条件付きアクセスのデバイスフィルタを使ってみる！

by Hironori

Slide 1

Slide 1 text

条件付アクセスのデバイスフィルタを活用してみる！ 2021/11/22 三井情報株式会社若間弘典

Slide 2

Slide 2 text

はじめに • 本発表の内容はあくまで個人的な意見や体験であり、会社としての正式な見解や意見では一切ありません。

Slide 3

Slide 3 text

自己紹介 • 名前：若間弘典 (Hironori Wakama) • 所属：三井情報株式会社 • 主に触っているモノ • Microsoft Intune(デバイス管理) • Azure AD条件付きアクセス(アクセス制御) • Power PlatformやAzureを使った自動化 • 趣味：触っているモノと大体いっしょ • 自宅環境：Microsoft 365 E5導入済み • 本発表の一般人枠(MVPの方々が多すぎて畏れ多い・・・)

Slide 4

Slide 4 text

Microsoft Ignite と私

Slide 5

Slide 5 text

Microsoft Ignite が今年もやってきてましたおなじみ

Slide 6

Slide 6 text

どこから見ようか？

Slide 7

Slide 7 text

やはりサティア・ナデラさんのOPから視聴計画立てて入念に・・・？

Slide 8

Slide 8 text

いや違う

Slide 9

Slide 9 text

私は好きなものは先に食べる男

Slide 10

Slide 10 text

興味あるところから見るのがポリシー

Slide 11

Slide 11 text

つまりはここらへん

Slide 12

Slide 12 text

とりあえずこれから見ていこう

Slide 13

Slide 13 text

条件付きアクセス周りもいっぱい更新

Slide 14

Slide 14 text

でも予定が多い・・・

Slide 15

Slide 15 text

ん？

Slide 16

Slide 16 text

新機能がGAだ！

Slide 17

Slide 17 text

条件付きアクセスとは？(おさらい) デバイスやユーザーの状態を基にクラウドアプリへのアクセス制御を行うツールセキュリティ回りを触ると必ず行きつく機能

Slide 18

Slide 18 text

アクセス禁止アクセス許可これまでの条件付きアクセスアクセス制御は「誰が」「どこから」「どこへ(どのアプリ？)」がメインだった

Slide 19

Slide 19 text

これまでの条件付きアクセス + Intune アクセス禁止アクセス許可 Intuneを併用すると「どんなデバイス？」を条件に加えることができた

Slide 20

Slide 20 text

アクセス禁止アクセス許可これまでの条件付きアクセス + デバイスフィルタ(?) どうやらデバイスフィルタを使うと条件に「デバイス」が使えるようになるらしい

Slide 21

Slide 21 text

なるほど

Slide 22

Slide 22 text

条件付きアクセスでデバイスを条件として使えるようになったのか、と。

Slide 23

Slide 23 text

・・・

Slide 24

Slide 24 text

Intune要らなくなった？

Slide 25

Slide 25 text

どうしたMicrosoft

Slide 26

Slide 26 text

Intune愛好家を見捨てるのか

Slide 27

Slide 27 text

いやそんなことはない

Slide 28

Slide 28 text

Intuneとデバイスフィルタは全然違うんだろう！

Slide 29

Slide 29 text

調べなければ！

Slide 30

Slide 30 text

デバイスフィルタを！あとIntuneの生き残る道。

Slide 31

Slide 31 text

こうして

Slide 32

Slide 32 text

私はデバイスフィルタの検証へ

Slide 33

Slide 33 text

なので Microsoft Ignite と私

Slide 34

Slide 34 text

実は条件付きアクセスの新機能以外あまり調べられていなかったりする Microsoft Ignite と私 (あとIntune)

Slide 35

Slide 35 text

皆さんの発表やオススメを参考に他も見ていこうかな、と思います！ Microsoft Ignite と私

Slide 36

Slide 36 text

今日は条件付きアクセスのデバイスフィルタを触ってみた結果/考えてみた活用方法を共有というわけで

Slide 37

Slide 37 text

1. Intuneとの違いはなんだ？ 2. デバイスフィルタだからできることってなんだ？

Slide 38

Slide 38 text

1. Intuneとの違いはなんだ？ 2. デバイスフィルタだからできることってなんだ？

Slide 39

Slide 39 text

Intune vs デバイスフィルタ

Slide 40

Slide 40 text

Intune (コンプライアンスポリシー)で設定できる条件 • デバイスの正常性 • BitLocker • セキュアブート • コード整合性 • ＯＳバージョン • 最小/最大 • 暗号化 • ファイアウォール • ＴＰＭ • ウィルス対策 • スパイウェア対策 • パスワード • Defender マルウェア対策 • リアルタイム保護 • MDEのマシンリスクスコア

Slide 41

Slide 41 text

デバイスフィルタで設定できる条件 • デバイスID • デバイス名 • デバイス所有者 • Intune準拠状況 • Manufacturer • Model • Operating System • Operating System Version • 物理ID • Profile Type • System Labels • Trust Type • Extension Attribute1 - 15

Slide 42

Slide 42 text

Intune vs デバイスフィルタ • デバイスID • デバイス名 • デバイス所有者 • Intune準拠状況 • Manufacturer • Model • Operating System • Operating System Version • 物理ID • Profile Type • System Labels • Trust Type • Extension Attribute1 - 15 • デバイスの正常性 • BitLocker • セキュアブート • コード整合性 • ＯＳバージョン • 暗号化 • ファイアウォール • ＴＰＭ • ウィルス対策 • スパイウェア対策 • パスワード • Defender マルウェア対策 • リアルタイム保護 • MDEのマシンリスクスコア思っていた以上に全然違っていた

