多要素認証（MFA）を全員に有効にする｜セキュリティの既定値と条件付きアクセスのどちらで行うか

「全員に多要素認証（MFA）をかけてほしい」と言われて Microsoft Entra 管理センターを開くと、セキュリティの既定値群、条件付きアクセス、ユーザーごとの MFA と、似た設定が3つ見つかります。どれを使うかを間違えると、例外を作れずに複合機のメール送信が止まったり、切り替えの途中で自分が管理画面に入れなくなったりします。この記事では、会社のプランごとにどの方法で全員に多要素認証を求めるか、例外をどう作るか、そして締め出されずに切り替える順番を書きます。Microsoft 365 と生成 AI の導入を支援している当社が、公式の説明と当社の検証用の環境の画面で確かめた内容です。

説明によっては「セキュリティの既定値」とも書かれていますが、画面の「セキュリティの既定値群」と同じものです。この記事では画面に合わせて「既定値群」と書きます。社員が機種変更・紛失したときのリセットと、SMS・音声の認証の廃止は扱いません。後者はMicrosoft 365 の SMS・音声認証の廃止の記事にまとめています。

始める前に、プランと今の状態を確かめる

どの方法を使うかは、ほぼプランで決まります。既定値群は Microsoft Entra ID Free で全ての Microsoft 365 の組織が使え、条件付きアクセスは Entra ID P1 か P2 を持つ組織が使えます（Microsoft 365 Business Premium の多要素認証を設定する）。P1 は Business Premium に含まれ（Microsoft Entra のライセンス）、ビジネス向けのセキュリティの表でも、条件付きアクセスに印があるのは Business Premium の列だけです（ビジネス向け Microsoft 365 のセキュリティのベスト プラクティス）。Business Standard に Entra ID P1 を足すか、Business Premium に上げるかの比べ方は、Business Standard と Business Premium の違いの記事で書いています。

次に今の状態を見ます。Entra 管理センターで［Entra ID］>［概要］を開き、［プロパティ］のタブを下までたどると「セキュリティの既定値群」の欄があります。当社の検証用の環境では「お客様の組織は、セキュリティの既定値群で保護されています。」と出ていました。

Learn によると、2019年10月以降に作られた Microsoft 365 のテナントでは、既定値群が初めからオンです。この画面の環境は Business Premium ですが、既定値群はオンのままで、条件付きアクセスのポリシーは0件でした。既定値群を置き換える条件付きアクセスのポリシーを使う組織は既定値群を無効にする必要があり、Microsoft は、P1 か P2 で条件付きアクセスに切り替えるのでない限り無効にしないよう求めています。切り替えるかどうか、いつ切り替えるかは管理者が決めることです。

欄に条件付きアクセスを使っている旨の文が出ていれば、ポリシーがある間は既定値群をオンにできません（オフ・オン・レポート専用のどの状態でも、ポリシーが1つでもあれば既定値群は有効にできず、戻すにはポリシーを削除します）。「保護されていません」の旨の文なら、既定値群はオフです。その場合も、ほかの方式で守られているとは限りません。以前にユーザーごとの MFA を使っていた会社は、その設定が残っていないかも見ます。既定値群か条件付きアクセスを使うなら、従来のユーザーごとの MFA はオフにする必要があります（Microsoft 365 Business Premium の多要素認証を設定する。条件付きアクセスについてはユーザーごとの多要素認証にも同じ注意があります）。ユーザーごとの MFA の状態の画面で「無効」と出ていても、既定値群か条件付きアクセスで守られていれば、それが正しい状態です（セキュリティの既定値群）。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

Business Standard・Basic のときは、既定値群をオンにする

既定値群をオンにすると、まとめて次のことが効きます（Microsoft Entra ID のセキュリティの既定値群）。全員に多要素認証の登録を求める、管理者には多要素認証を求める、ほかの人にも必要なときに求める、古い方式のサインイン（レガシ認証）を止める、デバイス コード フローを止める、Azure portal などの管理の作業を守る、の6つです。どの場面で求めるかは、場所・端末・役割・作業などから Microsoft が決めます。グローバル管理者（全体管理者）・Exchange 管理者など、一覧に挙がる管理者の役割を持つ人は、登録の後はサインインのたびに求められます。

