
⇒ディレクトリ閲覧者 (Directory Readers)]であると、読み取りはできてしまうのではと考えております。認識あっておりますでしょうか。
検索・変更はもちろん制御、制御すべきユーザには表示もできないように制御したいです。方法詳細教えて下さい。

【2】Entraのユーザー設定について
⇒管理者には通常ロールを持たせていないので、問題はなさそうです。
　"PowerShellやGraph APIなどのAPIを経由"させてリソースにアクセスするリスクを考慮し、上記【1】の条件付きアクセスで、制御を満たせると考えておりました。
　どのようにAPI経由でのアクセスを禁止させるのか、詳細の方法を教えてください。

　制御を入れることによる既存ユーザへの影響範囲の調査方法も教えてください。

こんにちは @BCAzure01

アップデートありがとうございます。

現在、私はモデレーターとして、問題解決に必要なツールや詳細な調査環境が不足しております。そのため、大変心苦しいのですが、私の力不足が最終的な解決の妨げになる可能性がございます。

つきましては、お客様が可能な限り最善のサポートを受けられますよう、専門のサポートチームへご案内いたします

コミュニティへのご貢献に、心より感謝申し上げます。

Michelle-N
ご回答ありがとうございます。
こちらはどこのサイトからアクセスすればよろしいでしょうか。
URLリンクを教えて下さい。

また、有償のサポートとなるのでしょうか。現在Microsoft Azureサポート 「DEVELOPER」プランにアップグレードしている状況です。

Azure のサポート プランが DEVELOPER の場合、直接サポート チケットの送信はできません。

ここ（Microsoft Q&A）でサポートプランに紐づいているアカウントで Aure タグを付けて質問を新規に投稿してください。

優先コミュニティ サポート - Azure supportability | Microsoft Learn

なお、英語フォーラムに投稿された方がより対応がスムーズに行われると思います。

こんにちは @BCAzure01

「Entra管理センターでサポートチケットを作成する方法は次のとおりです。画像に示されているように選択し、サポートからの連絡をお待ちください。