Microsoft 365で多要素認証を全員に必須にする手順と事前に潰すべき詰まりどころ

Microsoft 365 で多要素認証を必須にする設定は、スイッチを1つ入れるだけで済む場合があります。

難しいのは設定ではなく、有効にした瞬間に止まる業務を先に把握することです。この記事では手順と、詰まりどころの潰し方を扱います。

方法は2つあります

無料の「セキュリティの既定値群」と、上位ライセンスの「条件付きアクセス」のどちらかを使います。

有効化する前に潰しておくこと

ここを飛ばすと、有効にした直後に業務が止まります。次の5つを順に確認してください。

① 複合機・スキャナからのメール送信

最も多い停止要因です。スキャン結果をメールで送る設定は、多くがID・パスワードだけでメールサーバーに接続しています。必須にするとこの接続が拒否され、「スキャンしてメール送信」が全社で使えなくなります。

送信専用の別経路に切り替えるか、機器が新しい認証方式に対応しているかを確認します。対応していない機種は、機器の更新が必要になる場合があります。

② 業務システムからの自動メール送信

受発注や勤怠のシステムが Microsoft 365 のアカウントでメールを送っている場合、①と同じ理由で止まります。誰も設定を覚えていないことが多いので、自動で届いているメールの送信元を確認してください。

③ 古いバージョンのOutlook・メールソフト

古い方式でしか接続できないソフトは、認証が通らなくなり更新が必要です。スマホの標準メールアプリで社内メールを見ている場合も、設定の作り直しが必要になることがあります。

④ 共有メールボックス・代表アドレス

「info@」「support@」を共有のID・パスワードで複数人が使っている場合は、先に方式を変えます。多要素認証は「本人が持っているもの」を使うため、誰の端末で確認するかが決まらない運用とは噛み合いません（共有アカウントの廃止）。

⑤ スマートフォンを持っていない人

認証アプリが前提だと、会社支給の端末がない人や、私物の利用を拒む人が漏れます。代わりの方法はスマートフォンを使わない多要素認証で扱っています。

手順：セキュリティの既定値群を有効にする

上の確認が済んだら設定します。全体管理者の権限が必要です。

1. Microsoft Entra 管理センター（entra.microsoft.com）にサインイン
2. 左メニューの 「ID」 を開く
3. 「概要」 → 「プロパティ」 タブ
4. ページ下部の 「セキュリティの既定値群の管理」 をクリック
5. 「有効」 に変更して保存

有効にすると、全ユーザーが次回サインイン時に認証方法の登録を求められます。猶予期間はありますが、最終的に登録しないとサインインできなくなります。

周知を先に行ってください

予告なしに有効にすると、問い合わせが担当者に集中します。次の4点を事前に伝えておくと負荷が大きく下がります。

• いつから始まるか
• 何を求められるか（スマートフォンでの認証アプリの設定など）
• 設定にかかる時間（数分程度）
• うまくいかない場合の連絡先

緊急時に入れなくなる事態を避ける

管理者が認証用の端末を紛失・故障させると、管理画面に入れず、設定を戻すこともできなくなります。必ず次の2つを用意します。

• 管理者権限を持つアカウントを2つ以上用意し、それぞれ別の端末で認証できる状態にする
• 認証方法を2種類以上登録する（アプリと電話番号など）

既定値群では除外を作れないため、「管理者だけ対象外にする」逃げ道はありません。複数の管理者アカウントで備えます（緊急用の管理者アカウント）。

有効化したあとに確認すること

有効にした直後と、数日後の2回確認します。

• 複合機からのスキャン送信が動くか
• 業務システムからの自動メールが届いているか
• 登録が完了していないユーザーが残っていないか
• サインインの失敗が急増していないか

2つ目は数日たってから気づくことが多い項目です。日次・週次のバッチ処理は、直後には現れません（不審なログインの確認方法）。

これで守れない範囲

Microsoft 365 の多要素認証が守るのは、Microsoft 365 へのサインインだけです。次は対象外です。

• PC本体へのWindowsログイン
• 社内のファイルサーバーへの接続
• Microsoft 365 と連携していない業務システム

PCのログインがパスワードだけなら、そのパスワードを知っている人は端末内のファイルを開けます。ここはWindowsのOSログインに二要素認証を入れる方法やシングルサインオンの基本と限界で扱っています。

PCとサーバーの側も楽にしておくと何が変わるか

Microsoft 365 の多要素認証を入れると、クラウドのサインイン記録は管理センターで見られるようになります。一方で、社内のPC・サーバーに誰がいつログインしたかは、PCを1台ずつ開かないと分かりません。全PC・サーバーのログイン記録と状態が1画面にまとまっていれば、クラウドと同じように画面で絞り込んで確かめられ、取引先のチェックシートで聞かれてもCSVで出せます。

PCのログインもスマホでのワンタッチにしておくと、社員はクラウドと同じスマホで、PCにもパスワードを打たずに入れます。毎回の操作はワンタッチなので、PCまで2要素認証にしても社員の手間はほとんど増えません。

よくある質問

Microsoft 365 の多要素認証は追加費用がかかりますか

セキュリティの既定値群であれば追加費用なしで有効にできます。ユーザーやアプリ単位で細かく制御する条件付きアクセスは、上位のライセンスが必要です。

特定の人だけ対象外にできますか

セキュリティの既定値群では除外を作れません。除外が必要な場合は条件付きアクセスを使うことになり、上位ライセンスが前提になります。

有効化して業務が止まる可能性が高いのはどこですか

複合機・スキャナからのメール送信です。ID・パスワードのみで接続している場合、有効化した時点で拒否されます。業務システムからの自動送信も同じ理由で止まります。

有効化したあとに残る2つの宿題

多要素認証を必須にしても、それだけでは閉じない経路と、新たに生まれるリスクがあります。有効化の作業が終わったら、続けてこの2つを確認してください。

• 古い接続方式が残っていないか — 追加の確認を要求できない接続方式は、IDとパスワードだけで通ってしまいます。塞ぐ手順はレガシー認証をブロックする手順で扱っています
• 管理者が締め出されたときの逃げ道があるか — 設定ミスや端末の紛失で管理画面に入れなくなる事態に備えます。緊急用の管理者アカウントを用意する手順を先に済ませておくと安全です

いまの運用を棚卸ししてみる

applippliの無料棚卸しでは、10問・約3分で、クラウドとPC本体の双方を含めた認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。

Microsoft 365の多要素認証はWindowsのPC・社内サーバーのログインにはかかりません。導入済みの企業が次に確かめる場所はEDR・UTM・Microsoft 365の多要素認証を入れても不正アクセスが起きる理由で整理しています。