Microsoft Entra MFA 詳細ガイド｜認証方式選定・Conditional Access・Number Matching・Phishing-resistant MFA

Microsoft Entra Multi-Factor Authentication (MFA) は、ユーザー認証時にパスワード + 追加要素 (スマホアプリ・SMS・電話・FIDO2 キー等) を要求する仕組み。Microsoft の統計によれば MFA 強制でアカウント侵害の 99.9% を防止可能、現代エンタープライズの認証セキュリティの最重要要素。Microsoft Entra ID Premium P1 以上で Conditional Access 経由の MFA 強制、または Microsoft 365 全プランで Security Defaults による無料 MFA 強制 (基本のみ)。Microsoft は 2024 年から全 Azure Tenant 管理者ロールへの MFA を強制化、2025 年以降は一般ユーザーへの MFA も段階的強制化を発表。本記事は MFA の認証方式選定・段階展開・運用パターンを網羅的に解説します。

Microsoft Entra MFA で利用可能な認証方式 (推奨度高い順): 1) Microsoft Authenticator (Push 通知 + Number Matching・最推奨・無料・最も普及)、2) FIDO2 セキュリティキー (YubiKey 等のハードウェアトークン・最高セキュリティ・特権ロール向け)、3) Windows Hello for Business (生体認証 + TPM・Windows ユーザー向け)、4) Temporary Access Pass (TAP・一時 OTP・オンボーディング向け)、5) Certificate-based Authentication (CBA・スマートカード・政府機関向け)、6) OATH Software Token (RFC 6238 TOTP・Microsoft 以外の Authenticator アプリ対応)、7) OATH Hardware Token (物理 TOTP デバイス)、8) Voice Call (電話音声 OTP・レガシー)、9) SMS Text (SMS OTP・SIM Swap 攻撃に弱い・廃止推奨)、10) Security Questions (秘密の質問・SSPR のみ)。新規プロジェクトは Microsoft Authenticator + FIDO2 の組み合わせが標準、SMS / Voice は段階的廃止推奨です。

Conditional Access での MFA 強制は標準的な実装パターン。代表的なポリシー: 1) 『全ユーザー → 全クラウドアプリ → Grant access with MFA』(全社 MFA 強制)、2) 『管理者ロール → All apps → MFA + Compliant Device』(特権アクセス強化)、3) 『機密 SharePoint Site → MFA + Sign-in Frequency 1 時間』(高セキュリティアプリ)、4) 『Risky Sign-in (Identity Protection) → MFA Re-authentication』(リスクベース)、5) 『Untrusted Country → MFA + Compliant Device』(地理ベース)。Authentication Strength で MFA の強度を細かく指定可能 (Phishing-resistant MFA = FIDO2 + Windows Hello のみ・Passwordless MFA・Multi-factor Authentication 全方式可)。本番運用では Authentication Strength を活用して『特権ロールには Phishing-resistant MFA・一般ユーザーには Authenticator MFA』のような階層適用が現代的なベストプラクティスです。

Per-user MFA (Legacy): ユーザー個別に MFA Enable / Disable をフラグ管理・全アプリで一律 MFA 強制・Conditional Access より柔軟性低い・Microsoft は段階的廃止方針 (2024 年から新規 Tenant で非表示化)。Conditional Access MFA (推奨): ポリシーベース・アプリ別・条件別 (場所・デバイス・リスク) で柔軟制御・Microsoft Entra ID Premium P1 以上必要・Authentication Strength で詳細制御可能・現代的標準。判断: Microsoft Entra ID P1 ライセンスありなら Conditional Access MFA 一択、Free / Office 365 のみなら Security Defaults (基本 MFA 強制 + Block Legacy Auth、無料) を使用。既存 Per-user MFA は Conditional Access MFA への移行が推奨、移行手順は Microsoft 公式 Migration Wizard で半自動化可能です。

Security Defaults は Microsoft Entra ID Free を含むすべてのプランで利用可能な無料 MFA 強制機能 (2019 年導入)。Microsoft 推奨の基本セキュリティ設定をワンクリックで全社適用: 1) 全ユーザーに MFA 登録強制 (14 日以内に Microsoft Authenticator 登録)、2) Privileged Action (Azure Portal アクセス・特権操作) で MFA 必須、3) Legacy Authentication (POP/IMAP/SMTP) を Block、4) すべての管理者ロールへの MFA 強制。新規 Tenant では Security Defaults がデフォルト Enable、無料で基本セキュリティが確保。制約: 1) Conditional Access と併用不可 (Conditional Access 有効化で Security Defaults は自動 Disable)、2) カスタマイズ不可、3) 特定アプリ / ユーザー除外不可。Microsoft Entra ID P1 以上にアップグレードしたら Conditional Access に移行が推奨パターンです。

MFA Fatigue 攻撃 (MFA Bombing) は攻撃者が侵害したパスワードで大量に MFA Push 通知を送り、ユーザーが疲れて誤承認するソーシャルエンジニアリング攻撃。代表的な対策: 1) Number Matching 強制 (2023 年から Microsoft Authenticator で標準化・Web 画面の 2 桁数字を Authenticator で入力必須・無条件 Yes ボタン押下不可)、2) Additional Context 表示 (Sign-in 元の場所・アプリ・IP アドレスを Authenticator で表示・不審な Sign-in をユーザーが識別)、3) MFA 試行回数制限 (Smart Lockout で大量試行をブロック)、4) Identity Protection でリスク Sign-in 検知 → MFA 失敗時に Block、5) Risk-based Conditional Access で Risky Sign-in は Phishing-resistant MFA (FIDO2) 要求、6) ユーザー教育 (不審な MFA 通知は承認しないトレーニング)。Microsoft は Number Matching を 2023-05 から全 Tenant で強制有効化、MFA Fatigue 攻撃の有効性は大幅低下しました。

Phishing-resistant MFA は フィッシング攻撃 (偽の Sign-in 画面で MFA Code を窃取する攻撃) に耐性のある MFA 方式。Microsoft が認定する Phishing-resistant 方式: 1) FIDO2 セキュリティキー (YubiKey・Feitian 等)、2) Windows Hello for Business (生体認証 + TPM)、3) Certificate-based Authentication (CBA・PIV カード)。これらは『デバイスバウンド秘密鍵』を使用、攻撃者が偽 Sign-in 画面で MFA Response を取得しても秘密鍵にアクセスできないため攻撃不可能。Phishing-vulnerable 方式 (Microsoft Authenticator Push・SMS・Voice・OATH Token) は中間者攻撃 (AiTM・Adversary in the Middle) で突破可能。Authentication Strength で『Phishing-resistant MFA』を必須化することで、特権ロール・機密データアクセスを最高レベル保護可能。米国大統領令 14028 (2021) で連邦政府機関は 2024 年末までに Phishing-resistant MFA 必須化、エンタープライズも追随トレンドです。

SC-300 (Identity and Access Administrator Associate) のドメイン 2 (Authentication 25-30%) で MFA が深く問われる本領域の本命認定。SC-100 (Cybersecurity Architect Expert) でゼロトラスト戦略の Identity 柱の中核、MS-102 (Microsoft 365 Administrator Expert) のドメイン 2 で全社展開、AZ-104 (Administrator) で Entra ID 基礎、AZ-305 (Solutions Architect Expert) でアーキテクチャ視点での MFA 設計、SC-200 (Security Operations Analyst) で Identity Protection と MFA イベント分析。Microsoft セキュリティ系認定全般で必須の知識領域、ゼロトラスト戦略の Identity 柱の中核技術として最重要です。