Microsoft 365 パラメータシート（テナント）
説明
Microsoft 365 テナントのパラメータシート。機器ではありませんが、設定項目に既定値があり、既定のままだと事故になるという構造は機器のパラメータシートと同じです。★核は2枚です。（1）条件付きアクセス設計 … 全ユーザーを対象にしたポリシーで緊急アクセス用アカウントを除外し忘れると、管理者を含む全員が締め出され、戻す手段が無くなります。ポリシーごとに状態・対象・除外を表で持ちます。（2）外部共有・ゲスト設計 … 既定のままだと、リンクを知っていれば認証なしで開ける共有が作れます。作った本人もどこまで広がったかを把握できません。★オンプレADとのハイブリッドも扱います。ADのUPNサフィックスが検証済みドメインと一致していないと、同期はできてもサインインできません。★既定値はテナントの作成時期とライセンスで変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。
使い方
★条件付きアクセスのポリシーを1本でも作る前に、緊急アクセス用アカウントを2つ用意してください。クラウド専用（オンプレと同期しない）にし、すべてのポリシーから除外し、封緘して保管してください。★新しいポリシーは必ず「レポート専用」で出し、何人が影響を受けるかを見てからオンにしてください。★条件付きアクセスは「許可が既定」です。どのポリシーにも一致しない通信は許可されます。ファイアウォールと逆なので、ブロックしたいものは明示的に書いてください。★複数のポリシーは順序ではなく、すべてが評価されて結果が合成されます。1つでもブロックがあればブロックになるため、除外の抜けが致命傷になります。★レガシー認証をブロックする前に、使っている機器・アプリをサインインログで洗い出してください。複合機からの送信が止まります。★サイト単位ではテナント設定より緩くできません。テナントは厳しめから始めてください。★M365にバックアップは含まれません。ごみ箱と保持ポリシーはバックアップではありません。パスワード・アプリのシークレット・APIキーは書かず「別紙参照」としてください。
収録内容
全9シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。
- 前提共通設計
- テナント・DNS・管理者・ハイブリッド・保持
設定項目（28件）
初期ドメイン・カスタムドメイン・データの保存場所・組織情報・契約しているライセンス・割り当て方法・MXレコード・SPF・DKIM・DMARC・Autodiscover・全体管理者・役割の割り当て方・管理者のMFA・緊急アクセス用アカウント・緊急用アカウントの管理・管理操作の監査・同期の有無・認証方式・UPNサフィックス・同期するOU・同期しないもの・属性の正はどちらか・同期の監視・保持ポリシー・削除後の復元期間・バックアップの有無・変更の記録
- 設計条件付きアクセス
- ★除外の抜けで全員が締め出される。レポート専用で先に出す
- 設計外部共有
- ★既定のままだと認証不要のリンクが作れる
設定項目（9件）
外部共有のレベル・既定の共有リンク・リンクの有効期限・サイト単位の設定・ゲストアクセス・外部アクセス（他組織との通信）・ゲストの招待権限・ゲストの権限レベル・ゲストの棚卸し
- 設定値メール
- なりすまし対策（SPF/DKIM/DMARC）・受信・送信・メールボックス
設定項目（17件）
SPF・DKIM・DMARC・強める時期・MXの向き先・迷惑メール対策・フィッシング対策・添付・リンクの検査・外部からのメールの表示・複合機・業務システムからの送信・SMTP認証の可否・外部への自動転送・送信数の上限・共有メールボックス・退職者の扱い・監査・アーカイブ
- 確認確認方法
- 設定が入っているかの確認方法と期待される結果
- 注意設定時の注意
- テナントで実際に起きる失敗と、その回避手順
この型で検査する
記入済みのファイルをアップロードすると、この型の必須項目（パラメータシートの組込みルール）を満たしているか検査します。ファイルは保存されません。
関連するテンプレート
同じフェーズ（設計）や業界でよく使われている型です。
基本設計書（方式と方針の型）
「基本設計＝方式と方針、詳細設計＝具体的な値」の線引きを章構成で体現。設定値はパラメータシートに書き、本書には書かないことで二重管理を防ぎます。
IPアドレス管理表
セグメントの全アドレスを行に展開する台帳。「空き」が行として見えることで、重複払い出しを防ぎます。★セグメントごとの使用率を数式で出します（80%超で橙、90%超で赤）——IPは足りなくなってから増やせず、/24 を /23 へ広げるにはそのセグメントの全機器のアドレスを変えることになるためです。★ホスト名の重複を自動で検出し、使用中なのに用途・ホスト名が空の行、最終更新から1年以上動いていない行も色で出します。.0（ネットワークアドレス）と .255（ブロードキャスト）も「禁止」の行として残し、なぜ払い出せないかが見えるようにしました。★v3 では「実体（実機／仮想IP／機器のIF）」の列を追加しました。VIP・フローティングIP・ゲートウェイのSVIは★機器一覧に出てこないのにアドレスを消費するので、台帳に載せ忘れると後から同じIPを別の機器へ払い出して本番で衝突します。実機なのに機器IDが空の行は赤、仮想IPは薄紫で区別し、セグメント一覧に「うち仮想IP」の件数も出します（記入例はサーバー10台に対して使用中が14個になります）。払い出し記録シートつき。
構成図テンプレート（作図ルール＋部品集）
雛形・記法ルール・アイコン部品集のセット。新設＝赤枠／撤去＝グレーアウトなど更改案件の描き分けを標準化します。Visio不要、PPT標準図形のみ。
通信要件一覧（FWルール表）
ゾーン定義とゾーン間ポリシーを先に決め、個別ルールをその例外として書くFWルール表。送信元・宛先・サービスが any の行と、有効期限が過ぎた行には自動で色が付きます。★ゾーン間ポリシーに「≠（この区間はFWを通らない）」の記号を持たせてあります。VLAN間ルーティングをコアスイッチで行う構成では社内セグメント同士の通信がFWまで上がってこないため、ここを「×」と書くと止まっているつもりで素通りします。効かないルールの例と、棚卸しでヒット0からそれを見つける流れまで記入例に入れてあります。AD認証の内訳やIPsec・vSphereなど、毎回調べ直しているポート番号を約60件収録済み。FW機種を問わず使えます。