日本マイクロソフト株式会社 サイバー セキュリティ＆コンプライアンス統括本部 サイバー セキュリティ技術営業本部 テクニカル スペシャリスト 芳賀 俊亮 リモートワークが一時的なものではなくなり、情報システム担当の皆様は様々な課題をお持ちではないでしょうか？ 本セッションでは、Azure Active Directory・Intune に焦点を当てて、Microsoft 365 E3 でセキュアなアクセス制御・デバイス管理をどう実現できるかをご紹介いたします。 今回はシナリオを 1 つご用意しております。株式会社マクロハード (架空) が抱えている課題を Microsoft 365 E3 でどう解決していくかを是非ご覧ください！ 【Microsoft Japan Digital Daysについて】 Microsoft Japan Digital Days は、お客様が競争力を高め、市場の変化に迅速に対応し、より多くのことを達成することを目的とした、日本マイクロソフトがお届けする最大級のデジタル イベントです。4 日間にわたる本イベントでは、一人一人の生産性や想像力を高め、クラウド時代の組織をデザインするモダンワークの最新事例や、変化の波をうまく乗り切り、企業の持続的な発展に必要なビジネスレジリエンス経営を支えるテクノロジの最新機能および、企業の競争優位性に欠かせないクラウド戦略のビジョンなどデジタル時代に必要な情報をお届けいたしました。（2021年10月11日～14日開催）

1. Microsoft Japan Digital Days
*本資料の内容 (添付文書、リンク先などを含む) は Microsoft Japan Digital Days における公開日時点のものであり、予告なく変更される場合があります。
#MSDD2021
まずはここから！
Microsoft 365 E3で
セキュリティへの第一歩を踏み出す
日本マイクロソフト株式会社
サイバー セキュリティ＆コンプライアンス統括本部
テクニカル スペシャリスト
芳賀 俊亮
# S03

2. Agenda  マクロハード株式会社のご紹介
 Microsoft 365 E3とは？
 ∟Azure Active Directoryでの課題解決
 ∟Intuneでの課題解決
 マクロハード株式会社の今後

3. マクロハード株式会社のご紹介
・1,000 人規模
・半導体製造業
・Office 365 E3 使用中
・ 「ゼロトラスト」 の実現が社内で話題に上がる
・リモートワーク実施にあたり3つの課題に直面中
①IP アドレスベースでのアクセス制御は限界
②VPN に対する不満と不安
③外出先からスマートデバイスでアクセスしたい
Macrohard

4. マクロハード株式会社の環境
企業ネットワーク
IP アドレスベースのアクセス制御

5. 課題1 IP アドレスベースでのアクセス制御は限界
企業ネットワーク
IP アドレスベースのアクセス制御

6. 課題2 VPNに対する不満と不安
企業ネットワーク
IP アドレスベースのアクセス制御

7. 課題3 外出先からスマートデバイスでアクセスしたい
企業ネットワーク
IP アドレスベースのアクセス制御

8. 従業員と IT に力を与えるインテリジェントで安全なソリューション
Office 365 Windows 10 Enterprise Mobility + Security
(EMS)
Microsoft 365とは？
働き方改革 支えるセキュリティ

9. Microsoft 365 E3
⚫ Microsoft Teams
⚫ Exchange Online
⚫ OneDrive for Business
⚫ SharePoint Online
⚫ Microsoft Stream
⚫ Yammer
⚫ Power Apps…
⚫ Windows Defender
Device Guard
⚫ Windows Defender
Credential Guard
⚫ Windows Defender
Application Guard
⚫ Azure Active Directory
P1
⚫ Microsoft Intune
⚫ Azure Information
Protection P1
Office 365 E3 EMS E3
Windows 10 E3

10. ⚫ Azure Active Directory P1
⚫ Microsoft Intune
⚫ Azure Information Protection P1
EMS E3

