Azureにおける多要素認証（MFA）の基本と見落としがちなポイント

はじめに

近年、アカウントの不正利用によるセキュリティインシデントが数多く発生しています。
ID・パスワードが漏えいしてしまった場合でも、不正アクセスを防ぐためには、多要素認証（MFA）の設定が非常に重要です。
Azureには複数のMFA機能がありますが、それぞれ特徴や制限が異なります。そのため、MFAを設定しているつもりでも、アクセス経路によってはMFAが要求されないケースがあります。
そこで、本ブログでは、AzureにおけるMFAの基本機能と、見落としがちなポイントについて解説していきます。

Azureで利用できるMFA機能

Azureで利用できるMFA機能には、大きく分けて以下の2種類があります。

Microsoftが自動で適用するMFA
管理者が設定するMFA

Microsoftが自動で適用するMFA

まずは、Microsoftが自動で適用するMFAを見ていきましょう。Microsoftが自動で適用するMFAは、2段階に分けて適用がされることになっています。

① 多要素認証強制化フェーズ1

Microsoft により、2024年10月以降、テナントごとに順次適用されるもので、フェーズ１が適用されたテナントでは、以下GUI上のサービス接続時に、ユーザーにMFA認証が強制化されます。

Azure portal
Microsoft Entra 管理センター
Microsoft Intune 管理センター
Microsoft 365 管理センター

フェーズ１のポイントは以下になります。

適用対象は全ユーザー
一部ユーザーのみ適用除外することはできない

② 多要素認証強制化フェーズ2

Microsoft により、2025年10月以降、テナントごとに順次適用されるもので、以下CUI上から接続時に、ユーザにMFA認証が強制化されます。

Azure CLI
Azure PowerShell
Azure Mobile App
IaCツール
Azure REST API

フェーズ2のポイントは以下になります。

適用対象は全ユーザー
一部ユーザーのみ適用除外することはできない
作成・更新・削除のみMFA対象
読み取り操作は対象外
Microsoft Graph APIは対象外

弊社で確認している範囲では、フェーズ1は多くのテナントで適用済みとなっていますが、フェーズ2は未適用のテナントも多いように見受けられます。（2026年7月時点）

なお、フェーズ2は2025年10月1日”以降”に開始となっていますが、2025年10月1日に開始と読み間違いやすい記載がされているサイトも多くあり、誤って認識されている方も多いように見受けられます。
そのため、実際に適用されているかどうかは、自社テナントにて以下に接続し、確認することをおすすめします。

https://aka.ms/postponePhase2MFA

「ディレクトリ内のすべてのユーザーに対して多要素認証が強制されます。」と表示されていれば適用済みです。

以下画像のように、「多要素認証の適用（フェーズ2）はXXXX年XX月XX日以降に開始されます」と表示されている場合は、まだ適用されていません。

”2025年10月1日”以降等、過去の日付が書いてある場合でも、まだ適用されていません。

なお、この適用状況はテナント単位です。複数テナントを利用している場合は、それぞれ確認が必要になります。
また、Microsoftはフェーズ2適用前でも同等の制限を実現できるポリシーを公開していますので、フェーズ２の適用を待てないという方は、ポリシーの活用も検討ください。

管理者が設定できるMFA

続いて、管理者が設定できるMFAを見ていきましょう。

③ 条件付きアクセスポリシー

※利用には、テナントが、Microsoft Entra ID Premium P1以上である必要があります。

条件付きアクセスポリシーの特徴は以下になります。

適用対象は選択可能
→ユーザー、グループ、特定のロールを持つユーザー等の単位で、柔軟に適用対象を選択することが可能
ターゲットを「すべてのクラウドアプリ」にすることで、”読み取り操作”や ”Microsoft Graph API 経由のアクセス”にもMFA要求可能

④ セキュリティ規定値群

※ライセンスを持っていないFreeテナントで利用できます。逆にMicrosoft Entra ID Premium P1以上のテナントでは利用できません。

セキュリティ規定値群のポイント以下になります。

グローバル管理者など一部の管理者ロールを持つユーザーには毎回MFA要求可能がされる
一般ユーザーはMFA登録のみ必須で、サインイン時のMFA要求はリスクに応じて実施される
→一般ユーザーは毎回MFA要求されるわけではない
Microsoft Graph API経由のアクセスにMFAが要求されるとは限らない

