Microsoft 365でモダン認証(先進認証)と基本認証を有効化・無効化する方法

モダン認証(Modern Authentication)は、新規に作成されたすべてのMicrosoft 365/Azureテナントで既定で有効になっています。この認証プロトコルは、従来の基本認証(Basic Authentication)よりもはるかに安全です。Microsoftは2021年10月1日以降、すべてのMicrosoft 365クライアントに対して基本認証の使用を完全にブロックすることを計画しています。本記事では、Microsoft 365におけるモダン認証と基本認証の有効化・無効化の手順を詳しく解説します。

モダン認証と基本認証の違い

Microsoftは現在、Office 365(Microsoft 365)向けに以下の2種類の認証方式をサポートしています。

• 基本認証(Basic Authentication) – Windowsユーザーにとって最もなじみ深い認証方式です。シンプルなWindowsセキュリティ画面で資格情報(ユーザー名とパスワード)を入力し、パスワードをWindows資格情報マネージャーに保存するかどうかを選択します。この認証方式はMFA(多要素認証)に対応しておらず、ブルートフォース攻撃に対しても脆弱です。また、アプリケーション側がユーザー名とパスワードを保存し、明示的に利用して認証を行います。
• モダン認証(Modern Authentication) – ADAL(Active Directory Authentication Library)およびOAuth 2.0プロトコルに基づく認証方式です。アプリはユーザーの資格情報を保存・利用せず、有効期限付きのトークンによって認証を行います。MFAを含む追加の認証要素にも対応しています。モダン認証時のユーザー名・パスワード入力画面は以下のようになり、Microsoft 365サービスへの接続時やAzureへの接続(PowerShell接続を含む)時に表示されます。

Azure ADで基本認証のサインインログを確認する

モダン認証を有効化し、基本認証を無効化する前に、まず自社のMicrosoft 365ユーザーやアプリケーションがどの認証プロトコルを使用しているかを確認しましょう。

1. Azure Portalを開きます。
2. Azure Active Directory → サインインログ に移動します。
3. 日付範囲を 過去1か月 に設定します。
4. クライアント アプリ フィールドでフィルターを追加します。
5. フィルター条件として レガシ認証クライアント(Legacy Authentication Clients) をすべて選択します。

これにより、依然として基本認証を使用しているユーザーやアプリケーションを特定できます。検出されたアプリケーションは、モダン認証プロトコルへの移行が必要です。筆者の環境では、大部分のイベントがスマートフォンの標準メールクライアントによるものであり、MS Outlookアプリへの移行が必要でした。

なお、Microsoftは基本認証が使用されていないテナントに対しては、自動的に基本認証を無効化します。

Microsoft 365テナントでモダン認証を有効化する方法

モダン認証は、Microsoft 365管理センターから有効化できます。

1. M365管理ポータル(https://admin.microsoft.com)を開きます。
2. [設定] → [組織の設定] → [モダン認証] に移動します。
3. [Outlook 2013 for Windows 以降の先進認証を有効にする] のオプションをオンにします。
4. 変更内容を保存します。

前述のとおり、新しいOffice 365/Azureテナントでは、すべてのアプリケーションに対して基本認証が既定で無効になっています。その場合、このセクションには次のような警告が表示されます。

Your organization has security defaults enabled, which means modern authentication to Exchange Online is required, and basic authentication connections are blocked. You must turn off security defaults in the Azure portal before you can change any settings here.

テナントで基本認証のサポートを有効にするには、Azureポータルから[Azure Active Directory] → [プロパティ] → [セキュリティの既定値の管理] に移動し、[セキュリティの既定値を有効にしますか?] を [いいえ] に設定します。

[基本認証プロトコルへのアクセスを許可] の下には、複数のオプションが並んでいます。ここには、基本認証を個別に有効化できるさまざまなアプリケーションが表示されます。

• Outlookクライアント
• Exchange ActiveSync(EAS)
• Autodiscover
• IMAP4
• POP3
• 認証済みSMTP(telnetからのSMTP認証など)
• Exchange Online PowerShell(最新のEXOv2 PowerShellモジュールでは基本認証はサポートされていません)

明確に必要のないアプリケーションおよびプロトコルについては、基本認証を無効化しておきましょう。

Office 365テナントで認証ポリシーを構成している場合は、現在の設定と、基本認証の使用が許可されているプロトコルをPowerShellで確認できます。次のコマンドを使用します。

Get-AuthenticationPolicy

この例では、ポリシーは1つだけで、すべてのアプリに対してBasicAuthが無効になっています。

AllowBasicAuthActiveSync : False
AllowBasicAuthAutodiscover : False
AllowBasicAuthImap : False
AllowBasicAuthMapi : False
AllowBasicAuthOfflineAddressBook : False
AllowBasicAuthOutlookService : False
AllowBasicAuthPop : False
AllowBasicAuthReportingWebServices : False
AllowBasicAuthRest : False
AllowBasicAuthRpc : False
AllowBasicAuthSmtp : False
AllowBasicAuthWebServices : False
AllowBasicAuthPowershell : False

セキュリティを考慮すると、特定のプロトコルに対してのみ基本認証を許可する個別のポリシーを作成し、レガシーアプリケーションを使用するユーザーに割り当てることも可能です。次の例では、あるユーザーに対して、基本認証によるExchange OnlineへのリモートPowerShell接続を許可しています。

Set-AuthenticationPolicy -Identity "BasicAuth_Allow_PoSh" -AllowBasicAuthPowershell:$true
Set-User -Identity k.muller -AuthenticationPolicy "BasicAuth_Allow_PoSh"

そして、既定のポリシーでレガシ認証プロトコルをブロックします。

New-AuthenticationPolicy -Name "BasicAuth_Block"
Set-OrganizationConfig -DefaultAuthenticationPolicy BasicAuth_Block

さらに、組織の設定には OAuth2ClientProfileEnabled という別のオプションがあり、テナントでモダン認証が有効になっているかどうかを判定できます。

Get-OrganizationConfig | ft OAuth*

OAuth2ClientProfileEnabled = False の場合、モダン認証が無効であることを意味します。

Outlook 365/2019/2016/2013/2010におけるモダン認証の対応状況

Outlookのバージョンごとのモダン認証サポート状況には注意が必要です。

• Outlook 2010以前 – モダン認証に対応していません。テナント設定で基本認証が無効になっている場合、これらのバージョンのOutlookはMicrosoft 365上のExchange Onlineメールボックスに接続できません。
• Outlook 2013 – OAuthをサポートするには、レジストリキー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity の下に2つのレジストリ値を設定する必要があります(EnableADAL = 1 および Version = 1)。
• Outlook 365 / 2019 / 2016 – 既定でモダン認証をサポートしています。常にモダン認証を優先的に使用したい場合は、レジストリキー HKEY_CURRENT_USER\Software\Microsoft\Exchange の下に AlwaysUseMSOAuthForAutoDiscover = 1 を設定してください(このオプションが有効でない場合、Outlookが接続のたびにパスワード入力を繰り返し求めることがあります)。

Outlookクライアントがモダン認証を使ってOffice 365メールボックスに接続しているかどうかは、実際に確認できます。Ctrl キーを押しながらタスクトレイのOutlookアイコンをクリックし、[Outlookの接続の状態] 画面で Authn フィールドに Bearer* と表示されていることを確認してください。これは、Outlookがモダン認証を使用していることを示しています。