条件付きアクセス ポリシーの設定ミスや、広範囲にわたる MFA（多要素認証）サービスの停止により、すべての管理者が Microsoft Entra ID テナントからロックアウトされてしまうリスクがあります。このような状況においてバックアップ手段が確保されていない場合、組織のデジタル業務が停止する可能性があります。
そのため、「緊急アクセス用アカウント（ブレイクグラス アカウント）」は、セキュリティ対策において重要な役割を担います。標準的な認証方法が利用できない場合でも、管理権限を回復し、環境の制御を取り戻すための「最後の砦」として機能します。
Microsoft Entra ID における適切なアカウント構成
Microsoft Entra ID において、これらのアカウントを適切に運用するためには、「クラウドのみ（cloud-only）」アカウントとして構成する必要があります。具体的には、オンプレミスの Active Directory（AD）から同期されたアカウントではなく、「〇〇.onmicrosoft.com」ドメインを使用することが推奨されます。
これにより、ローカルインフラから独立した運用が可能となり、オンプレミス環境やディレクトリ同期ツールが停止した場合でも、当該アカウントの利用を継続できます。
さらに重要な点として、主要なセキュリティ制御が機能しない状況においても確実にアクセスできるよう、MFA や IP 制限を含むすべての条件付きアクセス ポリシーから、これらのアカウントを明示的に除外しておく必要があります。
| 全ユーザー | 緊急アクセス用アカウント （ブレイクグラス アカウント） |
|---|---|
| ✔ MFA 必須 | × MFA なし（除外） |
| ✔ IP 制限あり | × IP 制限なし |
| ✔ 条件付きアクセス適用 | × 条件付きアクセス除外 |
| ✔ 各種セキュリティ有効 | △ 最低限の制御のみ |
認証情報の保護と運用ルール
緊急アクセス用アカウントは標準的な MFA の適用対象外となるため、その保護は「高強度のパスワード管理」と「物理的なセキュリティ」に依存します。
パスワードには、ランダムに生成した長いパスフレーズの使用が推奨されます。これらの認証情報は分割して保管し、耐火金庫や銀行の貸金庫など、複数の安全な物理拠点に分散配置する必要があります。
さらに、認証情報へのアクセスには「2人体制」を適用し、単独の担当者が監視なしでログインできない運用とすることが重要です。
不正利用を防ぐための監視とアラート
監視は、このフレームワークにおける最終かつ不可欠な要素です。通常、これらのアカウントは利用されないことを前提としています。
そのため、緊急アクセス用アカウントがサインインに使用された場合には、直ちに検知できるよう、Azure Monitor や SIEM（Security Information and Event Management：セキュリティ情報イベント管理）を用いた自動アラートの設定が推奨されます。これにより、「ガラスが割られた」＝「当該アカウントが使用された」ことを即時に可視化し、インシデント対応としての正当な利用であるか、または不正アクセスの可能性があるかを迅速に判断できます。
セキュリティと可用性を両立する運用支援
セキュアな Microsoft Entra ID 環境を維持するには、高度なセキュリティ対策と確実な可用性のバランスが重要です。
Livestyle では、これらの方針に基づいたアカウント設定やリアルタイムアラートの構築、さらに主要なログインフローに障害が発生した場合でもビジネス継続性を維持できるよう、定期的な検証実施（演習）もサポートいたします。ご興味のある方は、お気軽にお問い合わせください。
