nakamurk’s diary

日々思うことは残していきます。しっかり生きます。

Enhancing Identity Security: Transitioning from SMS/Voice Authentication to Passkeys

Microsoft からメール「Passkeys by default and retirement of Microsoft-provided SMS and voice authentication」が来たのでAIにプロジェクトとしてまとめてもらった。

【テンプレート】M365 Enterprise向け パスキー移行 4Weeks 実行計画（会議体・担当者・締切日つき）

このテンプレートは、Microsoft Entra ID における SMS/音声 MFA 依存を段階的に解消し、パスキー中心へ移行するための社内実行計画です。
そのままブログ記事として掲載できる構成にしています。必要な箇所を置換してご利用ください。

1. 計画概要

1-0. エグゼクティブサマリ

  • 本計画は、Microsoft Entra ID における SMS/音声 MFA 依存を 4 週間で移行準備し、パスキー中心運用へ切り替えるための実行テンプレートです。
  • Microsoft 提供の SMS/音声認証は 2027-02-01 に廃止予定であり、それまでに対象ユーザーの移行を完了する必要があります。
  • 4 週間で実施すること:
    • 影響ユーザーの特定
    • ポリシー設計とパイロット
    • 全社展開開始と継続運用の確立

  • 管理者向け判断ポイント:

    • 自テナントに SMS/音声依存ユーザーがいるか
    • 管理者アカウントに依存が残っていないか
    • 期限内に移行できる体制と例外運用があるか

  • プロジェクト名: [プロジェクト名]

  • 対象テナント: [テナント名]
  • 計画期間: [開始日] 〜 [終了日]（4週間）
  • 最終目標: SMS/音声 MFA 依存の解消と、パスキーを既定認証にする運用確立
  • オーナー部門: [情報システム部 / セキュリティ統括 / など]

前提となる重要日付

  • 2026-09-01: SMS/音声有効ユーザーに対するパスキー有効化・登録促進の影響が開始
  • 2027-02-01: Microsoft 提供の SMS/音声認証が廃止

1-1. 対象のテナントかどうかを確認する方法

以下のいずれかに該当すれば、この移行計画の対象です。

  • Entra ID で SMS または音声が MFA 手段として有効になっているユーザーが 1 人以上いる
  • 管理者ロール保有者の中に SMS/音声のみを利用しているユーザーがいる
  • サインイン運用で SMS/音声を前提にした手順が残っている

確認手順（管理センター）

  1. Microsoft Entra 管理センターにサインインする
  2. Protection > Authentication methods > Activity を開く
  3. SMS/Voice の利用状況を確認する（ユーザー数・利用傾向）
  4. Authentication methods policy で SMS/Voice が許可されている対象グループを確認する
  5. 管理者アカウント（Global Admin など）の認証方法を個別確認する

確認結果の判定

  • 判定 A（対象）: SMS/Voice 利用者がいる
    • 対応: 本テンプレートをそのまま適用し、Week 1 から開始
  • 判定 B（準対象）: 現在利用者はいないが、ポリシー上は許可されている
    • 対応: 許可範囲を見直し、再発防止の監査運用のみ実施
  • 判定 C（非対象）: 利用者なし、ポリシーも無効化済み
    • 対応: 本計画のフル実施は不要。四半期監査のみ継続

記録テンプレート（監査向け）

確認日 実施者 SMS有効ユーザー数 Voice有効ユーザー数 管理者依存有無 判定 次アクション
[YYYY-MM-DD] [氏名] [x] [x] [有/無] [A/B/C] [実施内容]

2. 会議体（ガバナンス）

2-1. 会議一覧

会議体 目的 開催頻度 参加者（ロール） 意思決定事項 議事録保管先
Steering Committee 方針承認・例外承認 週1回 統括責任者、情シス部長、監査、法務 方針、例外、優先度 [URL/SharePoint]
PMO Weekly 進捗・課題管理 週2回 PM、技術リード、HDリード、部門窓口 進捗是正、課題オーナー決定 [URL/Teams]
Tech Working Group 設定変更・検証 週2回 Entra管理者、M365管理者、SecOps ポリシー変更、ロールバック判断 [URL/Wiki]
Helpdesk Huddle 問い合わせ対応最適化 毎営業日 HDリード、L1/L2担当 FAQ更新、エスカレーション基準 [URL/ナレッジ]