オンにする手順は短いものです。

1. Entra 管理センターに、条件付きアクセス管理者以上のロールでサインインする（Microsoft 365 の管理向けの Learn では全体管理者かセキュリティ管理者）
2. ［Entra ID］>［概要］>［プロパティ］を開き、下の「セキュリティの既定値群」の欄で［セキュリティの既定値群の管理］を押す
3. 右に開いたパネルの［セキュリティの既定値群］で「有効」を選び、［保存］を押す

パネルの選択肢は「有効」と「無効」だけで、人やアプリを選ぶ欄はありません。例外を作れないことが、既定値群のいちばんの注意点です。

オンにする前に、止まるものを洗い出す

既定値群は、IMAP・POP3・SMTP のような古いメールの方式や、Office 2010 のような先進認証を使わないクライアントからのサインインをすべて止めます。これらは多要素認証に対応していないためです。オンにする前に、管理者が古い方式を使っていないことを確かめます。複合機などから Microsoft 365 でメールを送る設定は、セキュリティの既定値群の説明のページから「Microsoft 365 を使用して電子メールを送信するように多機能機器またはアプリケーションを設定する方法」の案内に進めます。

表のうち、どれが自社に当てはまるかは、機器や業務システムの設定を1つずつ見るしかありません。スキャンした書類をメールで送る複合機、通知のメールを送る業務システム、昔から使っているメールソフトを先に一覧にし、それぞれがどの方式でサインインしているかを見ます。対応しているかどうかは、機器の提供元に確かめてください。

社員への知らせも先に済ませます。2024年7月29日以降、既定値群で登録を先送りできる14日間の猶予は無くなりました。オンにした後の最初のサインインで登録を求められるため、社員には事前に、スマートフォンに Microsoft Authenticator を入れておくこと、登録は https://myprofile.microsoft.com の［セキュリティ情報］からできることを伝えておきます。既定値群で使う認証方法は、通知を使う Microsoft Authenticator が基本です（Microsoft 以外のコードを作るアプリも使えます）。サインインのときは、画面に出る番号をアプリに入力します。

オンにした後は、すでにサインインしている人にも登録を求めるために、既存のトークンを取り消します（Microsoft Graph PowerShell の Revoke-MgUserSignInSession）。

Business Premium のときは、条件付きアクセスで全員に求める

Business Premium なら、既定値群ではなく条件付きアクセスを使います。既定値群は Entra ID Free の組織向けで、Learn は P1・P2 を持つ組織には適切でない場合がある、と書いています。違いは、例外を作れるかどうかと、対象を選べるかどうかです。

条件付きアクセスで既定値群と同じ守りを作るには、テンプレートを使います。既定値群の守りを作り直すのは、次の4つのテンプレートです。画面での名前は次のとおりで、どれも［新しいポリシーをテンプレートから］の「安全な基盤」のカテゴリにあります（Learn の日本語は「セキュリティで保護された基盤」で、画面とは呼び方が違います）。

• すべてのユーザーに多要素認証を要求する
• 管理者に多要素認証を要求する
• Azure 管理に多要素認証を要求する
• レガシ認証をブロックする

「すべてのユーザーに多要素認証を要求する」を選んで［レビューと作成］を開くと、作られるポリシーの中身が出ます。当社の検証用の環境では次のとおりでした（［作成］は押していません）。

画面と Learn で違う点が2つあります。Microsoft 365 の管理向けの Learn はテンプレートの手順でポリシーの状態を［オン］にするよう書いていますが、画面の初めの値はレポート専用でした。また、Entra の Learn の「すべてのユーザーに多要素認証を要求する」は許可に［認証強度が必要］を選ぶ作り方を書いていますが、テンプレートの許可は「多要素認証を要求する」でした。どちらでも全員に多要素認証を求める点は同じです。パスキーなど、より強い方法に絞りたくなったときに認証強度へ替えます。

除外してよいものは、はっきり絞られています。Microsoft 365 の管理向けの Learn は「多要素認証の要件から除外するのは緊急アクセス アカウントだけ」と書いています。Entra 側の説明では、緊急用アカウントに加えて、同期用のアカウント（ディレクトリ同期アカウントのロール）と、ゲストを別のポリシーで扱う場合のゲストが挙がっています。

