条件付きアクセスとは？できること・必要なライセンス・設定方法を画像付きで解説【Microsoft Entra ID】

• 条件付きアクセスという言葉は聞くけれど、何ができるのかよくわからない
• セキュリティの既定値群のままでいいのか、条件付きアクセスに切り替えるべきか判断できない
• 設定を間違えて、社員全員がサインインできなくなったらどうしよう…

Microsoft 365のセキュリティを強化しようとすると、必ず出てくるのが「条件付きアクセス」です。

社外からのアクセス制限や多要素認証の必須化など、できることが多い一方で、画面の項目も多く、どこから手を付ければよいか迷いますよね。

この記事では、Microsoft 365の導入・セキュリティ支援を行う株式会社WITHWITが、兼務のIT担当者の方にもわかるように、条件付きアクセスの基本から設定手順までを画面付きで解説します。

条件付きアクセスとは、「誰が・どこから・どの端末で・何にアクセスするか」という条件に応じて、Microsoft 365へのアクセスを許可・ブロックしたり、多要素認証を求めたりする Microsoft Entra ID の機能です。

Microsoft は、この仕組みを「ゼロ トラスト」のポリシー エンジンと位置づけています。

従来は「正しいIDとパスワードを入力すればサインインできる」という一律のルールでした。

条件付きアクセスを使うと、「社外からのアクセスには多要素認証を求める」「会社が管理していない端末からはブロックする」のように、状況に応じてルールを変えられます。

条件付きアクセスは、「シグナル（条件）」と「決定（制御）」を組み合わせた if-then のルールで動きます。

この1つ1つのルールを「条件付きアクセス ポリシー」と呼びます。

区分	主な項目	例
シグナル（条件）	ユーザー・グループ	全社員、管理者、ゲスト
シグナル（条件）	ターゲット リソース	すべてのリソース、Exchange Online、SharePoint
シグナル（条件）	ネットワーク（場所）	社内のIPアドレス、国・地域
シグナル（条件）	デバイス・アプリ	Windows・iOS、ブラウザー、レガシ認証クライアント
決定（制御）	許可	アクセスのブロック、多要素認証を要求、準拠デバイスを要求
決定（制御）	セッション	サインインの頻度、ブラウザー セッションの永続化

たとえば「ユーザー＝全社員」「リソース＝すべて」「許可＝多要素認証を要求する」と組み合わせれば、「全社員がMicrosoft 365にサインインするときは、必ず多要素認証を求める」というポリシーになります。

条件付きアクセス ポリシーは、ユーザーがIDとパスワードなどの1つ目の認証を終えた直後に評価されます。

その時点の条件に合うポリシーがあれば、多要素認証を求めたり、ブロックしたりします。

注意したいのは、すでにサインイン済みのアプリには、すぐには効かない場合があることです。

アクセス トークン（サインイン後に発行される通行証）の有効期間は既定で60〜90分程度（アプリや環境によってはさらに長い）のため、ポリシーを作成・変更した直後は、トークンが更新されるタイミングで適用されると考えてください。

条件付きアクセスでできることは、大きく「多要素認証の要求」「アクセスのブロック」「端末の制限」「セッションの制御」の4つです。

Microsoft 365を使う中小企業でよく使われる例を表にまとめました。

やりたいこと	ポリシーの組み立て方	必要なライセンス
全社員に多要素認証を必須にする	全ユーザー × すべてのリソース → 多要素認証を要求	Entra ID P1
管理者アカウントを強く守る	管理者ロール → 多要素認証を毎回要求	Entra ID P1
古い認証方式を止める	レガシ認証クライアント → ブロック	Entra ID P1
海外からのアクセスを止める	日本以外の国 → ブロック	Entra ID P1
社内ネットワーク以外では多要素認証	社内IP以外 → 多要素認証を要求	Entra ID P1
会社が管理する端末だけ許可	Intuneに準拠した端末 → 許可	Entra ID P1＋Intune
危険なサインインに追加の認証	サインイン リスク「高」→ 多要素認証	Entra ID P2

「会社が管理する端末だけ許可」は、Intune で端末を登録し、会社のルール（OS のバージョンやパスワード設定など）を満たしているかを判定する仕組みと組み合わせて使います。

Intune でできることは「Microsoft Intuneとは？できること・できないこと・料金」で解説しています。

Microsoft Intuneとは？できること・できないこと・料金を中小企業向けにわかりやすく解説

働き方の多様化に伴い、社外にあるPCやスマートフォンの管理は、IT担当者にとって頭の痛い問題のひとつです。 その解決策として必ず名前が挙がるのが、Micro...

