Skip to main content

​
この連携で得られる情報

Microsoft Entra ID からは、正規化された ID、サインイン、リスク、デバイス、攻撃シミュレーションのアクティビティを取得できます。確認済みの例は次のとおりです。
  • account.compromised — 侵害されたとしてフラグが設定されたアカウント
  • auth.login.unusual — 通常とは異なるコンテキストからのサインイン
  • phishing.simulation.clicked — 報告せずにシミュレーションをクリックした
これらは代表的な例であり、すべてのテナントですべてのイベントを利用できることを保証するものではありません。連携データがシグナルになる仕組みをご覧ください。

​
Living Security に必要な情報

スコープ (アプリケーションのアクセス許可):

​
この接続で実行できる操作は管理者が決定します

この接続はデータを読み取ります。ご自身で許可した場合に限り、ディレクトリ内でアクションを実行することもできます。 上記のアクセス許可のうち、最後の 1 つを除くすべてが読み取り専用です。それらのみを付与した場合、この接続がテナント内の何かを変更することは一切ありません。プラットフォームはこれを検出し、グループ アクションをまったく提供しません。 GroupMember.ReadWrite.All を追加すると、プレイブックでグループ メンバーシップのアクションを使用できるようになります。何かが自動的に実行されることはありません。プラットフォームが操作できるグループを (後述のとおり) 選択し、それらのアクションを使用するプレイブックを作成する必要があります。 設定はいつでも変更できます。Microsoft Entra ID でアクセス許可を追加または削除し、管理者の同意を再度付与するだけで済みます。プラットフォームで資格情報を再入力する必要はなく、データ同期も中断されずに継続します。変更は約 1 時間以内に反映されます。
グループ メンバーシップのアクションは、指定したグループにさらに限定されます。 接続後、管理者が接続に対して許可するグループの一覧を明示的に選択します。この一覧が作成されるまでは、アクセス許可が付与されていてもグループ アクションは利用できません。したがって、GroupMember.ReadWrite.All が「テナント内の任意のグループ」を意味することはありません。それらのグループは慎重に選択してください。管理者ロール、特権アクセス、ライセンスの権限を付与するグループは避けてください。
必要なロール: Microsoft Entra ID の Application Administrator または Global Administrator
これらのアクセス許可のうち 2 つは、後から追加されたものです。 このリストに追加される前に Microsoft Entra ID を接続した場合は、既存のアプリの登録にそれらを追加し、管理者の同意を再度付与してください。Microsoft では、アクセス許可が変更されるたびに同意を再付与する必要があります。それまでの間も、その他のデータ ストリームは通常どおり動作します。Policy.Read.ConditionalAccess — このアクセス許可がないと、Microsoft はすべてのサインイン レコードから条件付きアクセスの詳細を削除します。レコードには条件付きアクセス ポリシーが満たされたことは引き続き記録されますが、ポリシーの一覧は空で返されます。エラーも警告も発生せず、サインイン データは届き続け、接続も正常なままです。ただし、プラットフォームはどのサインインが多要素認証で満たされたかを判別できないため、この接続からの MFA アクティビティは空のままになります。IdentityRiskEvent.Read.All — リスク検出を読み取るには、Microsoft Entra ID P1 または P2 ライセンスも必要です。漏洩した資格情報の検出自体は P1 を含むすべてのティアで利用できます。プレミアムの検出は、P2 未満では下記のとおり generic として報告されます。

​
前提条件

  • アプリケーションを登録して管理者の同意を付与するには、Microsoft Entra ID の Application Administrator または Global Administrator のアクセス権が必要です。

​
パート A — Microsoft Entra ID での作業

これらの手順は、Microsoft Entra ID の管理者が実施します。
1

新しいアプリケーションを登録する

  1. Microsoft Entra admin center にサインインします。
  2. 左側のナビゲーションで、Entra ID → App registrations を開きます。
  3. New registration をクリックします。
  4. アプリのわかりやすい名前 (例: Living Security Platform) を入力します。
  5. Supported account types で、Accounts in this organizational directory only を選択します。
  6. Redirect URI は空白のままにします。この連携ではクライアント資格情報フローを使用します。
  7. Register をクリックします。
登録後、概要ページから次の値を記録します。
  • Application (client) ID
  • Directory (tenant) ID
2

Microsoft Graph のアプリケーションのアクセス許可を追加する

  1. アプリの概要ページで、左側のメニューから API permissions をクリックします。
  2. Add a permission をクリックします。
  3. Microsoft Graph を選択します。
  4. Application permissions を選択します。
  5. 以下の各アクセス許可を検索して選択し、Add permissions をクリックします。
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. プレイブックでグループ メンバーシップを変更できるようにする場合にのみ、GroupMember.ReadWrite.All を追加します。この接続を読み取り専用のままにする場合は、追加しないでください。
これらは、すべてのデータ ストリームに必要な最小限のアクセス許可です。一部のストリームのみを有効にする場合は、使用しないストリームのアクセス許可を省略できます。
3

管理者の同意を付与する

アプリケーションのアクセス許可には、管理者による明示的な同意が必要です。
  1. API permissions ページで、Grant admin consent for <your tenant name> をクリックします。
  2. 確認ダイアログで はい をクリックします。
  3. ステータス列で、すべてのアクセス許可が Granted と表示されていることを確認します。
Grant admin consent ボタンがグレー表示の場合は、Privileged Role Administrator または Global Administrator の権限が必要です。新しいアクセス許可を追加するたびに、管理者の同意を再度付与する必要があります。
4

