この記事は更新から24ヶ月以上経過しているため、最新の情報を別途確認することを推奨いたします。

はじめに

こんにちは、パーソルプロセス&テクノロジーの木村です。
本記事では当社で提供させていただいているホワイトペーパー「ゼロトラストモデルの実現！Microsoft 365 で作る安全なリモートワーク環境」で紹介しているAzure Active Directory Premium P1とMicrosoft Cloud App Securityを使ったセッション制御について試していきたいと思います。

検証内容

• 管理されていない端末からOffice 365を利用するときにはブラウザ経由のみを許可する
• 上記の場合においてOffice 365からのデータのダウンロードをブロックする。またコピーや印刷のアクションをブロックする。

Azure ADの条件付きアクセスの設定

制御の対象となるアプリにOffice 365を設定します。

条件の項目でOffice 365へのアクセスはブラウザーのみとします。

管理されている端末はこのポリシーの対象外に入れます。

セッション設定の「アプリの条件付きアクセス制御を使う」で「カスタムポリシーを使用する」を選択してあげることでMicrosoft Cloud App Securityのポリシーと統合することができます。

補足　BYODケースでの Azure ADの条件付きアクセスの設定

デバイスをAzure ADに登録していないケースではTeamsのデスクトップクライアントなどからOffice 365にアクセスができてしまうので別の条件付きアクセスポリシーを作成します。

今回はWindows端末はブラウザー以外のアクセスをブロックする設定にしております。

Microsoft Cloud App Securityの設定

次にMicrosoft Cloud App Securityに移動します。
接続アプリの「アプリの条件付きアクセス制御 アプリ」にOffice 365の各種コンポーネントが一覧に表示されていることを確認します。

「ポリシーの作成」から「セッション ポリシー」を選択します。

ポリシーテンプレートから「リアルタイムのコンテンツ検査に基づいてダウンロードをブロックします」と「リアルタイムのコンテンツ検査に基づいて切り取り、コピー、貼り付けをブロックします」を選択します。

• ファイルのダウンロードをブロックするポリシー

検査方法は「なし」を選択してポリシーを保存します。

• 画面の切り取り／コピー／貼り付け／印刷をブロックするポリシー

アクティビティソースのフィルターで「Print」を追加選択します。

「コンテンツ検査を使用する」からチェックを外しポリシーを保存します。

動作確認

Microsoft Cloud App Securityのセッションポリシーを利用した条件付きアクセスを設定した状態でOffice 365にアクセスしてみます。リモートワークが推進された現在ではTeamsを利用するケースが多いと思いますのでTeamsにアクセスしてみます。
するとTeamsへのアクセスがMicrosoft Cloud App Securityによって監視されていることがわかります。(表示画面は規定のものになります。管理者側でカスタマイズすることが可能です。)

Teams上にアップロードをされているファイルをダウンロードするとMicrosoft Cloud App Securityのポリシー通りブロックされることを確認いたしました。

またTeams上にあるチャットのテキストをコピーしてみるとこちらもMicrosoft Cloud App Securityで設定したポリシー通りブロックされました。

Teams以外にもSharePoint OnlineやExchange Online、One Drive for Businessでもダウンロードやコピーなどのアクションをしてみましたが同様にブロックされることが確認することができました。

またTeamsデスクトップクライアントからアクセスすると補足の箇所で作った条件付きアクセスポリシーが動作してアプリからのアクセスをブロックすることができました。

最後に

Azure ADで接続元IP制御を運用しているお客様はたくさんいらっしゃると思いますがMicrosoft Cloud App Securityを併用するとBYODのシナリオであっても一定の利便性と安全性を保ってOffice 365を利用することができるようになります。
当社ではMicrosoft 365の機能を使って「いつでも・どこでも・どのデバイスからでも安全に業務ができる環境」を実現するための活用支援を提供しております。今回紹介させていただいたMicrosoft Cloud App SecurityだけでなくIntuneを使ったデバイス管理などのご支援もさせていただいておりますので、実現したいリモートワーク環境がございましたらお気軽にご相談ください。