Data/Locales/checks/ja/EntraGovernanceChecks.json
|
{ "_family": "EntraGovernanceChecks.json", "EIDGOV-001": { "name": { "value": "アクセスパッケージの割り当てポリシーが承認を要求する", "status": "machine-draft" }, "description": { "value": "Entra ID ガバナンスのエンタイトルメント管理の割り当てポリシーは、ユーザーがアクセスパッケージ (グループ、アプリケーション、SharePoint アクセスの束) を取得する方法を制御します。要求承認の設定が無効なポリシーは、人間の関与なしに束ねられたアクセスを付与し、アクセスパッケージをセルフサービスの常設アクセスに変えてしまいます。このチェックはすべての割り当てポリシーを検査し、承認を要求しないものを、確認できるようフラグ付けします。空の結果は、収集が成功した場合にのみ「エンタイトルメント管理が使用されていない (統制すべき対象がない)」として扱われます。収集に失敗した場合は Not Assessed となります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアクセスパッケージの割り当てポリシーが承認を要求するか、自動承認されるパッケージが、意図的に確認された低リスクで内部スコープのアクセスのみを付与している", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Entra 管理センター > ID ガバナンス > エンタイトルメント管理 > アクセスパッケージで、各パッケージのポリシーを開き、機密性の高い、または外部スコープのアクセスを付与するポリシーについて「承認を必須にする」を有効にします。自動承認は低リスクで内部スコープのセルフサービスパッケージに限定し、その判断を文書化します。承認とアクセスレビューを組み合わせて、常設付与が再度正当化されるようにします。", "status": "machine-draft" } }, "EIDGOV-002": { "name": { "value": "アクセスパッケージの割り当てポリシーがアクセスレビューを強制する", "status": "machine-draft" }, "description": { "value": "アクセスレビューのないアクセスパッケージの割り当てポリシーは、定期的に再度正当化されることのないアクセスを付与し、時間とともに常設権限を蓄積します。Entra ID ガバナンスは、各ポリシーに定期的なアクセスレビューを付加でき、割り当てられたユーザー (またはその管理者) が必要性を再確認する必要があります。このチェックは、アクセスレビュー設定が有効になっていない割り当てポリシーをフラグ付けします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアクセスパッケージの割り当てポリシーで定期的なアクセスレビューが有効になっている", "status": "machine-draft" }, "remediationSteps": { "value": "各アクセスパッケージの割り当てポリシーについて、ポリシーのライフサイクル設定でアクセスレビューを有効にします。繰り返し頻度 (たとえば四半期ごと)、レビュー担当者 (自分、管理者、または指名されたレビュー担当者)、および却下または未レビューの割り当てに対する自動削除アクションを選択し、使用されていないアクセスが自動的に取り消されるようにします。", "status": "machine-draft" } }, "EIDGOV-003": { "name": { "value": "アクセスパッケージの割り当てが期限付きである", "status": "machine-draft" }, "description": { "value": "有効期限なしで構成されたアクセスパッケージの割り当てポリシーは、永続的なアクセスを付与します。これはジャストインタイムの対極です。割り当てに期限を設けることで、再要求と再承認が強制され、いかなる付与も未レビューのまま存続する期間が限定されます。このチェックは、有効期限が「なし」に設定された割り当てポリシーをフラグ付けします。", "status": "machine-draft" }, "recommendedValue": { "value": "アクセスパッケージの割り当てポリシーが、永続的なアクセスを付与するのではなく、期限を区切った期間の後に割り当てを失効させる", "status": "machine-draft" }, "remediationSteps": { "value": "各割り当てポリシーのライフサイクル設定で、「割り当ては期限切れにならない」ではなく、割り当ての有効期限 (日数または固定の終了日) を設定します。ユーザーはアクセスがまだ必要な場合にアクセスパッケージのフローを通じて再要求し、付与が意図的なものであり続けるようにします。", "status": "machine-draft" } }, "EIDGOV-004": { "name": { "value": "外部のアクセスパッケージの資格が制御されている", "status": "machine-draft" }, "description": { "value": "エンタイトルメント管理は、アクセスパッケージをテナント外のユーザー (ゲストおよび接続された組織のユーザー) にも拡張できます。外部の対象を許可し、かつ承認を要求しないポリシーは、外部ユーザーが内部アクセスをセルフプロビジョニングできるようにする、直接的な外部露出の経路です。このチェックは、承認なしに外部の資格を許可するポリシーを FAIL とし、外部の資格が承認ゲート付きの場合は WARN とし、ポリシーが内部スコープの場合はパスとします。", "status": "machine-draft" }, "recommendedValue": { "value": "承認なしに外部またはすべてのユーザーの資格を許可する割り当てポリシーが存在しない。外部の資格は特定の接続された組織にスコープされ、承認ゲートが設けられている", "status": "machine-draft" }, "remediationSteps": { "value": "許可された対象スコープに外部またはすべてのユーザーが含まれるポリシーについては、スコープを特定の接続された組織に絞り込むか、ポリシーに承認 (できればアクセスレビューも) を要求します。広くスコープされた外部の資格ポリシーを自動承認のまま放置しないでください。", "status": "machine-draft" } }, "EIDGOV-005": { "name": { "value": "アクセスパッケージカタログの外部可視性のレビュー", "status": "machine-draft" }, "description": { "value": "外部から見えるとマークされたエンタイトルメント管理カタログは、My Access ポータルでテナント外のユーザーにそのアクセスパッケージを表示できます。外部から見えるカタログは、意図的な B2B コラボレーションには適していますが、アクセスを発見し要求できる対象を広げるため、確認する価値があります。このチェックは、外部から見えるカタログをレビュー対象としてフラグ付けします。", "status": "machine-draft" }, "recommendedValue": { "value": "外部から見えるカタログが意図的なものであり、B2B コラボレーションに必要なものに限定されている", "status": "machine-draft" }, "remediationSteps": { "value": "ID ガバナンス > エンタイトルメント管理 > カタログで、外部可視性が有効な各カタログを確認します。内部のアクセスパッケージのみを提供するカタログでは外部可視性を無効にし、外部からの発見可能性を、パートナーやゲストとのコラボレーションのために意図的に構築されたカタログに限定します。", "status": "machine-draft" } } } |