クライアント シークレットを作成する

  1. アプリの概要ページで、左側のメニューから Certificates & secrets をクリックします。
  2. Client secrets タブをクリックし、New client secret をクリックします。
  3. 説明 (例: Living Security Platform) を入力します。
  4. ローテーション ポリシーに合った有効期限を選択します。
  5. 追加をクリックします。
シークレットの値はすぐにコピーしてください。 Microsoft Entra ID がクライアント シークレットの全体を表示するのは 1 回のみです。コピーする前に別のページに移動した場合は、そのシークレットを削除して新しく作成する必要があります。
シークレットは安全に保管してください。有効期限が切れる前にローテーションするよう、カレンダーにリマインダーを設定してください。シークレットが期限切れになると、同期は 401 Unauthorized で失敗します。
5

Graph API ホストと Authority ホストを確認する

商用クラウドを使用するほとんどの組織では、既定値を使用します。政府機関向けクラウドやソブリン クラウドの場合は、お使いの環境に適したエンドポイントを使用してください。
Graph API ホストと Authority ホストは一致している必要があります。あるクラウドの認証局から発行されたトークンは、別のクラウドの Graph エンドポイントでは無効です。

​
パート B — Living Security Platform での作業

この手順は、プログラム オーナーが実施します。プラットフォームに招待されたシステム管理者がいる場合は、その管理者が実施します。
これで Microsoft Entra ID (Client Credentials) に接続されました。

​
トラブルシューティング

資格情報が無効か、期限切れです。次の点を確認してください。
  1. クライアント シークレットが期限切れになっていないこと、またはローテーションされていないこと
  2. テナント ID とクライアント ID が正しいこと
  3. Authority ホストがお使いのクラウド環境と一致していること
アプリの登録に必要なアクセス許可がないか、管理者の同意が付与されていません。次の点を確認してください。
  1. 必要なアクセス許可がすべて API permissions に一覧表示されていること
  2. 各アクセス許可のステータスが Granted (緑のチェック マーク) になっていること
  3. アクセス許可を追加した後に管理者の同意が付与されていること
最初の同意の後で新しいアクセス許可を追加した場合は、管理者の同意を再度付与する必要があります。
アプリに、そのストリームに必要なアクセス許可がない可能性があります。
  • ユーザーが取得されない → User.Read.All がありません
  • セキュリティ アラートが取得されない → SecurityAlert.Read.All がありません
  • サインイン ログが取得されない → AuditLog.Read.All がありません
  • 攻撃シミュレーションの結果が取得されない → AttackSimulation.Read.All がありません
  • Entra ID のデバイスが取得されない → Device.Read.All がありません
  • Intune 管理対象デバイスが取得されない → DeviceManagementManagedDevices.Read.All がありません
  • リスク検出が取得されない → IdentityRiskEvent.Read.All がない、追加後に管理者の同意が再付与されていない、またはテナントが Microsoft Entra ID P1 ライセンスの最低要件を満たしていません
Graph API ホストと Authority ホストが一致していない可能性があります。どちらも同じクラウド環境 (商用、政府機関向けなど) に対応している必要があります。
グループ メンバーシップのアクションは、次の 3 つの条件がすべて満たされている場合にのみ提供されます。
  1. GroupMember.ReadWrite.All がアプリの登録に設定されており、管理者の同意が付与されている。最近追加した場合は、最大 1 時間お待ちください。
  2. 管理者が接続に対して許可するグループの一覧を指定している。
  3. 接続が有効で、正常な状態である。
アクセス許可を付与してもアクションが利用できない場合は、管理者の同意を再度付与してください。Microsoft では、アクセス許可が変更されるたびに再付与が必要です。
テナントに IP アドレスでスコープを設定した条件付きアクセス ポリシーがある場合、この接続の資格情報を含む要求がブロックされることがあります。Microsoft Graph は既定では IP アドレスによる制限を行わないため、ほとんどのテナントは影響を受けません。サービス プリンシパルに対して IP スコープのポリシーを適用している場合、セットアップとデータ同期は異なるネットワークから送信されるため、この連携では 2 組のアドレスを許可リストに登録する必要があります。Living Security はこの接続のアクセス トークンを自ら発行して継続的に更新するため、トークン要求は、データ同期で使用されるアドレスではなく、プラットフォーム自身のアドレスから送信されます。グループ アクションは別です。既定では、データ同期と同じ経路で、同期用アドレスから送信されます。管理者が接続を直接送信 (direct egress) に切り替えた場合にのみ、プラットフォームのアドレスに変わります。両方の組を、条件付きアクセス ポリシーが信頼または除外する名前付きの場所に追加してください。トークン要求は login.microsoftonline.com に、データ要求は graph.microsoft.com に送信されます。どちらも通過する必要があります。同期用アドレスのみを許可リストに登録した場合、セットアップはトークンの取得時に失敗し、接続は作成されません。プラットフォームのアドレスのみを許可リストに登録した場合、セットアップは成功しますが、すべての同期でレコードが返されません。