Azure Active Directoryにおける段階的な多要素認証の強化を確認、設定する方法：企業ユーザーに贈るWindows 11への乗り換え案内（15）

画面1　AzureポータルでAzure Active Directoryの「システムが優先する多要素認証」を設定する

　「Microsoft Entra管理センター」（https://entra.microsoft.com/）の場合は、「Azure Active Directory｜保護とセキュリティ保護｜認証方法｜設定」を開きます（画面2）。

画面2　Microsoft Entra管理センターでAzure Active Directoryの「システムが優先する多要素認証」を設定する

　ここで管理者は、「システムが優先する多要素認証」の状態を確認、変更できます。Microsoftのクラウドサービスリソースへのアクセスを可能にする「Microsoft Graph API」（https://learn.microsoft.com/ja-jp/graph/overview）を使用して、「authenticationMethodsPolicy」の「systemCredentialPreferences」でこの機能の設定を確認、構成することも可能です（画面3）。

画面3　Microsoft Graph APIによる「システムが優先する多要素認証」（systemCredentialPreferences）設定の確認（この画面はMicrosoft Graph Explorerを使用）

　「システムが優先する多要素認証」を「有効」に切り替えると、ユーザーが自分で設定した既定の認証方法に関係なく、ユーザーが利用可能な最も安全な認証方法（通常、Microsoft Authenticatorアプリによる認証）が提示されるようになります（画面4、画面5）。

画面4　「システムが優先する多要素認証」が「無効」（現在の「Microsoftマネージド」を含む）の場合のID／パスワード認証後の多要素認証の選択

画面5　「システムが優先する多要素認証」が「有効」の場合、最初にMicrosoft Authenticatorアプリによる認証が求められる

　システムが優先する多要素認証の方法が利用できない場合は、以前（前出の画面3）のように、複数の選択肢から認証方法をユーザーが選択して認証を進めることができます。

2023年6月にMicrosoftによる本格的なロールアウト開始

　この機能は既定で「Microsoftマネージド」「有効」「無効」の3つの選択肢のうち、「Microsoftマネージド」の状態で導入されています。

　2023年4月の時点では、「Microsoftマネージド」は「無効」の設定と同じ状態であり、この機能は「無効」の状態で導入されています。「Microsoftマネージド」の設定のままにしてある場合、Microsoftが適切なタイミングでこの機能を利用者のテナントに段階的にロールアウトし、全てのテナントにロールアウトされた後、「無効」の設定は削除される予定です。

　そして、Microsoftは2023年6月9日（米国時間）、「Authenticator Lite（Outlookモバイル用）」について「Microsoftマネージド」値を「無効」から「有効」に移行しました。エンドユーザーがMicrosoft Authenticatorアプリを導入しておくように、多要素認証ポリシーを使用して多要素認証の再設定をユーザーに要求するなどしておくことをお勧めします（画面6）。

画面6　Microsoft Authenticatorアプリによる多要素認証ができるように、ユーザーとデバイスを準備しておく