セキュリティ規定値群は、過去にMicrosoftにより、全テナントに対して自動で有効化されましたので、管理者側で操作していなければ、現在も有効化になっていることが想定されます。
また、MFAを何も設定していない場合には、まずはセキュリティ規定値群だけでも有効化しておくことがMicrosoftからも推奨されています。

⑤ユーザーごとのMFA

※Freeテナント、Premiumテナント関係なく、どのテナントでも利用可能です。

ユーザーごとのMFAのポイントは以下になります。

適用対象は選択可能
→ユーザー単位で有効化/無効化する仕様
Microsoft Graph API経由のアクセスでもMFAが要求される
「③条件付きアクセスポリシー」「④セキュリティ規定値群」との併用は推奨されていない

見落としがちなポイント

多くのお客様が見落としがちなのが、Microsoft Graph API経由のアクセスです。
ID・パスワードが漏えいした場合、攻撃者はAzure PortalではなくMicrosoft Graph API経由でアクセスを試みるケースがあります。
しかし、利用しているMFA設定によっては、Microsoft Graph API経由でアクセス時にMFAが要求されません。

例えば、「② 多要素認証強制化フェーズ2」は、Microsoft Graph API経由のアクセスはMFA要求対象外となっています。

「③の条件付きアクセス」では、ターゲットを「すべてのクラウドアプリ」に設定した場合は、Microsoft Graph API経由のアクセスにもMFAが要求されます。一方、「特定のクラウドアプリ」のみを対象にしている場合は、Microsoft Graph API経由のアクセスではMFAが要求されません。
これは、Microsoft Graph APIだけを対象にMFAを要求する設定が存在しないためです。そのため、Microsoft Graph APIも保護したい場合は、「すべてのクラウドアプリ」を対象に設定する必要があります。

「④のセキュリティ規定値群」は、Microsoft Graph API経由のアクセスかどうかではなく、ユーザーやリスクに応じてMFAを判断しますので、Microsoft Graph API経由でもMFAが要求されるとは限りません。

「⑤のユーザーごとのMFA」については、Microsoft Graph API経由のアクセスもMFA対象になります。ただし、ユーザー追加された際に自動で適用される機能ではないため、ユーザーが追加されたら手動で追加する運用が必要になります。

このように、“MFAを設定しているから安心”ではなく、どの経路でアクセスした場合にMFAが要求されるのかまで確認し、利用環境に合わせて適切なMFAを設定していくことがとても重要になります。

まとめ

ここまでAzureで利用できるMFA機能について紹介をしてきましたが、では結局のところ、どのような設定が最適なのでしょうか？最後に、推奨される設定について紹介していきます。

まず、MFAの推奨設定は、テナントのライセンスによって異なります。

Premium P1/P2テナントの場合

条件付きアクセスでMFAを構成することをおすすめします。
この際、Microsoft Graph API経由からの接続時にMFA強制化したい場合は、ターゲットを「すべてのクラウドアプリ」に設定しましょう。

Freeテナントの場合

最低限のセキュリティ対策として、セキュリティ規定値群を利用することをおすすめします。
管理者が無効化していない限り、現在のFreeテナントでは既定で有効となっています。
ただし、Microsoft Graph API経由のアクセスにも確実にMFAを要求したい場合は、「ユーザーごとのMFA」を利用する方法もあります。
ただし、セキュリティ規定値群とユーザーごとのMFAの併用は推奨されていないため、導入時は注意してください。

おわりに

Microsoft Entra IDの認証やMFAの仕様は、現在も継続的に変更されています。

本記事は執筆時点（2026年7月）の情報をもとに作成しています。Microsoft Entra IDの仕様は今後も変更される可能性がありますので、実際の導入や運用にあたっては、最新のMicrosoft公式ドキュメントもあわせて確認し、自社環境に合ったMFA構成を選択してください。

当サイトはパーソルクロステクノロジー㈱より提供しています