13. ・条件付きアクセス
・多要素認証

14. 条件付きアクセスとは？
サインイン時の条件のリスクに応じてアクセスを制御する機能
MFA要求
アクセス許可
アプリケーション
ユーザー デバイス
∟状態
∟プラットフォーム
∟OS等
場所
∟IP
∟GPS
アクセス制限
パスワードリセット
アクセス監視
条件 全てのアクセス試行検証 アプリ・データへのアクセス

16. MFA は認証の基本要素である以下の３つのうち2つ以上を複合的に利用する事で、
パスワード＝知識要素をのみを利用する場合と比較して飛躍的に安全性を高めることが可能です。
知識要素(What you know) = Password, PIN, 秘密の質問 など
所有要素(What you have) = 携帯電話, クレジット・キャッシュカード,ワンタイムトークン
生体要素(What you are) = 指紋、顔、虹彩

17. mpo Access Pass
利便性
柔軟性
使用シーン
※パブリックプレビュー

18. ・Azure Active Directory App Proxyについて

19. Azure AD Application Proxy
https://peoplesoft.cloudready.com
App Proxy
ユーザー
企業ネットワーク
コネクター
Azure Active
Directory
Active Directory
https://peoplesoft.cloudready.com
Kerberos チケット
コンテンツ
3
簡単なデプロイ – コネクタはアウトバウンド接続のみを使用し、複
数のアプリをサポートすることができます。
1
4
3 シームレスなエンドユーザー体験 - シングルサインオンであらゆるブラ
ウザやデバイスから接続可能
2
アプリをそのまま使用 - どんなWebアプリでもApp Proxyで設定
でき、統合されたWindows認証のシングルサインオンの恩恵を受
けることができます。
2
1
事前認証の実施 – 先進認証と状況に応じたアクセス制御
4
オンプレミス・アプリケーションへの リモートアクセスとシングルサインオン

20. 様々な条件でアプリケーションへのアクセスを制御
20
ポリシーの対象となるアプリの指定
アクションの指定
条件の指定
デバイスのOS
会社管理デバイス/BYOD
アクセス元IPアドレス
条件付きアクセスポリシー
3rd Party SaaS アプリ
多要素認証の要求
ブロック
マイクロソフトクラウド
オンプレミスアプリ
ダウンロード制限
(EXO,SPOのみ)
所属するグループ
内部ユーザー/ゲストユーザー
ブラウザ/アプリケーション
場所
人
デバイス
クライアント
これらの条件を組み合わせ可能
Office365の一部のアプリに
ポリシーを適用することが可能

21. 手軽なデバイス管理 セキュアなアプリ管理 アクセス制御

22. https://endpoint.microsoft.com/

23. Microsoft Endpoint Manager
ConfigMgr
コンソール
Configuration
Manager
Intune
コンソール
Microsoft
Intune
オンプレミスの AD 参加の PC
LINUX
Windows とモバイルデバイス
Windows 10
CM + MDM

24. 手軽なデバイス管理

25. 25
プラットフォームごとに幅広い構成
設定を利用できる
各設定について、適用可能性、
適合性、またはエラーの有無
に関するレポートを提供
ポリシーをユーザー グループや
デバイスグループに適用できる
包括的なセキュリティ ポリシー
を各プラットフォームに強制
Microsoft Intune によるデバイス管理

26. アプリの展開
構成プロファイルの展開
更新プログラム適用に関連する設定
Windows Update for Business
更新プログラム配信に関連する設定
配信の最適化
ハードディスク暗号化の強制
BitLocker
ウィルス対策ソフトの設定
Windows Defenderウィルス対策
Webブラウザの展開
Microsoft Edge
コミュニケーションツール
Teams
クライアントアプリケーション
Office 365 ProPlus
各種デバイス制御
電源や機能の制限
ユーザーの標準設定
ブラウザの設定
Microsoft Edge
認証・パスワード ポリシー
Office 365関連の設定
Onedrive for Business
電子ブック
各種ユーティリティ
QRコードリーダーなど
各種リソース
フォントなど
ユーザープロファイルとデータの同期
ユーザーの個人設定
Enterprise State Roaming
ユーザーの個人データ
Onedrive for Business
ユーザーのブラウザプロファイル
Microsoft Edge
クラウド上の構成管理基盤、
および OneDrive for Business から
指定されたデバイスとユーザーに応じた
展開が行われる
デバイス管理のイメージ (Windows の場合)