セッション制御とは、サインインした後の状態を制御する設定です。

代表的なのが「サインインの頻度」で、「共用パソコンでは毎日サインインし直す」「管理者は数時間ごとに再認証する」のように、もう一度サインインを求めるまでの間隔を決められます。

「Office 365で毎回多要素認証を求められる」という場合は、このサインインの頻度が短く設定されていないかを確認してください。

ネームド ロケーションとは、条件付きアクセスで使う「場所」をあらかじめ登録しておく機能です。

社内のIPアドレス範囲（IPv4・IPv6）や、国・地域を登録できます。

たとえば本社と支店の固定IPアドレスを「社内」として登録しておけば、「社内以外からのサインインには多要素認証を求める」といったポリシーが作れます。

国・地域を登録すれば、「日本以外からのサインインはブロックする」といった使い方もできます。

IP範囲の場所は「信頼できる場所」としてマークすることもできます。

なお、ネームド ロケーションは1テナントあたり195個まで、1つの場所に登録できるIP範囲は2,000個までです。

セキュリティの既定値群は「Microsoftが決めた基本の守りを一括でオンにする無料の設定」、条件付きアクセスは「自社のルールを細かく決められる有料（Entra ID P1以上）の機能」です。

両者は同時には使えず、条件付きアクセスを本格的に使うときは、セキュリティの既定値群を無効にします。

項目	セキュリティの既定値群	条件付きアクセス
費用	無料（全テナント）	Entra ID P1以上が必要
多要素認証	全ユーザーに登録を求め、必要に応じて要求	対象・タイミングを自由に指定
管理者の保護	管理者には毎回多要素認証	ロール単位で細かく指定
レガシ認証	一括でブロック	例外を付けてブロックできる
場所・端末での制御	できない	社内IP・国・準拠端末で制御
例外ユーザー	作れない	緊急用アカウントなどを除外できる

セキュリティの既定値群でオンになるのは、全ユーザーへの多要素認証の登録要求、管理者への多要素認証、レガシ認証のブロック、デバイス コード フローのブロック、Azure portal など特権操作の保護です。

設定が有効かどうかは、Microsoft Entra 管理センターの「概要」→「プロパティ」で確認できます。

Entra ID P1を含むライセンスがないなら、まずはセキュリティの既定値群を有効にしておくのが基本です。

一方で、次のような要望が1つでもあれば、条件付きアクセスへの切り替えを検討する価値があります。

• 社内からのアクセスでは多要素認証を省きたい（社外だけ求めたい）
• 海外からのサインインを止めたい
• 会社が管理するパソコン・スマホ以外からのアクセスを制限したい
• 複合機など一部の機器だけ、古い認証方式を例外として残したい

レガシ認証（古い認証方式）が危険とされる理由や、ブロック前の確認方法は「レガシー認証とは？先進認証との違い・確認方法・ブロック手順」で詳しく解説しています。

レガシー認証とは？先進認証との違い・確認方法・ブロック手順【2026年12月SMTP AUTH既定無効化に対応】

Microsoft 365のセキュリティ対策を調べていると、必ず出てくるのが「レガシー認証」という言葉です。 古い仕組みのため、乗っ取り被害の入口になりやす...

条件付きアクセスを使うには、Microsoft Entra ID P1以上のライセンスが必要です。

サインイン リスクやユーザー リスクを条件にするリスクベースのポリシーには、Entra ID P2（ID 保護）が必要です。

ライセンス	含まれるEntra ID	条件付きアクセス
Microsoft 365 Business Basic / Standard	Free	使えない（既定値群のみ）
Microsoft 365 Business Premium	P1	使える
Microsoft 365 E3	P1	使える
Microsoft 365 E5	P2	リスクベースも使える
Microsoft Entra ID P1（単体）	P1	使える（¥1,049/ユーザー/月）

Business Standard を使っている会社なら、Entra ID P1 を単体で追加する方法と、Business Premium（年払い ¥3,298/ユーザー/月・税抜）へ切り替える方法があります。

Business Premium には Entra ID P1 のほか、Intune や Defender for Business も含まれるため、端末管理やウイルス対策までまとめて整えたい場合は Business Premium のほうが割安になることが多いです。

Business Premium で使えるセキュリティ機能の全体像は、こちらの記事で解説しています。

【セキュリティ対策も万全】Microsoft 365 Business Premiumで実現する、安心のIT環境とは？

「テレワークが普及して、社員が使うPCやスマホの管理が難しくなった」 「お客様の個人情報や会社の機密情報を扱っており、サイバー攻撃や情報漏洩が心配だ」 「専...

