Microsoft Teamsのアクセス権限管理にAzure AD アクセスレビューを活用する！

弊社ブログをご愛読の皆様、お疲れ様です。
MS開発部の山本です。

業務でMicrosoft 365を利用するにあたり、管理業務として管理者ロールの割り当てやアクセス権限の割り当て等の棚卸作業を定期的に行わなければなりません。
適切なタイミングで管理/運用できていれば、問題ないですが、メンバーがプロジェクトから外れたり、退社したタイミングで、忙しいとき権限を変更し忘れたり、アクセス権限を削除し忘れたりする可能性もあると思います。

権限の管理がいい加減になってしまうと、情報漏洩につながってしまう場合もあります。
そこで今回は権限管理などの棚卸作業をサポートしてくれる「Azure ADアクセスレビュー」機能についてのご紹介させていただきます。

Azure AD アクセスレビューとは？

Azure Active Directory(Azure AD)のMicrosoft 365グループやセキュリティグループ、Azure ADに紐づけられたアプリケーションに対するアクセス許可をもつユーザを取得して、各ユーザがサインインしているかなどのアクセス情報を参照することができます。

一定期間サインインしていないユーザがいれば、アクセスレビューが権限の管理者（アクセスレビュー担当者）にアクセス許可が不必要なユーザを提案してくれるので、アクセス許可の管理を効率的に運用することが可能になります！
また設定次第では、権限の管理者に提案するのではなく、アクセスレビューに自動的にアクセス許可を自動削除させることも可能です！

情報漏洩やユーザのヒューマンエラーによるデータ破損などにリスクをAzure AD アクセスレビューを活用することで軽減することができます。
Azure AD アクセスレビューとは、言い換えればアクセス許可の棚卸管理サービスといえます！

Azure AD アクセスレビューの作成

それでは一度Azure AD アクセスレビューを試してみます！

今回はAzure ADグループのアクセスレビューを作成します。
これでグループに所属しているユーザのサインイン状況を確認することができます。

① Azureポータルから「新しいアクセスレビュー」を作成。

② アクセスレビューの種類

レビューの対象はグループのレビューをしたいので、「チームとグループ」。
範囲は一つのグループのレビューを行いたいので、「チームとグループの選択」。
グループはレビューしたいグループを選択します。
スコープは所属ユーザの種類を選択できます。今回は所属しているユーザすべてをレビューしたいので「すべてのユーザ」。

③ アクセスレビューの担当者と実施範囲

担当者や期間は自由に選べますが、 今回は担当者にグループ所有者、期間は３日間、繰り返し回数は１回、開始日は実施したい日付を入力します。

④ アクセスレビューの設定

アクセスレビューの設定は、30日以上サインインしていないユーザを確認したいだけなので、初期設定のままにしておきます。
アクセス許可の自動削除等を行いたい方はここで設定してください。

⑤ アクセスレビューの確認と作成

最後にアクセスレビューの名前と設定の確認を行い、作成完了です。

Azure AD アクセスレビューの実施

アクセスレビューを作成し、実施期間になると、自動でアクセスレビューが始まります。

アクセスレビューの状況などはアクセスレビュー担当者にメールが届くので、そこから「レビューを開始する」を押下して、確認していく形になります。



レビュー画面からアクセス状況を確認していきます。
レコメンデーション列にアクセスレビューからアクセス許可が必要/不必要を提案してくれます。
３０日間サインインしていないユーザには「拒否」、サインインしているユーザには「承認」がアクセスレビューから提案されます。
アクセスレビュー担当者がここからアクセス許可を残すかどうかを判断していくことができます。



アクセスレビュー担当者の作業はこれだけです。

レビューの作成者はAzureポータル＞Identity Governance＞アクセスレビューからレビュー結果を確認できます。

Azure AD アクセスレビューに必要なライセンス

Azure AD アクセスレビューを利用するには、Azure AD Premium P2が必要です。

ただすべてのユーザにライセンスが必要なわけではありません。

• アクセスレビュー担当者
• アクセスレビューを実行するグループ所有者のユーザ
• アクセスレビューを実行するアプリケーション所有者のユーザ

アクセスレビューを作成したりするグローバル管理者やユーザ管理者ロールを持つユーザにもライセンスは必要ありません。

Azure AD アクセスレビューのより詳しい情報を知りたい方は公式ドキュメントをご覧ください！
Azure AD アクセスレビュー

まとめ

今回はAzure AD アクセスレビューの概要から使い方をご紹介させていただきました。
ご紹介したようにアクセス許可の棚卸作業を、Azure ADアクセスレビューが提案したり、自動で行ってくれたりするので、効率的に進めることができます！

ただ、アクセスレビューを最大限生かすためにはアクセスレビュー担当者の協力が必要不可欠です。
アクセスレビュー担当者に協力をしてもらえるように、情報漏洩のリスクを日ごろから社内で共有していくことが重要だと感じました！

アクセス許可の管理/運用を大幅にサポートしてくれるので、興味がある方は是非使ってみてください！