【2026年8月6日開催】Entra IDとMicrosoft Defender for Cloud Apps の関係を学ぼう
Microsoft Defender for Cloud Apps (MDA)とは
ゼロトラスト用語でいう「CASB（ Cloud Access Security Broker ）」です。
企業とクラウドサービスの間に入り、セキュリティを担保する仲介役です。アクセス制御や操作制御（アップロード/ダウンロード制限）等の機能を提供します。
Entra ID 条件付きアクセスとMDAの関係性
Entra ID 条件付きアクセスとMDAによる通信制御デモ（SharePoint Online上のファイルダウンロード制限）
前提
利用するユーザ
動作の違いを確認するため２ユーザ使います
①hellotest ・・・ポリシーの対象
②hellotest2・・・ポリシー対象外
事前設定
①SSOの設定
SharePointの場合、設定不要（既定で、Entra IDとのSSOが構成されている）
②条件付きアクセス設定 (Entra ID)
■Entra管理センター ＞ 条件付きアクセス
「アプリの条件付きアクセス制御を使う」にチェックを入れる
③クラウドサービスへの通信制御設定[セッションポリシー](MDA)
■Defender ポータル ＞ クラウドアプリ ＞ ポリシー
「ファイルのダウンロード制御（検査含む」を選択
対象のアプリとして「Teams」「SharePoint Online」を選択
アクションとして「ブロック」を選択
デモ
hellotest2ユーザ（ポリシー対象外）によるSPOアクセス
SPOへアクセスした際に表示されるURL：https://テナント名.sharepoint.com
ダウンロード操作も可能
hellotestユーザ（ポリシー対象）によるSPOアクセス
SPOへアクセスした際に表示されるURL：：https://テナント名.sharepoint.com.mcas.ms
→ SPOへのアクセスが、MDAにリダイレクトされていることが確認できる
ダウンロード不可
hellotestユーザ（ポリシー対象）によるSPOアクセス（Teams Web経由）★注意点
SPOは、Teams からもアクセスが可能。そのため、MDAセッションポリシーにて「Teams」も対象にしておかないと、Teams経由でのSPOファイルのダウンロードは制限できない
Teams Web へアクセスした際に表示されるURL：：https://teams.cloud.microsoft.mcas.ms
→ Teams Web へのアクセスが、MDAにリダイレクトされていることが確認できる
ダウンロード不可
※TeamsのデスクトップアプリからのSPOアクセスを制御するには、別途検討が必要です（条件付きアクセスでデスクトップアプリからのアクセス制限等）。