なお、ライセンスの有効期限が切れても、作成済みのポリシーは自動では無効になりません。

ただし表示と削除しかできなくなるため、ライセンスを減らすときは事前にポリシーを見直しましょう。

最初は、Microsoft が用意しているテンプレートの中から、次の5つを中心に作るのがおすすめです。

いずれも「誰か1人でも狙われたら会社全体が危ない」部分を守るポリシーです。

優先度	ポリシー	守れること
1	管理者に多要素認証を要求する	管理者アカウントの乗っ取りによる全社被害
2	レガシ認証をブロックする	多要素認証をすり抜けるパスワード攻撃
3	すべてのユーザーに多要素認証を要求する	パスワード漏えいによる不正サインイン
4	セキュリティ情報の登録を保護する	攻撃者による認証方法の勝手な登録
5	国・地域でアクセスを制限する	海外からの不正サインイン

テンプレートは、条件付きアクセスの「ポリシー」画面にある「新しいポリシーをテンプレートから」から選べます。

「安全な基盤」「ゼロ トラスト」「リモート ワーク」「管理者の保護」「新しい脅威」の分類で用意されており、テンプレートから作ったポリシーは最初「レポート専用」の状態で作成されます。

また、ライセンスの条件を満たすテナントには、Microsoft が作成・管理する「Microsoft マネージド ポリシー」が自動で追加されることがあります。

レポート専用で作られ、オフにしない限り、通知から一定期間後に Microsoft によって有効にされます。

ポリシー一覧に見覚えのないポリシーが増えていたら、このマネージド ポリシーかどうかを確認してください。

Microsoft 365の導入支援の現場では、「とりあえず全員に多要素認証」から始めて、社外アクセスの制限や端末の制限は社員の働き方を確認しながら段階的に追加する進め方が、トラブルが少なくおすすめです。

ここでは「すべてのユーザーに多要素認証を要求する」ポリシーを、テンプレートを使わずに作成する手順を紹介します。

作業には、条件付きアクセス管理者以上の管理者ロールが必要です。

Microsoft Entra 管理センター（entra.microsoft.com）にサインインし、左のメニューの「Entra ID」→「条件付きアクセス」を開きます。

「ポリシー」画面で「新しいポリシー」をクリックします。

「名前」に、あとから見て内容がわかる名前を入力します。

「CA01_全ユーザーに多要素認証を要求」のように、番号と内容を入れておくと、ポリシーが増えても管理しやすくなります。

「ユーザー」をクリックし、「対象」タブで「すべてのユーザー」を選びます。

画面には「自分自身をロックアウトしないでください」という注意が表示されます。

「対象外」タブを開き、「ユーザーとグループ」にチェックを入れて、緊急アクセス用アカウント（後述）を選びます。

設定ミスで全員がサインインできなくなったときに、このアカウントで管理センターに入って元に戻すためです。

「ターゲット リソース」をクリックし、「すべてのリソース（以前の“すべてのクラウド アプリ”）」を選びます。

Outlook・Teams・SharePoint など、Microsoft 365のすべてのサービスが対象になります。

「アクセス制御」の「許可」をクリックし、「アクセス権の付与」を選んで「多要素認証を要求する」にチェックを入れ、「選択」をクリックします。

その下にある「認証強度が必要」を選ぶと、パスキーなどフィッシングに強い方法だけを許可するといった、より厳しい指定もできます。

「多要素認証を要求する」と「認証強度が必要」は同時には選べません。

「ポリシーの有効化」を「レポート専用」にして「作成」をクリックします。

レポート専用とは、ポリシーを実際には適用せず、「もし有効だったら誰がどう判定されたか」だけを記録するモードです。

セキュリティの既定値群が有効なテナントでは、「条件付きアクセス ポリシーを有効にする前に、まずセキュリティの既定値群を無効にする必要があります」という案内が表示されます。