2-2. RACI（役割分担）

タスク A（最終責任） R（実行責任） C（相談） I（共有）
方針策定 [CISO/IT責任者] [PM] [法務/監査] [全部門長]
テナント設定変更 [Entra責任者] [Entra管理者] [SecOps] [PMO]
ユーザー周知 [業務部門責任者] [コミュニケーション担当] [HD] [全ユーザー]
パイロット運用 [PM] [技術リード] [部門代表] [Steering]
例外審査 [統括責任者] [監査/セキュリティ] [法務] [PMO]

3. 担当者一覧（実名記入テンプレート）

役割 氏名 所属 連絡先 代行者
統括責任者 [氏名] [部署] [mail/Teams] [氏名]
PM [氏名] [部署] [mail/Teams] [氏名]
Entra技術リード [氏名] [部署] [mail/Teams] [氏名]
M365管理者 [氏名] [部署] [mail/Teams] [氏名]
Helpdeskリード [氏名] [部署] [mail/Teams] [氏名]
監査/コンプラ窓口 [氏名] [部署] [mail/Teams] [氏名]

4. 4Weeks 実行スケジュール（締切日つき）

日付は例です。実際の日付に置換してください。

Week 1（現状把握・方針確定）

  • 期間: [YYYY-MM-DD] 〜 [YYYY-MM-DD]
  • ゴール: 対象ユーザー可視化と移行方針承認
No タスク 担当 締切日 成果物 完了条件
W1-1 SMS/音声有効ユーザー棚卸し [Entra管理者] [YYYY-MM-DD] 影響ユーザー一覧 全ユーザー母数と差異なし
W1-2 管理者アカウント依存確認 [SecOps] [YYYY-MM-DD] 管理者認証方式一覧 管理者のSMS/音声依存ゼロ方針合意
W1-3 例外条件ドラフト作成 [監査/法務] [YYYY-MM-DD] 例外基準書 v0.1 Steeringでレビュー完了
W1-4 方針承認会議 [PM] [YYYY-MM-DD] 承認議事録 承認済みステータス

Week 2（設計・設定準備）

  • 期間: [YYYY-MM-DD] 〜 [YYYY-MM-DD]
  • ゴール: 設定計画とパイロット準備完了
No タスク 担当 締切日 成果物 完了条件
W2-1 Authentication Methods Policy設計 [Entra技術リード] [YYYY-MM-DD] 設計書 v1.0 セキュリティレビュー通過
W2-2 Registration campaign設計 [Entra管理者] [YYYY-MM-DD] キャンペーン設計書 対象/文言/頻度定義完了
W2-3 条件付きアクセス整合確認 [SecOps] [YYYY-MM-DD] 影響分析 重大影響なし確認
W2-4 ヘルプデスク手順書作成 [HDリード] [YYYY-MM-DD] Runbook/FAQ v1.0 L1/L2レビュー完了

Week 3（パイロット実施・改善）

  • 期間: [YYYY-MM-DD] 〜 [YYYY-MM-DD]
  • ゴール: パイロットKPI達成と全社展開可否判定
No タスク 担当 締切日 成果物 完了条件
W3-1 パイロット展開（5-10%） [PM/技術リード] [YYYY-MM-DD] 展開ログ 対象配布完了
W3-2 日次モニタリング [HDリード] [YYYY-MM-DD] KPI日報 登録率80%以上
W3-3 FAQ改訂・周知文更新 [コミュニケーション担当] [YYYY-MM-DD] FAQ v2.0 主要問い合わせ網羅
W3-4 Go/No-Go判定会議 [Steering] [YYYY-MM-DD] 判定議事録 Go判定取得

