MFAポリシーの再整理

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

Conditional Access Policies は、3種類の処理（許可、拒否、MFA 付き許可）で設定できます。

ユーザーがサインインを試みると、最初に許可規定に含まれているかどうかが確認されます。含まれていて、かつ現在のサインイン試行がその許可規定の条件に一致する場合、サインインが許可されます。

許可規定に含まれていない、または許可規定の条件を満たさない場合は、MFA 付き許可規定が適用されます。それにも該当しない場合、拒否規定が適用されます。いずれの規定にも該当しない場合は、初期設定規定がユーザーに適用されます。

許可および拒否規定の出力はシンプルです。ユーザーが所属する規定のうち1つでも条件を満たせば、その操作が適用されます。例えば、3つの許可規定に属していて、そのうち1つの規定の条件を満たし、2つの規定には失敗した場合でも、サインインは許可されます。追加の確認は行われません。

MFA 規定は異なり、ユーザーが通過した特定の規定も確認されます。MFA 規定には追加の設定があります。ユーザーが使用できる MFA 要素、ブラウザーセッションの信頼期間、バックアップコードによる MFA バイパスの可否などを決定できます。

例を考えてみましょう。ユーザーが2つのMFA 規定に属し、両方の条件を満たしているとします。MFA 規定 1は OneAuth のみ使用を許可し、MFA 規定 2はハードウェアセキュリティキーのみを許可している場合、サインイン時にどちらの MFA 要素（OneAuth またはハードウェアセキュリティキー）を許可するか決定する必要があります。

このようなケースを解決するため、規定を追加する際にMFA 規定の優先度を設定できます。規定は順番に確認され、ユーザーが最初に条件を満たした規定の MFA 設定が適用されます。上記の例では、MFA 規定 1の優先度が高ければ、ユーザーはサインイン時に OneAuth のみ使用できます。