基本認証と最新認証の比較、および Office 365 での有効化方法

ベライゾンの報告書によると、データ漏洩の大部分は、特にメールサーバーにおいて、認証情報が侵害されたことが原因で発生している。 ソーシャルエンジニアリング、認証情報のフィッシング、ブルートフォース攻撃などは、悪意のある攻撃者が認証情報を盗むために用いる手法の一部です。

Officeのログインセキュリティを強化し、データ侵害の防止に役立てるため、マイクロソフトは”モダン認証”を導入しました。この方式では、オンラインのOffice 365リソースに接続する際に、追加のユーザー認証と承認が必要となります。

その大きな利点から、2017年以降に作成されたすべてのOffice 365テナントでは、モダン認証がデフォルトで有効化されています。 これは、Office 365 アプリおよびサービスで利用可能な唯一のログイン方法です。ただし、オンプレミスとクラウドを組み合わせたハイブリッドな Office 展開環境では、古いバージョンの Office クライアントに対してモダン認証を手動で有効にし、可能な場合は基本認証を無効にする必要があります。

このブログ記事では、ハイブリッドな Office 展開環境における基本認証とモダン認証の方法について簡単に概要を説明し、Office 365 でモダン認証を有効にする手順を紹介します。

Microsoft 365 データのバックアップ

NAKIVOソリューションを活用して、Exchange Online、Teams、OneDrive、SharePoint Online内のMicrosoft 365データをバックアップし、ワークフローを中断することなく、ダウンタイムゼロを実現しましょう。

ソリューションをご覧ください

モダン認証と基本認証の比較

基本認証の廃止 2022年末に予定されている まで、Microsoft は Exchange と Skype for Business のハイブリッド展開向けに、基本認証とモダン認証の 2 種類の認証を提供します。クライアントを使用して SharePoint Online に接続する場合は、モダン認証と Microsoft Online サインイン アシスタントのみを使用できます。

この 2 種類の認証方式は、保護機能の点で大きく異なります。基本認証は今年後半に廃止される予定ですが、2 つの選択肢の違いを理解することが重要です。

基本認証とは何ですか？

基本認証とは、ユーザー名とパスワードのみを使用して Office 365 アプリケーションに接続するプロセスです。メール クライアントにユーザー名とパスワードを入力すると、クラウド サービスへの接続前に、確認と認証のために Exchange Online に送信されます。

これは旧式の方法であり、資格情報を狙った脅威に対して十分な保護を提供できなくなっています。基本認証の主な脆弱性の 1 つは、アプリケーションがユーザーの資格情報をデバイスに保存することです。そのため、パスワードを盗もうとするハッカーに機会を与えてしまいます。さらに、条件付きアクセスや多要素認証(MFA)など、Microsoft の多くの ID およびアクセス管理機能は、この Office 365 のレガシ認証では利用できません。

モダン認証とは何ですか？

モダン認証とは、Microsoft Office のクラウド リソースにアクセスするための、さまざまな認証方式と承認方式の組み合わせです。モダン認証は、Active Directory Authentication Library(ADAL)と OAuth 2.0 に基づいています。

• Active Directory Authentication Library は、セキュリティ トークンを使用して、アプリが保護されたリソースにアクセスするための認証ツールです。ADAL を使用すると、ユーザーはシングル サインオン(SSO)も利用でき、利用可能な Office 365 リソースにシームレスにアクセスできます。
• OAuth 2.0 は、アクセス トークンを使用してクライアント アプリからリソースにアクセスすることを可能にする承認プロトコルです。このフレームワークではアクセスが委任されるため、ユーザーの資格情報がリソース サーバーと共有されることはありません。

モダン認証フレームワークは、クライアント アプリから Microsoft 365 リソースにサインインするユーザーに、セキュリティの層を追加します。さらに、このフレームワークでは、多要素認証(MFA)を有効にし、条件付きアクセス ポリシーを使用できます。

Office 365 でモダン認証を有効にする方法

2017 年 8 月より前に作成された Microsoft テナントでは、Office 365 でモダン認証を有効にする方法が複数あります:

Microsoft 365 管理センターを使用する

管理センターから Office 365 のモダン認証を有効にするには、次の手順に従います:

1. Microsoft 365 管理センター にログインします。
2. 左側のナビゲーション ペインで Settings を展開し、Org settings をクリックします。
3. Services で、Modern authentication を選択します。
4. Turn on modern authentication for Outlook 2013 for Windows and later (recommended) チェックボックスをオンにします。
5. Save をクリックします。

