本記事では、管理者アカウント、端末、メール、外部共有の初期設定を10項目に分けて解説します。既存の設定と業務への影響を調べ、少数の利用者で試してから対象を広げます。
対象はBusiness Premiumの導入・移行を担うIT管理者です。会社支給のWindows PCとExchange Onlineを想定します。運用中の場合は、現在の設定と適用対象を確認し、必要な箇所から見直してください。
Windowsの更新管理やアプリ配布などは業務要件に応じて別途必要です。Microsoft Entra ID P1、Intune、Defender for Businessなどの利用権と対象者へのライセンス割り当ても確認します。詳しい操作は末尾のMicrosoft公式資料を参照してください。
管理者と認証の準備
1 管理用アカウントを日常業務から分離する
管理用アカウントは、メールやWeb閲覧に使うアカウントと分けます。日常業務用のアカウントが侵害された場合に、管理権限まで悪用されるリスクを抑えるためです。付与する権限も、担当する作業に必要な範囲に絞ります。構築時に付けた全体管理者の権限が、そのまま残っていないか確認してください。
設定後は、日常業務用アカウントに不要な管理権限がないことと、管理用アカウントで必要な作業を行えることを確かめます。
2 緊急アクセス用アカウントを用意する
通常の管理者がサインインできなくなった場合に備え、クラウド専用の緊急アクセス用アカウントを2つ以上用意します。Microsoftの推奨に沿って、オンプレミスからの同期やフェデレーションに依存しない構成とし、全体管理者の役割を常時利用できるようにします。FIDO2セキュリティキーなど、フィッシング耐性のある認証方法を用意します。通常用と緊急用で同じ端末や認証サービスに依存すると、一つの障害で両方が使えなくなるおそれがあります。
緊急時のサインインを妨げる条件付きアクセスポリシーからの除外、使用時の通知、資格情報の保管方法も決めておきます。ポリシーから除外することと、認証を弱めることは別です。
作成後はサインインと必要な管理操作、使用時の通知を試験します。その後も少なくとも90日ごとに機能を検証し、担当者や認証手段を変更した際にも確認してください。
3 MFAの登録と適用方法を確認する
多要素認証（MFA）は、パスワードに加えて別の要素で本人確認を行う仕組みです。ただし、Microsoft Authenticatorへの登録だけでは、必要な場面でMFAが要求されるとは限りません。まず、現在の環境で「セキュリティの既定値群」「条件付きアクセス」など、どの仕組みでMFAを適用しているか確認します。既存の方式を調べずに設定を追加すると、適用関係が分かりにくくなります。
条件付きアクセスでMFAを適用する場合は、先に試験対象者へ登録手順を案内し、認証方法の登録を済ませます。その後、手順4でMFAを要求するポリシーを設定し、サインインログで適用結果を確認します。
すでにMFAを利用している環境では、既存の保護を維持しながら移行してください。
4 条件付きアクセスの制御を個別に検証する
Microsoft 365のセキュリティ設定では、条件付きアクセスによって、利用者、端末、接続先などの条件に応じてMFAやアクセス制限を適用します。設定前に、社外から利用する人、私物のスマートフォンでメールを読む人、自動処理に使う接続を整理します。必要な業務まで止めてしまうと、問い合わせのたびに除外を増やすことになりかねません。
MFAの要求、レガシー認証のブロック、準拠端末の要求は、一度に有効化せず、それぞれ検証します。まずレポート専用モードで影響を確認し、試験グループで有効化してから対象を広げます。
準拠端末を要求する制御は、手順5〜7の端末登録と保護状態の確認を終えてから有効化します。端末側の準備より先に制限をかけないよう、実施日程を分けてください。
レポート専用モードはポリシーの判定結果を確認するためのもので、アクセスを遮断しません。ただし、条件によっては証明書の選択などを求められる場合があります。「セキュリティの既定値群」から移行する場合は、切り替え中に保護が途切れない手順も必要です。
有効化前には、問題が起きた場合にポリシーを無効化する担当者と、管理画面へ入る手段も確認しておきます。
端末の登録と保護状態の確認
5 Intuneへの登録とコンプライアンスポリシーを設定する
Intuneは、端末の設定や管理状態を確認するためのサービスです。まず管理する端末と登録方法を決め、少数のPCで登録を試します。既存の端末管理ツールやポリシーがある場合は、設定が競合しないかも確認します。登録後は、資産台帳とIntuneの一覧を照らし合わせます。同じPCの古い登録が残っていたり、登録後に通信しなくなっていたりすると、件数だけは合ってしまいます。利用者、端末の識別情報、最終チェックインまで確認してください。
あわせて、暗号化などの準拠条件をコンプライアンスポリシーで定めます。このポリシーは端末の状態を判定するもので、条件を入れるだけで暗号化などの設定が実行されるわけではありません。
非準拠のPCがあれば、判定理由を調べ、必要な設定を直します。試験端末で準拠状態と業務動作を確認した後、手順4のアクセス制限へ進みます。
6 BitLockerの暗号化と回復キーの保存を設定する
会社支給のWindows PCには、対応条件を確認したうえでBitLockerによる暗号化を設定します。PCの紛失・盗難時に、保存データを読み取られるリスクを抑えるためです。暗号化を適用する際は、回復キーをMicrosoft Entra IDへ保存する設定も確認します。保存されていても、問い合わせを受ける担当者に閲覧権限がなければ、その場で復旧作業が止まります。