Week 4（段階展開開始・定着化）

  • 期間: [YYYY-MM-DD] 〜 [YYYY-MM-DD]
  • ゴール: 本番段階展開開始と継続運用体制の確立
No タスク 担当 締切日 成果物 完了条件
W4-1 部門単位で本番段階展開 [Entra管理者] [YYYY-MM-DD] 展開実績表 対象部門で稼働
W4-2 未登録者追跡運用開始 [PMO/部門窓口] [YYYY-MM-DD] 追跡台帳 追跡ルール定着
W4-3 例外申請審査運用開始 [監査/法務] [YYYY-MM-DD] 例外台帳 SLA内処理開始
W4-4 経営・監査報告 [PM] [YYYY-MM-DD] 月次報告資料 報告承認完了

5. KPI ダッシュボード（週次）

指標 目標値 現在値 判定 備考
パスキー登録率 80%以上（Week3時点） [xx%] [OK/NG] [メモ]
SMS/音声依存ユーザー数 逓減（Week4で継続削減） [xx人] [OK/NG] [メモ]
管理者依存ユーザー数 0 [xx人] [OK/NG] [メモ]
問い合わせ一次解決率 70%以上 [xx%] [OK/NG] [メモ]
サインイン失敗率 ベースライン以内 [xx%] [OK/NG] [メモ]

6. ユーザー周知テンプレート（ブログ掲載向け）

6-1. 事前告知（短文）

[全社向け件名]
認証セキュリティ強化のため、当社はサインイン方式を順次パスキー中心に移行します。対象者には登録案内を順次お送りします。詳細は本ページの手順とFAQをご確認ください。

6-2. 実施案内（本文）

  • 変更内容: SMS/音声 MFA からパスキー中心へ移行
  • 変更時期: [YYYY-MM-DD] から段階適用
  • 対象者対応: 案内メール受信後 [x] 日以内に登録
  • 問い合わせ先: [HD窓口]

6-3. 未対応者リマインド

[件名] パスキー登録のお願い（期限: [YYYY-MM-DD]）
まだ登録が完了していません。期限までに登録がない場合、サインイン時に追加手続きが必要となる可能性があります。

7. リスクと対応

リスク 兆候 予防策 発生時対応 オーナー
ユーザー登録停滞 登録率が週次目標未達 部門長経由の再通知 対象者へ個別フォロー [PMO]
サポート逼迫 問い合わせ急増 FAQ先出し・動画案内 応援要員投入 [HDリード]
業務端末制約 特定端末で登録不可 事前互換性確認 例外フローで一時運用 [技術リード]

8. 監査証跡チェック

  • [ ] 方針承認議事録
  • [ ] 設定変更記録（日時、担当、変更内容）
  • [ ] 例外承認記録（理由、期限、承認者）
  • [ ] ユーザー周知履歴（配信日時、対象）
  • [ ] KPI実績ログ

9. 参考URL

以下、手で追加したリンク - https://jpazureid.github.io/blog/azure-active-directory/passkeys-default-authentication-method-in-entra-id/

10. ブログ掲載時の編集ポイント

  • 会社名・部署名・責任者名を実名に差し替える
  • 締切日を必ず実日付にする
  • 問い合わせ窓口（メール/Teams）を明記する
  • 例外条件は「期限付き」で運用する
  • 週次KPIを必ず更新して継続公開する

Exchange PowerShellについて メモ

重要なページ

PowerShell

Exchange

Microsoft 365

traning

APIリファレンス

PowerShell自体

参考情報

Defender memo

Defender for Endpointとは

調べ掛けているの情報をメモします。嘘が多い可能性が高いので、注意してください。

  • Bussiness Premiumであれば、Defender for Endpoint同等の機能が提供されていそうだ。
  • ただし、詳細な機能比較は必要であり、アドオンすることもできそうだ。
  • 2021-2022年くらいから提供されたようだ。

Github Copilotとの会話

【Microsoft Defender関連Q&A プロンプト＆回答まとめ】

---

■ プロンプトと回答一覧

---

【プロンプト】
Microsoft Defender およびMicrosoft Defender for Endpointの説明をお願いします。
さらに、Defender for Endpointについては、Planがいくつあるか、料金と機能差についても触れてください。
加えて、Microsoft 365 bussiness premiumはどのプランに該当するかを教えてください。
それぞれ、参考となるURLを教えてください。現時点で有効なものかは必ず確認してください

