☰

Microsoft 365 経由で「クラウド アプリ」へのアクセスをブロックする方法

tag-icon • tag-icon windows-defender microsoft-365
Microsoft 365 経由で「クラウド アプリ」へのアクセスをブロックする方法

私の会社ではマイクロソフト365(E5 ライセンス)。また、「Microsoft Defender Cloud App Catalog」を活用して、一部の「クラウド アプリ」へのアクセスをブロックしています。

しかし、実際には、ブロックされたクラウド アプリへのアクセスを必要とする人がいることが判明しました。これは、Defender の「デバイス グループ」を使用して実行できます。

残念ながら、1 つのエンドポイント デバイスは、1 つのデバイス グループのメンバーにしかなれません。それ以上でもそれ以下でもありません。。

その結果、私は次のように設定しました。

2 つのサイトへのアクセスのベン図

3 つのデバイス グループを作成したら、サイト A の「非承認」設定で、「CanA」および「CanAB」グループを除外しました。同様に、サイト B では、サイトの「非承認」設定から「CanB」および「CanAB」を除外しました。

すべてが期待どおりに正常に動作します。

しかし、同様の処理を必要とする 3 番目のサイトが存在することが判明しました。つまり、関係は次のようになります。

3 つのサイト アクセスのベン図

これは非常に複雑です。将来、4 番目のサイトで同じ処理が必要になった場合、グループの数が制御不能に増加することは言うまでもありません。

Microsoft 365 を活用して必要なものを提供するより良い方法はありますか?

(デバイスが複数のデバイス グループのメンバーになれる場合、もちろんこれは簡単に解決できます。しかし実際には、デバイスは 1 つのデバイス グループのメンバーにしかなれません。)

答え1

Microsoft Entra/Azure AD条件付きアクセスを使用することもできます。CA（条件付きアクセス）では、複数のグループを除外として追加できます。

編集/更新

アプリが存在しない場合は、手動でアプリを作成する必要があります

これは、アプリが存在するかどうかを確認し、存在しない場合はアプリを作成してポリシーを作成するPowerShellスクリプトです。

# Install the required module if not already installed
Install-Module -Name Az -Force -AllowClobber

# Connect to Azure AD
Connect-AzAccount

# Define variables
$appName = "TelegramWeb" # You can change this to a suitable name
$identifierUri = "https://web.telegram.org/"
$application = Get-AzADApplication -DisplayName $appName

# Check if the application exists
if (!$application) {
    # Create the application
    $application = New-AzADApplication -DisplayName $appName -IdentifierUris $identifierUri
}

# Get the application ID
$applicationId = $application.ApplicationId

# Create Conditional Access policy to block Telegram Web
New-AzAdPolicyConditionalAccessPolicy -Name "BlockTelegramWeb" -State "Enabled" -UsersAll $false -UsersIncludeGroups @("Group1", "Group2") -ApplicationsIncludeApplications $applicationId -GrantControlsIncludeGrantControls @("BlockAccess") -SessionControlsIncludeSessionControls @("UseConditionalAccessAppControl") -AccessControlsIncludeAccessControls @("Block")

関連情報