試験端末で暗号化が完了したら、担当者の権限で回復キーを取得できるか確かめてください。回復時は端末名だけで判断せず、回復画面に表示されるキーIDと照合します。
7 Defender for Businessに端末をオンボードする
Defender for Businessによる保護を開始するには、端末をサービスに接続するオンボード作業が必要です。Intuneへの登録が完了していても、Defender側の準備まで終わっているとは限りません。導入方法を決め、試験端末からオンボードします。既存のウイルス対策製品が入っている場合は、併用条件やDefenderの動作状態を確認してから切り替えます。
設定後は、Microsoft Defenderポータルで対象端末が表示されること、最終通信やセンサーの状態に問題がないことを確認します。検知されたアラートを誰が受け、どこへ連絡するかも、この段階で決めておきます。
8 メール保護の対象とポリシーを設定する
Business Premiumに含まれるDefender for Office 365 Plan 1のメール保護は、「標準」プリセットを出発点に検討します。試験対象を決め、正規のメールが受信できるかも確認してください。運用中の環境では、先に既存ポリシーと適用対象を調べます。同じ受信者に同じ種類の保護ポリシーが複数該当する場合は、原則として「厳格（Strict）」「標準（Standard）」、カスタムポリシーの順に適用されます。カスタム側の優先順位だけを変えても、プリセットより優先されるわけではありません。保護の種類ごとにMicrosoftの適用順序を確認します。
| 確認箇所 | 設定後に確かめること |
| 対象受信者 | 必要な利用者が含まれ、試験対象だけで止まっていないか |
| 適用ポリシー | Standard・Strict・カスタムのうち、どの設定が適用されるか |
| 安全なリンク・添付ファイル | 対象者が保護から漏れていないか |
| 検疫 | 利用者が解除できない場合の確認先と対応者が決まっているか |
「取引先のメールが届かない」という問い合わせにも備えます。ドメイン全体を許可する前に、検疫理由とメールの認証結果を確認してください。例外を設けた場合は、理由と対象範囲を残します。
送信メールと外部共有の設定
9 SPFとDKIMとDMARCを構成する
Microsoft 365のセキュリティでは、送信メールの認証も確認します。独自ドメインから送るメールには、送信元の正当性を確認するため、SPF・DKIM・DMARCを構成します。SPFは送信を許可するサーバーを示し、DKIMは電子署名によって署名元やメールの改ざんの有無を確認する仕組みです。DMARCでは、SPFまたはDKIMの認証成功に加え、認証されたドメインと差出人欄のドメインとの整合性を確認します。どちらの経路でも条件を満たさないメールについて、隔離や拒否などの扱いを受信側へ示します。
設定前に、Microsoft 365以外の送信経路も洗い出します。請求書配信サービス、メールマガジン、複合機などから送信している場合は、それぞれに適した対応が必要です。
DMARCを拒否ポリシーにする前に、正規の送信経路で認証とドメインの整合性が確認できるか調べます。DNSの登録だけで完了とせず、実際に送ったメールの認証結果やDMARCレポートを確認しながら進めてください。
10 SharePointとOneDriveの外部共有を設定する
外部共有では、まず「誰が、誰に、どの資料を共有する必要があるか」を確認します。そのうえで、組織・サイトの共有範囲と、既定のリンク種類を設定します。既定のリンクは「特定のユーザー」を基本に検討します。ただし、業務上必要な共有方法と合うか、利用部門にも確認してください。
既定のリンク種類を変更しても、発行済みの匿名リンクを一括で無効化したことにはなりません。 既存リンクとゲストの権限は別に点検します。共有を続ける必要があるかは設定一覧だけでは判断できないため、ファイルの所有部門に確認します。
設定後は、想定した相手が必要な資料を開けることと、許可していない相手には共有できないことを試験用のファイルで確認します。
初期設定の後も対象者と例外は変わる
10項目の設定を終えても、入退社やPCの追加、取引先との共有によって管理対象は変わります。設定時点では必要だった例外が、そのまま残ることもあります。例外には、対象、理由、承認者、見直し期限を記録してください。「なぜこのアカウントだけ対象外なのか」が分かれば、担当者が替わっても継続の要否を判断できます。
初期設定の対象や完了条件が曖昧な場合は、設定一覧と管理対象の端末情報をもとに見直してください。DeskMate Secureの無料診断では、現在の設定と管理対象の端末をもとに、Microsoft 365のセキュリティ状況を確認できます。設定後も担当者と確認日を決め、管理を続けてください。
参考資料
Microsoft 緊急アクセス用アカウント
Microsoft メール保護の順序と優先順位
Microsoft IntuneとBitLocker
Microsoft Defender for Businessへのオンボード
Microsoft メール認証のしくみ
Microsoft SharePointとOneDriveの共有設定
参照日 2026年10月26日