【回答】
Microsoft Defenderは、マルウェアやウイルス、ランサムウェアなどのサイバー脅威からデバイスやデータを保護するためのMicrosoftのセキュリティ製品群の総称です。個人向け・法人向けにさまざまなサービスがあり、Windows標準のウイルス対策から、企業向けの高度な脅威検知・対応（XDR）まで幅広くカバーします。

- 参考: https://www.microsoft.com/en-us/security

Microsoft Defender for Endpointは、エンドポイント（PCやスマートフォン、サーバーなど）を対象とした法人向けの高度なセキュリティプラットフォームです。AIを活用したマルチプラットフォーム対応のウイルス対策、EDR（エンドポイント検出と対応）、脆弱性管理、脅威インテリジェンスなどを提供します。

【プランの種類・機能差】
- Defender for Endpoint P1: Microsoft 365 E3に含まれる。基本的なマルウェア対策、攻撃面の縮小、デバイス制御、ファイアウォール、Web制御、条件付きアクセスなど
- Defender for Endpoint P2: Microsoft 365 E5に含まれる。P1の全機能に加え、EDR（エンドポイント検出と対応）、自動調査・修復、脆弱性管理、脅威インテリジェンス、サンドボックス分析など
- 料金は公式サイトでの直接記載はありませんが、P1はE3、P2はE5にバンドルされているため、各Microsoft 365プランの価格に準じます。

- 公式比較・詳細: https://www.microsoft.com/en-us/security/business/endpoint-security/microsoft-defender-endpoint
- 技術詳細: https://go.microsoft.com/fwlink/?linkid=2263119&clcid=0x409&culture=en-us&country=us

Microsoft 365 Business Premiumには「Microsoft Defender for Business」が含まれています。これは中小企業向けのエンドポイント保護で、Defender for Endpoint P1/P2とは別製品ですが、同等レベルの高度なエンドポイントセキュリティ（EDR含む）を提供します。

- 公式: https://www.microsoft.com/en-us/microsoft-365/business/microsoft-365-business-premium
- Defender for Business詳細: https://www.microsoft.com/en-us/security/business/endpoint-security/microsoft-defender-business

---

【プロンプト】
・Bussiness Premiumのラインセンスを買っているユーザーはDefender for Bussinessが使えるということですか？
・Defender for Bussnessはいつからサービス展開されましたか？
・Defender for bussinessの機能マップを示してください。
・Defender for Endpointの機能マップを示してください

【回答】
はい、Microsoft 365 Business Premiumのライセンスを持つユーザーは「Microsoft Defender for Business」を追加費用なしで利用できます。

Defender for Businessは2021年11月に発表され、2022年春から一般提供（GA）されています。

【Defender for Businessの主な機能】
- AIによるエンドポイント保護（Windows, macOS, iOS, Android対応）
- 脆弱性管理、次世代アンチウイルス、EDR、自動攻撃遮断、自動調査・修復、月次レポート、サーバー保護（アドオン）

【Defender for Endpointの主な機能】
- P1: 基本的なマルウェア対策、攻撃面縮小、デバイス制御、ファイアウォール、Web制御、条件付きアクセスなど
- P2: P1の全機能＋EDR、脅威・脆弱性管理、自動調査・修復、サンドボックス、脅威インテリジェンス、通知など

---

【プロンプト】
Defender for bussinessとDefender for Endpointは違うものですか？

【回答】
はい、「Microsoft Defender for Business」と「Microsoft Defender for Endpoint」は異なる製品です。
- Defender for Business: 主に中小企業（最大300ユーザー）向け。EDRやAIによる保護、脆弱性管理などを簡単に利用できる。
- Defender for Endpoint: 主に大企業・エンタープライズ向け。P1/P2のプランがあり、より多機能・大規模な管理や統合が可能。

---

【プロンプト】
Defender for Bussinessはいつからサービス提供されましたか？

【回答】
Microsoft Defender for Businessは、2021年11月に発表され、2022年春から一般提供（GA: General Availability）が開始されました。
- 発表ブログ（2021年11月）: https://techcommunity.microsoft.com/t5/microsoft-security-blog/introducing-microsoft-defender-for-business/ba-p/2958981