「社内のネットワークからなら多要素認証を省きたい」という場合も、人を除外するのではなく、名前付き場所（画面の左のメニューでは「ネームド ロケーション」）を作ってポリシーの場所の条件で外す方法があります。除外した人は、そのポリシーでは守られません。除外の一覧は増やすほど穴になります。

また、Microsoft は、ライセンスや機能の条件に当てはまるテナントに、Microsoft が作って管理するポリシー（Microsoft が管理するポリシー）を届けています。届いたものは［ポリシー］の一覧で作成者の列が Microsoft になっていて、初めはレポート専用で作られ、そのままにしておくと届いてから30日以上たつと有効になります（30日より早まる場合もあります。有効になる2週間前にメールとメッセージ センターで知らせが来ます）。中には「すべてのユーザーの多要素認証」もあります。名前の変更や削除はできませんが、状態と除外は変えられます（Microsoft が管理するポリシー）。Learn では、管理ポータルに入る管理者向けのポリシーと、ユーザーごとの MFA を使っている組織向けのポリシーは、対象を「既定値群が有効になっていない」テナント・組織としています。既定値群がオンのうちは届いていなくても、既定値群を無効にした後に届くことがありえます。当社が見たときは、作成者が Microsoft のポリシーはありませんでした。

既定値群から切り替えるときは、締め出されない順番で進める

既定値群から条件付きアクセスへ移るときに難しいのは、2つを同時にオンにできないことです。どこかで「既定値群を無効にし、ポリシーをオンにする」瞬間があり、その前後に順番を間違えると、守りの空白か締め出しのどちらかが起きます。

Microsoft 365 の管理向けの Learn の手順は、まず既定値群をオフにし、次にテンプレートからポリシーを状態［オン］で作り、その後に除外を直す、という順です。一方で同じページには、既定値群が有効な間も新しいポリシーを作成でき、有効にできないだけだともあります。この記事では、空白の時間を短くするために、緊急用アカウントとポリシーの用意を先に済ませ、既定値群を無効にする操作を後ろに置きます。ただし、既定値群がオンのまま［作成］を押して作るところまでは、当社では試していません。作成で止められた場合は公式の手順の順に戻し、無効にしてから作成・除外の直し・オンまでを間を空けずに続けます。

1. 緊急用アカウントを2つ用意する

緊急用アカウント（公式の呼び名は緊急アクセス アカウント、ブレークグラス アカウント）は、ポリシーの設定を誤って全管理者が入れなくなったときに戻るための全体管理者のアカウントです。Learn は少なくとも2つ、特定の人に結び付けない、オンプレミスと同期しないクラウド専用（.onmicrosoft.com のドメイン）のアカウントにするよう勧めています（Microsoft Entra ID で緊急アクセス用管理者アカウントを管理する）。ポリシーからは、このアカウントだけを入れた専用のセキュリティ グループごと除外します。

注意したいのは、除外しても多要素認証が要らなくなるわけではないことです。Microsoft は Microsoft Entra 管理センター・Azure portal・Intune 管理センターへのサインインに、条件付きアクセスとは別に多要素認証を必須にしていて（Microsoft 365 管理センターも2025年2月から順に適用）、緊急用アカウントも対象です（管理ポータルの必須の多要素認証）。そのため緊急用アカウントにはパスキー（FIDO2）などを登録し、ふだんの管理者とは別の方法にして、資格情報を安全な場所に保管します。

2〜4. ポリシーを作り、除外を直し、レポート専用で見る

テンプレートから4つのポリシーを作ります。画面の初めの値はレポート専用なので、作った時点では誰のサインインも止まりません。作った後に各ポリシーを開き、除外に入っている作成した管理者のアカウント（作成の画面では「現在のユーザー」と表示）を外して、緊急用アカウントのグループに入れ替えます。レガシ認証のブロックには、除外が要らない場合もあります。