Exchange Online PowerShell を使用する

Exchange Online PowerShell を使用してモダン認証を有効にするには、次の手順に従います:

1. Exchange Online PowerShell に接続する。
2. Outlook 2013 以降のクライアントでは、次のコマンドを実行します:
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. 次のコマンドを実行して、変更が正常に適用され、モダン認証が有効になったことを確認します:
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

この操作によって、基本認証方式を使用できなくなるわけではないことにご注意ください。ただし、次のコマンドを実行すると、Outlook 2013 以降で O365 のレガシー認証を強制的に使用できます:
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

Office 365 の基本認証を無効にする

Office 365 でモダン認証を有効にした後、基本認証プロトコルを無効にできます。ただし、基本認証を利用しているユーザーがいないことを確認する必要があります。基本認証を使用しているユーザーがいるかどうかを確認するには、次の手順に従います:

1. Microsoft Azure アカウントを開きます。
2. Azure Active Directory にアクセスします。

3. 左側のナビゲーション ペインで Sign-in logs を選択します。
4. Date range を Last 7 days 以上に変更します。
5. Add filters をクリックします。
6. Client app を選択し、Apply をクリックします。

7. 新しく作成したフィルター Client app をクリックします。
8. Legacy Authentication Clients の下にあるすべてのチェックボックスをオンにします。
9. Apply をクリックします。

この一覧には、各ユーザーおよびアプリケーションに対応するすべてのサインイン イベントが含まれています。基本認証を無効にする前に、これらすべてのアプリケーションをモダン認証プロトコルに移行すれば、アプリケーションを失わずに済みます。

O365 のレガシー認証を無効にするには:

1. Microsoft 365 管理センターにアクセスします。
2. 左側のナビゲーション ウィンドウで、Settingsを展開し、Org settingsをクリックします。
3. Modern authenticationの下にあるServicesを選択します。
4. Allow access to basic authentication protocolsの下にあるすべてのチェックボックスをオフにします。
5. Saveをクリックします。

Outlookのモダン認証

最新のOutlookエディションでは、デフォルトでモダン認証がサポートされていますが、古いクライアントで使用するには手動で構成する必要があります。Outlookのバージョンによって、モダン認証を有効にするための要件は異なります。

• Outlook 2010 or earlier: モダン認証はサポートされていないため、この機能を利用するにはOutlookをアップグレードする必要があります。
• Outlook 2013: モダン認証は利用できますが、デフォルトでは有効になっていないため、有効にした後、Outlookで強制的に使用する必要があります。
• Outlook 2016 or later + Outlook 365: モダン認証は利用でき、デフォルトで有効になっています。

次の表に、各バージョンの要件をまとめています。

Outlook 2013でのモダン認証

前述のとおり、Outlook 2013はモダン認証をサポートしていますが、デフォルトでは基本認証を使用します。モダン認証は手動で有効にできます。

有効にするには、次のキーをWindowsレジストリに追加する必要があります。

これらのキーを設定した後、Microsoft は、Outlook 2013 が基本認証に戻らないようにモダン認証を使用させるため、レジストリキーをもう 1 つ追加することを推奨しています。使用するキーは次のとおりです:

Outlook 2016 以降でのモダン認証

Outlook 2016 ではモダン認証が既定で有効になっていますが、以下のレジストリキーを使用してモダン認証を強制することをお勧めします:

Skype for Business のモダン認証

2017 年 8 月 1 日より前に作成されたすべての Microsoft テナントでは、モダン認証が既定でオフになっているため、手動で有効にする必要があります。Outlook の場合と同様に、次のレジストリキーを使用して Skype for Business でモダン認証を有効にできます:

まとめ

必要なセキュリティ保護を単純な資格情報だけでは保証できなくなったため、Microsoft は O365 のレガシー認証を段階的に廃止しています。幸い、他のセキュリティ対策も利用できるため、Office 365 ではモダン認証を有効にすることをお勧めします。 有効化すると、多要素認証(MFA)を有効にしたり、権限を定義したり、ユーザーによる特定のアプリケーションへのアクセスを制限したりすることができます。

とはいえ、サードパーティ製の包括的なバックアップソリューションを導入することで、Office 365 環境を最適に保護することができます。NAKIVO Backup & Replication のような包括的なデータ保護ソリューションには、組織内の Microsoft 365 データを保護するために必要なすべてのツールが含まれています。

NAKIVO Backup & Replication をお試しください

無料体験を利用して、本ソリューションのデータ保護機能をすべてお試しください。15日間無料。機能や容量の制限は一切ありません。クレジットカードも不要です。

無料でお試しください