---

【プロンプト】
Defender for Bussinessとfor endpointの機能比較の表を作成してください

【回答】
| 機能 | Defender for Business | Defender for Endpoint (P2) |
|------|----------------------|----------------------------|
| 対象ユーザー規模 | 最大300ユーザー | 制限なし（大規模向け） |
| OS対応 | Win, Mac, iOS, Android | Win, Mac, iOS, Android, Linux, IoT |
| 次世代アンチウイルス | ○ | ○ |
| 脆弱性管理 | ○ | ○ |
| EDR | ○ | ○ |
| 自動攻撃遮断 | ○ | ○ |
| 自動調査・修復 | ○ | ○ |
| サンドボックス解析 | × | ○ |
| 脅威インテリジェンス | × | ○ |
| SIEM連携/API | × | ○ |
| サーバー保護 | アドオン | ○ |
| 管理・運用の柔軟性 | シンプル | 高度 |

---

【プロンプト】
比較した機能で、両方〇のものは機能差がないか？
Bussinessのほうで×があるものは、具体的にどのような機能か教えてください

【回答】
両方「○」の機能は基本的な保護レベルや検知・対応の仕組みは同等ですが、Defender for Endpoint（P2）の方がより高度な設定や大規模運用、詳細なカスタマイズ、統合管理（APIやSIEM連携など）に優れています。

Businessで「×」となっている主な機能：
- サンドボックス解析：未知のファイルや疑わしいファイルを仮想環境（サンドボックス）で実行し、マルウェアかどうかを自動で詳細分析する機能。
- 脅威インテリジェンス：Microsoftが収集した最新の脅威情報を活用し、より高度な検知・防御・分析を行う機能。
- SIEM連携/API：外部のSIEM製品や他のセキュリティツールと連携し、イベントデータの統合管理や自動化を実現するAPI機能。

---

【プロンプト】
Bussiness Premiumのライセンスを利用しているテナントで、Defender for Endpointのライセンスは利用可能か？

【回答】
Business PremiumだけではDefender for Endpointは使えませんが、別途ライセンスを購入すれば利用できます。

---

【プロンプト】
その場合の費用は？

【回答】
Defender for Endpoint（P1/P2）の費用は公式サイト上で明確な月額料金が記載されていませんが、P2は1ユーザーあたり月額約5～6ドル（日本円で約700～900円前後）が目安です。正確な費用はMicrosoftの販売代理店や公式営業窓口にお問い合わせください。

---

（2025年6月時点の情報）

参考URL

Google トレンド

https://trends.google.co.jp/trends/explore?date=all&q=Microsoft%20Defender%20for%20business&hl=ja

埋め込みは2004年からだと動かないので、起こり始めの2020からにする。

日本でのトレンド埋め込み

世界でのトレンド埋め込み

エクスプローラーで表示したフォルダをVSCodeで開く方法

結論

アドレスバーにcmd /k code. & exitと入力する。

背景

VSCodeを使って、仕事などの開発や競技プログラミングの演習を行うことがありますが、作業フォルダごとに環境を分けていることもあり、いちいち開いてから移動するのが面倒でした。
他の方も、同じことを考えておられたので、何とかしようと一念発起して、解を探してみました。

インストール時の設定によっては、右クリックのメニューから開くこともできるようですね。

理解すること

試した環境

環境依存しないとは思いますが、念のため動作環境を記載します。

  • Windows11 Version 22H2 (OS Build 22621.2428)

コマンドプロンプトのチョイ技集

コマンドプロンプトはどこのWindows環境でも使えるという安心感ありますよね。まだまだ、使いずらいと感じますし、PowerShellできるならBashを使いたいですけどね。そんな中で、気になった使い方をメモしておきます。

コマンドを入力中に改行する（20230813記載）

一行で書きたいけど、長すぎて読みづらいので複数行で書きたい場合にどうするか。答えは「^」（キャレット、ハット）をつけると改行できます。PowerShellやBashだと「`」バッククオートで改行できますよね。