レポート専用で影響を確認し、問題がなければセキュリティの既定値群を無効にしてから、ポリシーを「オン」に切り替えます。

既定値群を無効にした時点で守りが外れるため、切り替えは同じ日のうちに続けて行いましょう。

条件付きアクセスで最も避けたいのは、設定ミスで管理者を含む全員がサインインできなくなる「ロックアウト」です。

次の4点を守れば、リスクを大きく下げられます。

Microsoft は、グローバル管理者の権限を持つクラウド専用の緊急アクセス用アカウントを2つ以上作成し、サインインをブロック・制限するポリシーの対象外にすることを推奨しています。

普段は使わず、パスワードやパスキーを厳重に保管しておきます。

Microsoft は、ポリシーをオンにする前に少なくとも1週間はレポート専用で動かすことを勧めています。

結果は、サインイン ログの「条件付きアクセス」「レポート専用」タブで確認できます。

条件付きアクセスのポリシーには優先順位がありません。

1人のユーザーに複数のポリシーが当てはまる場合は、当てはまるすべてのポリシーの条件を満たす必要があり、1つでも「ブロック」のポリシーがあればアクセスはブロックされます。

逆に、どのポリシーにも当てはまらなければ、アクセスはそのまま許可されます。

What If ツールを使うと、「このユーザーが、この場所から、このアプリにサインインしたら、どのポリシーが適用されるか」をシミュレーションできます。

ポリシー一覧の「What If」から開けます。

社員から「現時点ではこれにはアクセスできません」というエラーが出たと連絡があった場合は、条件付きアクセスでブロックされている可能性があります。

エラーコード「53003」が表示されていれば、条件付きアクセスによるブロックです。

サインイン ログで対象のサインインを開き、「条件付きアクセス」タブでどのポリシーが原因かを確認してください。

---

条件付きアクセスを入れた直後は、「サインインできない」「急に認証を求められるようになった」といった問い合わせが増えがちです。

Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。

▼資料ダウンロードはこちら 『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』

---

• 条件付きアクセスとは、ユーザー・場所・端末などの条件に応じて、アクセスの許可・ブロックや多要素認証を自動で切り替える Microsoft Entra ID の機能
• 利用には Entra ID P1以上が必要。Business Premium・E3に含まれ、Business Basic・Standardには含まれない
• セキュリティの既定値群とは同時に使えない。条件付きアクセスをオンにする前に既定値群を無効にする
• まずは「管理者の多要素認証」「レガシ認証のブロック」「全員の多要素認証」から始める
• 緊急アクセス用アカウントを除外し、レポート専用とWhat Ifで影響を確かめてからオンにする

条件付きアクセスは、正しく設定すれば「社員の手間は増やさずに、乗っ取りのリスクを大きく下げる」ことができる機能です。

まずはレポート専用で1つ目のポリシーを作り、自社のサインインの実態を確かめるところから始めてみてください。

Microsoft 365のセキュリティ対策全体の進め方は「Microsoft 365導入後、まずやるべき4つのセキュリティ対策と設定手順」もあわせてご覧ください。

Microsoft 365導入後、まずやるべき4つのセキュリティ対策と設定手順

「Microsoft 365を導入したけれど、セキュリティ設定は初期状態のままで大丈夫だろうか？」 「どこまで対策すれば安全と言えるのか、基準が分からない」...

---

他社がどのようにセキュリティと使いやすさを両立しているか、気になりませんか？ 条件付きアクセスをどこまで厳しくするかは、会社の規模や働き方によって変わります。

そんな疑問をお持ちでしたら、ぜひ弊社の「中小企業の導入成功事例集」をご覧ください。

---

• Microsoft Learn「条件付きアクセスとは」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/overview
• Microsoft Learn「条件付きアクセスの展開を計画する」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/plan-conditional-access
• Microsoft Learn「Microsoft Entra ID のセキュリティの既定値群」https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults
• Microsoft Learn「条件付きアクセスのレポート専用モード」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-report-only
• Microsoft Learn「条件付きアクセス ポリシーの構築」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-policies
• Microsoft Learn「条件付きアクセス ポリシーのネットワーク割り当て」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-assignment-network
• Microsoft Learn「緊急アクセス用アカウントを管理する」https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/security-emergency-access
• Microsoft Learn「Microsoft マネージド ポリシー」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/managed-policies
• Microsoft Learn「What If ツール」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/what-if-tool
• Microsoft「Microsoft Entra の価格」https://www.microsoft.com/ja-jp/security/business/microsoft-entra-pricing