多要素認証を全員に必須にしたのに、IDとパスワードだけで入れる経路が残っていることがあります。原因のひとつがレガシー認証です。
レガシー認証はIDとパスワードだけを送って接続する古い方式です。モダン認証（先進認証）は、サインインの途中で多要素認証などの追加の確認を挟める方式で、いまのMicrosoft 365の標準です。ここでは、この経路を塞ぐまでの順序を扱います。
なぜ多要素認証で止まらないのか
理由は、古い方式に「追加の確認を求める」やり取りがないことです。
モダン認証とレガシー認証の違い
モダン認証
- 途中で「追加の確認を」と返せる
- 利用者の応答を待つ
- 多要素認証が成立する
レガシー認証
- 認証情報を一度送るだけ
- 通るか通らないかだけを返す
- パスワードが合えば接続される
攻撃者から見れば、多要素認証を突破する必要がなく、漏えいしたパスワードをそのまま試せる入口です。多要素認証そのものの限界は多要素認証でも止まらない攻撃の記事で扱っています。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
レガシー認証とは：対象になる接続方式
社内でレガシー認証が残りやすいのは、次の5つです。
| 接続方式 | 社内でよくある使われ方 |
|---|---|
| SMTP AUTH | 複合機のスキャン送信、業務システムからの自動メール送信 |
| POP3 / IMAP4 | 古いメールソフト、個人端末に残ったメール設定 |
| Exchange ActiveSync | 古いスマートフォンの標準メールアプリ |
| Exchange Web Services | グループウェア連携、会議室予約の外部ツール |
| 古い Office クライアント | 更新を止めたまま使い続けている端末 |
「うちには関係ない」と決めない
手順1 実際に使われているかを記録で確認する
ブロックした瞬間に何が止まるかを、先にログで把握します。
Microsoft Entra 管理センターのサインインログで、クライアントアプリの条件でレガシー認証に該当するものを絞り込みます。出てくるアカウントと接続元が、止まる相手です。
月次処理や棚卸しのように月に一度しか動かない処理を拾うため、少なくとも1か月分をさかのぼります。ログの読み方はEntra IDのサインインログを確認する手順で扱っています。
手順2 止まるものを代替に移す
ブロックの前に、見つかった接続を別の方式へ移します。ここを飛ばすと、複合機からメールが飛ばなくなって業務が止まります。
- 複合機・スキャナ — 現行方式に対応した機種なら設定を切り替えます。非対応なら、外部へ中継する送信の仕組みを用意するか、機器の更新時期に合わせて計画します
- 業務システムの自動送信 — ベンダーに対応可否を確認します。すぐ対応できなければ、その期間だけ例外を残します
- 古いメールソフト・古い端末 — ほとんどは代替があります。移行の期限を切って通知します
手順3 ブロックする
止め方は契約内容で変わり、細かい除外を作れるかどうかが分かれ目です。
| 方法 | 除外 | 注意点 |
|---|---|---|
| セキュリティの既定値群 | 作れない | 全体に適用。手順2で例外を残すなら選べない |
| 条件付きアクセス | 対象を指定できる | 上位ライセンスが前提。まずレポート専用で作り、影響を見てから有効化 |
| Exchange Online の認証ポリシー | メールボックス単位 | メール系のプロトコルを個別に止める |
使える手段は管理画面やライセンスで異なるので、実際の契約で確認してください。
順序を間違えたときに起きること
技術的には巻き戻せても、社内の合意は巻き戻せません。
先にブロックしてから影響を調べる進め方は避けてください。止まった業務の側は「対策のせいで仕事にならない」と受け取り、次の対策で協力を得にくくなります。
影響を洗い出したうえで「この日にこれを止めます、代替はこれです」と先に伝えれば、同じ作業でも受け止め方が変わります。PC本体側の入口も含めた全体像はWindowsのOSログインに2要素認証を導入する解説で整理しています。
塞いだあとに確認すること
設定画面ではなく、記録で効いているかを確かめます。
ブロック後にもう一度サインインログを見て、レガシー認証の記録が失敗として残るか、消えたかを確認します。設定したつもりで対象から外れていた、ということはよく起こります。
問い合わせ窓口を決めておく
普段の管理が楽になると何が変わるか
レガシー認証の洗い出しで手間がかかるのは、古いメールソフトや更新を止めたOfficeが「どのPCに残っているか」を確かめる作業です。全PC・サーバーのOSや更新漏れを1画面で見られるようにしておくと（アプリップリキー）、社員に一人ずつ聞いて回らずに、移行の対象になりそうなPCの見当が付きます。
ブロックのあと社員から「入れなくなった」と言われたときも、PC側のログイン記録が1か所にあれば、席まで行かずに、どのPCで誰がログインに失敗したかをその場で確かめられます。クラウドの問題かPCの問題かをすぐ切り分けられるので、問い合わせ窓口の担当者が迷いません。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、クラウドとPC本体の双方を含めた認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。