> echo ^
More? hoge
hoge

「>」はプロンプト*1なので入力しないでください。echoコマンドで「hoge」と出力しているだけですね。でも、改行したくなってしまった場合には、「^」を付けます。そしてエンターを打鍵します。

> echo ^

すると「More?」と入力を促されますので、適当に「hoge」と入力してエンターを打鍵しました。

More? hoge

通常の「> echo hoge」と同じように「hoge」と出力されました。

hoge

以上なのですが、何が幸せかということですね。例えば、次のRobocopyコマンド*2の例を使わせてもらいますと。どれが見やすいですか？という話になります。一行で書いても見やすいのならそれでよいですし、オプションごとに改行するのもやりすぎな感はあります。

rem 一行で書く
> robocopy C:\Users\Admin\Records D:\Backup /S /E /COPY:DAT /MT:16 /LOG:C:\Logs\Backup.log

rem 必須項目とオプションを分ける
> robocopy ^
  C:\Users\Admin\Records ^
  D:\Backup ^
  /S /E /COPY:DAT /MT:16 /LOG:C:\Logs\Backup.log

rem オプションもすべて分ける
> robocopy ^
  C:\Users\Admin\Records ^
  D:\Backup ^
  /S ^
  /E ^
  /COPY:DAT ^
  /MT:16 ^
  /LOG:C:\Logs\Backup.log

何でこんなことするのかといえば、人間の読みやすさを考えているということですね。私は比較的長い行は読みづらいと感じてしまいますが、一回だけのコマンドなら長くてもそのまま書いてしまうことも多いですし、様々な場所でコピペして使いたい場合に変数として切り替えたいところで区切るのは正しい気がします（コピペが正しいかは別問題として）。コピペが嫌であれば例えばスクリプトとして作ると思いますが、その場合は、改行ありのほうが読みやすくなっている気がします。しかし、チームや残された人が「^」で開業できることを知らなければ事故の原因になるので、やはりチームで統一したほうが良いですね。

*1:プロンプトについてはhttps://www.javadrive.jp/command/display/index2.htmlを参照

*2:Robocopyについてはhttps://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/robocopyを参照

Sharepoint と Cognitive Searchと私…

Microsoft IT/エンジニアリング

SharePointとCognitive Searchが作る幸せな世界について

自分のイメージした世界観がどうか、確認する。以下ページを実装する。

SharePoint インデクサー (プレビュー) - Azure Cognitive Search | Microsoft Learn

参考（connectionStringのイメージをつかむ。生の値が入っちゃってるけども。。。） https://www.sharepointpals.com/post/azure-cognitive-search-for-sharepoint-content-part-1/

参考（Share PointのテナントIDについて） https://www.sharepointdiary.com/2019/04/how-to-get-tenant-id-in-sharepoint-online.html

あ、Azure OpenAIを利用するの企業用のアカウントじゃないとダメだ…会社のアカウント使おうorz

以下は途中やり、、、テナント移動をわかりやすくする拡張機能を作りたい、、、

mectrl_main_trigger document.getElementById("mectrl_currentAccount_secondary").innerHTML ボタンを押さないと動かない？

Microsoft 365とAzureを無料で使ってみようと思う

Microsoft365テナントについては、機能を確認するためのテナントを用意してもらえます。 次のリンクを見て確認して欲しいのですが、一部制限はありますが、何でもできちゃう感はありますね。

Microsoft 365 Developer Program

無料サービス
実は、もうセットアップしてましたけどねwww。Azure 側でできることはこちらですね。「12か月間無料」というのはちょっと分かりにくいですね、、、。とはいえ、もちろんのようにCognitive Search も含まれてますね。太っ腹で好きです！あれ？今回はAzure Cognitive Searchを使いたかったのだけども、、、。あ、Azure 側の「無料サービス(Microsoft Azure)」を利用するって訳ね！

サブスクリプションや支払いのための有効なクレジットカード情報がないと、画面上進まないようにできているのですかね？なんか詰まってしまいましたが、カードを登録して、サブスクリプションも表示できたので、大丈夫そうですね。

明日片付けましょう。とりあえず、おやすみなさい。