レポート専用の間は、サインインのたびにポリシーが評価され、結果がサインイン ログの［レポート専用］タブに残ります（レポート専用モード）。Learn は、有効にする前に少なくとも1週間はレポート専用で見るよう勧めています。ここで「レポートのみ: ユーザー アクションが必要」と出た人は、有効にしたら多要素認証を求められる人です。古い方式でサインインしている機器も、この期間のログで見つけられます。ただし、既定値群がオンの間にレポート専用のポリシーが記録を残すかは、当社では確かめていません。記録が出ない場合は、1週間の観察はできません。そのときも既定値群を無効にしてから見ようとはせず（その間は守りの空白になります）、Standard の節の「止まりうるもの」の表で機器とソフトを先に洗い出しておくことで代えます。

5. 既定値群を無効にして、すぐにポリシーをオンにする

準備ができたら、［セキュリティの既定値群の管理］で「無効」を選んで保存します。無効にする理由には、条件付きアクセスを使う予定である旨の項目を選びます（Learn は日本語版でも英語の表記で「My organization is planning to use Conditional Access」と書いています）。保存したら間を空けずに、作った4つのポリシーの状態を「オン」にします。既定値群を無効にした後はすぐに条件付きアクセスのポリシーを有効にし、P1・P2 で条件付きアクセスに切り替えないなら既定値群は無効にしない、というのが Microsoft の求める扱いです。

ポリシーを1つずつオンにする場合は、全員の多要素認証とレガシ認証のブロックを先にします。既定値群が止めていたものを、そのまま引き継ぐためです。社員への知らせは、Standard の節と同じく切り替えの日より前に済ませておきます。

6. 緊急用アカウントで入れるか確かめる

切り替えたら、別のブラウザーで緊急用アカウントでサインインし、Entra 管理センターを開けることを確かめます。Learn はその後も、緊急用アカウントで入れることを定期的に（少なくとも90日ごと）確かめ、使われたら気づけるようにサインインを見張るよう勧めています。社員から「入れない」と連絡が来たら、条件付きアクセスの［What If］で、その人のサインインにどのポリシーが当たるかを試せます。切り替えた後に、作成者が Microsoft のポリシーが［ポリシー］の一覧に届いたら、緊急用アカウントのグループをその除外にも足します。

切り替えた後に、除外で逃がさないために

全員にかけた後に「入れない」と言われたとき、その人を除外に足すと、除外の一覧が穴になります。機種変更や紛失は、除外ではなく認証方法のリセットと再登録で戻す、と先に決めておきます。また、Microsoft が提供する SMS・音声の認証は2027年2月1日に廃止され、全体管理者と外部ユーザーは2027年7月1日と案内されています（SMS・音声認証の廃止の記事）。SMS だけで登録している社員がいないかも、切り替えの後に見ておきます。管理者の多要素認証の回数を減らすには、管理の作業とふだんの仕事でアカウントを分けるよう Microsoft は勧めています。

この記事の確かめ方

画面の名前と表示は、当社の検証用の環境（Microsoft 365 Business Premium）の Entra 管理センターで2026年10月28日に開いて確かめました。写真はその画面で、テナント ID などは伏せています。画面は開いて表示を確かめるところまでで、設定の切り替えやポリシーの作成はしていません（既定値群のパネルは値を変えずに閉じ、テンプレートの［作成］も押していません）。そのため、既定値群がオンのままポリシーを作れるか、その間にレポート専用の記録が残るかは確かめていません。手順と前提は、2026年10月28日に Microsoft Learn の日本語版で確かめました。Microsoft 365 の管理向けの Learn は「セキュリティの既定値」、Entra 管理センターの画面と Entra の Learn は「セキュリティの既定値群」と書いていて、同じものを指しています。Entra 管理センターの画面は更新が続いているため、設定の前に各ページの最新を確かめてください。

次にやること

まず Entra 管理センターの［概要］>［プロパティ］で「セキュリティの既定値群」の欄を開き、今どの状態かを確かめてください。Business Basic・Standard で既定値群がオンなら、全員に登録が求められ、必要な場面で多要素認証がかかっています。オフなら、止まる機器を洗い出してからオンにします。Business Premium で既定値群がオンのままなら、緊急用アカウントを2つ作るところから始めます。導入の全体の中でいつ設定するかは、Microsoft 365 導入の手順の記事で書いています。

止まる機器の洗い出しや切り替えの日の段取りから一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。