MFAポリシーの並べ替え

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

条件付きアクセスポリシーでは、3種類の操作（許可、拒否、MFAによる許可）を設定できます。

ユーザーがサインインしようとすると、まず許可ポリシーに該当するかどうかが確認されます。該当し、現在のサインイン試行がその許可ポリシーの条件に一致する場合、サインインが許可されます。

許可ポリシーに該当しない場合、または該当する許可ポリシーの条件を満たさない場合は、次にMFAによる許可ポリシーに照合されます。いずれにも該当しない場合は、拒否ポリシーに照合されます。どのポリシーにも該当しない場合は、初期設定のポリシーが適用されます。

これらのうち、許可ポリシーと拒否ポリシーはシンプルです。ユーザーは、該当するポリシーのうち1つの条件を満たすだけで、対応する操作が適用されます。たとえば、ユーザーが3つの許可ポリシーに該当し、そのうち1つのポリシーの条件を満たし、2つのポリシーの条件を満たさない場合でも、サインインは許可されます。それ以上の確認は行われません。

MFAポリシーは異なり、ユーザーがどのポリシーの条件を満たしたかも確認されます。MFAポリシーには追加の設定があります。ユーザーに使用を許可するMFA要素、ブラウザーセッションを信頼できる期間、バックアップコードを使用してMFAを回避できるかどうかを設定できます。

例を考えてみましょう。ユーザーが2つのMFAポリシーに該当し、両方の条件を満たしているとします。MFAポリシー1ではOneAuthのみの使用が許可され、MFAポリシー2ではハードウェアセキュリティキーのみの使用が許可されているとします。この場合、サインイン時に、ユーザーに許可するMFA要素をOneAuthにするか、ハードウェアセキュリティキーにするかを決定する必要があります。

このような場合に対応するため、ポリシーを追加する際にMFAポリシーの優先順位を設定できます。ポリシーは順番に確認され、ユーザーが最初に条件を満たしたポリシーのMFA設定が適用されます。この例で、MFAポリシー1の優先順位が高い場合、ユーザーはサインイン時にOneAuthのみを使用できます。