Slide 43

Slide 43 text

Intune vs デバイスフィルタデバイスに対する細かな社内ルールを設定し社内ルールを満たしたデバイスのみアクセスを許可したい Intuneが必要 • デバイスID • デバイス名 • デバイス所有者 • Intune準拠状況 • Manufacturer • Model • Operating System • Operating System Version • 物理ID • Profile Type • System Labels • Trust Type • Extension Attribute1 - 15 • デバイスの正常性 • BitLocker • セキュアブート • コード整合性 • ＯＳバージョン • 暗号化 • ファイアウォール • ＴＰＭ • ウィルス対策 • スパイウェア対策 • パスワード • Defender マルウェア対策 • リアルタイム保護 • MDEのマシンリスクスコア

Slide 44

Slide 44 text

Intune vs デバイスフィルタ Model名やManufacturerといった値はIntuneから参照している様子。デバイスフィルタを最大限活かすなら… Intuneが必要 • デバイスID • デバイス名 • デバイス所有者 • Intune準拠状況 • Manufacturer • Model • Operating System • Operating System Version • 物理ID • Profile Type • System Labels • Trust Type • Extension Attribute1 - 15

Slide 45

Slide 45 text

Intune要らなくなった？つまり

Slide 46

Slide 46 text

Intune要らなくなった？ Intune ≠ デバイスフィルタ設定項目も狙っている役割も全然違う

Slide 47

Slide 47 text

Intune要らなくなった？ Intuneはこれからも必要だったデバイスフィルタとも仲良くなれそうです

Slide 48

Slide 48 text

1. Intuneとの違いはなんだ？ 2. デバイスフィルタだからできることってなんだ？

Slide 49

Slide 49 text

これまでの条件付きアクセスの設定と限界許可されていない場所からのアクセスはブロック ⇒同じ場所+同じOS+同じアプリからならどれでもOK OUT

Slide 50

Slide 50 text

これまでの条件付きアクセスの設定社内ルールを守らないデバイスはブロック ⇒社内ルールを守っているデバイスならどれでもOK! with Intune OUT

Slide 51

Slide 51 text

これまでの条件付きアクセスの設定どれか1つだけアクセスさせることはできない with Intune コレ

Slide 52

Slide 52 text

これまでの条件付きアクセスの設定この二つの区別はできない。なぜ？ with Intune コレ特定のＰＣからだけ管理ポータルにアクセスできるようにして欲しいな (なっ、それはIntuneではできない…) なんで必要なんですか？

Slide 53

Slide 53 text

これまでの条件付きアクセスの設定この二つの区別はできない。なぜ？ with Intune コレコレ管理専用ＰＣが1台あるんだ。管理者はそのPC から管理者用アカウントを使って操作するの。それがうちのルールだから。あー ※実際結構多い要望だと思います OUT..ではないけどアクセス禁止したい管理専用PC

Slide 54

Slide 54 text

これまでの条件付きアクセスの設定この二つの区別はできない。なぜ？ with Intune コレコレ管理専用ＰＣが1台あるんだ。管理者はそのPC から管理者用アカウントを使って操作するの。それがうちのルールだから。あー ※実際結構多い要望だと思います OUT..ではないけどアクセス禁止したい管理専用PC 「あ、それできないんですよ。すいません…」

Slide 55

Slide 55 text

Slide 56

Slide 56 text

これまでの条件付きアクセスの設定この二つの区別はできない。なぜ？ with Intune コレコレ管理専用ＰＣが1台あるんだ。管理者はそのPC から管理者用アカウントを使って操作するの。それがうちのルールだから。あー ※実際結構多い要望だと思います OUT..ではないけどアクセス禁止したい管理専用PC これからはデバイスフィルタで実現できるでも

Slide 57

Slide 57 text

デバイスフィルタでできる設定 • デバイスID • デバイス名 • デバイス所有者 • Intune準拠状況 • Manufacturer • Model • Operating System • Operating System Version • 物理ID • Profile Type • System Labels • Trust Type • Extension Attribute1 - 15

Slide 58

Slide 58 text

Slide 59

Slide 59 text

デバイスフィルタからExtensionAttributeを利用する ExtensionAttribute に“ManagePC”と設定こっちからはアクセスできるこっちからはアクセスできない

Slide 60

Slide 60 text

デバイスフィルタからExtensionAttributeを利用するポータルから設定するところがないのでGraph APIで設定

Slide 61

Slide 61 text

1. Intuneとの違いはなんだ？ 2. デバイスフィルタだからできることってなんだ？

Slide 62

Slide 62 text

Intune とデバイスフィルタを組み合わせることで今後は

Slide 63

Slide 63 text

管理者ロールがあるアカウントに対し・・・ 1. MFA要求に対応できるユーザーが使っていて 2. 許可された場所(会社の出口IPアドレス)から使っていて 3. 社内ルール(Intune)を満たしているデバイスで 4. その中の特定デバイスからアクセスした時のみアクセス許可することができるようになります！

Slide 64

Slide 64 text

今日皆様に伝えたかったこと Microsoft Ignite 2021でGA告知がなされたデバイスフィルタは… 1. デバイスフィルタ≠Intuneであること。Intune併用するとさらに細かな制御ができるように！ 2. デバイスフィルタを使えばユニークなデバイスを狙い撃ちしたポリシーも実装可能。デバイスフィルタを使って自宅の条件付きアクセスを見直そう！イベント終わったらそのまま