2.2認証方法と条件付きアクセス

パスワードだけの認証は、漏洩・使い回し・推測に弱く、攻撃の主な入口になります。そこで Entra ID は より強い認証方法 と、状況（シグナル）に応じてアクセスを変える きめ細かいアクセス制御 を提供します。これらは前章のゼロトラスト「明示的に検証する／侵害を前提とする」を具体的に実装する仕組みです。

2.2.1認証方法

• 多要素認証（MFA）：パスワード（知識）に加え、認証アプリ・セキュリティキー（所持）や生体（本人）など異なる種類の第二要素を要求する。
• パスワードレス認証：Windows Hello・FIDO2 セキュリティキー・Microsoft Authenticator など、パスワードそのものを使わない方式。フィッシングに強い。
• セルフサービスパスワードリセット（SSPR）：ユーザー自身が本人確認のうえ安全にパスワードを再設定でき、管理者の負担とロックアウトを減らす。

認証の強さは「要素の種類をいくつ組み合わせるか」で決まります。パスワード単体は最も弱く、MFA で要素を増やすほど強くなり、パスワードレスは「パスワードという弱点そのものをなくす」最も推奨される方向です。これらは利便性とのバランスを取りながら、組織のポリシーで段階的に導入します。

2.2.2条件付きアクセス

条件付きアクセス（Conditional Access）は、サインインのたびにシグナル（誰が・どの端末で・どこから・どのアプリへ・リスクの高さ）を評価し、その結果に応じて許可／ブロック／追加要求（MFA や準拠端末の要求）を自動で決めるポリシーエンジンです。「if（条件）→ then（制御）」の形でルールを作るイメージで、たとえば「社外かつ管理外端末からのアクセスには MFA を要求」「リスクの高いサインインはブロック」といった制御ができます。リスクが高いときだけ追加確認を求めるため、利便性とセキュリティを両立できます。

リスクの判定を担うのが Microsoft Entra ID Protection です。漏洩した資格情報・不審な場所・あり得ない移動（短時間での遠隔地サインイン）などからユーザーリスク／サインインリスクを算出し、条件付きアクセスと連携して「リスクが高ければ MFA を要求/ブロック」といった自動対応につなげます。

2.2.3この節のまとめ

• 認証強化：MFA／パスワードレス／SSPR
• 条件付きアクセス＝シグナルに応じて許可/ブロック/MFA要求