Microsoft 365 パラメータシート（テナント）

機器ではありませんが、設定項目に既定値があり、既定のままだと事故になるという構造は機器のパラメータシートと同じです。★核は2枚です。（1）条件付きアクセス設計 … 全ユーザーを対象にしたポリシーで緊急アクセス用アカウントを除外し忘れると、管理者を含む全員が締め出され、戻す手段が無くなります。ポリシーごとに状態・対象・除外を表で持ちます。（2）外部共有・ゲスト設計 … 既定のままだと、リンクを知っていれば認証なしで開ける共有が作れます。作った本人もどこまで広がったかを把握できません。★オンプレADとのハイブリッドも扱います。ADのUPNサフィックスが検証済みドメインと一致していないと、同期はできてもサインインできません。★既定値はテナントの作成時期とライセンスで変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。

★条件付きアクセスのポリシーを1本でも作る前に、緊急アクセス用アカウントを2つ用意してください。クラウド専用（オンプレと同期しない）にし、すべてのポリシーから除外し、封緘して保管してください。★新しいポリシーは必ず「レポート専用」で出し、何人が影響を受けるかを見てからオンにしてください。★条件付きアクセスは「許可が既定」です。どのポリシーにも一致しない通信は許可されます。ファイアウォールと逆なので、ブロックしたいものは明示的に書いてください。★複数のポリシーは順序ではなく、すべてが評価されて結果が合成されます。1つでもブロックがあればブロックになるため、除外の抜けが致命傷になります。★レガシー認証をブロックする前に、使っている機器・アプリをサインインログで洗い出してください。複合機からの送信が止まります。★サイト単位ではテナント設定より緩くできません。テナントは厳しめから始めてください。★M365にバックアップは含まれません。ごみ箱と保持ポリシーはバックアップではありません。パスワード・アプリのシークレット・APIキーは書かず「別紙参照」としてください。