27. アプリの展開
構成プロファイルの展開
各種デバイス構成
VPNプロファイル
証明書プロファイル
Wi-fiプロファイル
App Store・Google Playストアアプリ
自社開発アプリ
MAM対応アプリケーション
カスタムポリシー
（OMA-URI）
アプリ保護ポリシー
クラウド上の構成管理基盤から
指定されたデバイスとユーザーに応じた
展開が行われる
デバイス管理のイメージ (iOS/Android の場合)
アプリ構成ポリシー

28. セキュアなアプリ管理

29. モバイルデバイスの管理
(MDM)
モバイルアプリの管理
(MAM)
デバイスのセキュリティポリシー
アプリのセキュリティポリシー
モバイルのアプリとデータは保護できてますか？

30. 企業データへの
アクセス要件を強制
不正なデバイスからのア
プリ起動を禁止
保存されている
データの暗号化を強制
アプリ レベルの
セレクティブ ワイプを実施
モバイルのアプリケーションの制御
管理対象
アプリ
個人用ア
プリ
個人用アプリ
管理対象アプリ

31. 個人用アプリ
管理対象アプリ
コピー 貼り付け 保存
Intune の管理対象アプリと非管理対象アプリ間での
コピー/切り取り/貼り付け/保存などの操作を制限することで、企業デー
タの漏洩を防ぎつつ生産性を最大化
個人用
ストレージへの
保存
個人用
アプリへの貼り
付け
ユーザー
電子メール
添付ファイル
Microsoft Intune によるアプリ管理例 (MAM)

33. アクセス制御

34. 会社データを守るために必要な制御
34
Azure Active Directory
Premium
Microsoft Intune
Microsoft Intelligent
Security Graph
①会社管理外アプリのブロック ②会社管理外デバイスのブロック

35. 様々な条件でアプリケーションへのアクセスを制御
Azure Active Directory 条件付きアクセス
35
ポリシーの対象となるアプリの指定
アクションの指定
条件の指定
デバイスのOS
会社管理デバイス/BYOD
アクセス元IPアドレス
条件付きアクセスポリシー
3rd Party SaaS アプリ
多要素認証の要求
ブロック
マイクロソフトクラウド
オンプレミスアプリ
ダウンロード制限
(EXO,SPOのみ)
所属するグループ
内部ユーザー/ゲストユーザー
ブラウザ/アプリケーション
場所
人
デバイス
クライアント
これらの条件を組み合わせ可能
Office365の一部のアプリに
ポリシーを適用することが可能

36. 条件付きアクセス：ポリシーの例
条件の指定
条件付きアクセスポリシー
営業だけ登録済み BYOD デバイス(スマートフォン)からアクセス許可
誰が どこから どのデバイスで どのアプリに
許可
拒否
登録済みの
デバイスであること
多要素認証が必要
営業
承認したクライアント
アプリであること
社外スタッフ
全ユーザ
(社員)
ただし・・・
社内
社外 スマートデバイス
PC
生産性重視
アプリ
セキュリティ
重視アプリ
アクセス可否

37. 新しくなったマクロハード株式会社の環境
企業ネットワーク
Microsoft
Intune

38. マクロハード株式会社の今後
Microsoft 365 E3
セキュリティの第一歩を
Intune
Azure Active Directory
Azure Information Protection
Macrohard

39. マクロハード株式会社の今後
Macrohard
Microsoft 365 E5
より強力なセキュリティを
Microsoft Cloud App
Security
Microsoft Defender for
Endpoint
Microsoft Defender for
Office 365
Azure Active Directory
Premium 2
Azure Information Protection P2
Microsoft Defender for Identity
Intune

40. © 2021 Microsoft Corporation. All rights reserved.
本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。
本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。