レガシー認証のブロックは、「サインインログで使っている相手を洗い出す → 条件付きアクセスを『レポート専用』で作る → 影響がないことを確認してから『オン』にする」の順で進めると、複合機や古いアプリを止めずに済みます。 条件付きアクセスが使えないプランは、セキュリティの既定値群（無料）でも同じブロックができます。2026年11月時点の公式資料にもとづいて、手順と注意点をまとめます。
この記事は、個人による非公式の解説です。仕様やプランは変わる可能性があるため、作業の前に、末尾の「参考」の公式資料を確認してください。
レガシー認証とは、なぜ止めるのか
レガシー認証とは、現在の認証方式（モダン認証）を使わない接続のことです。公式資料では、次のようなものが挙げられています。
- Office 2010 のような、モダン認証に対応していない古いクライアント
- IMAP、POP3、SMTP といった古いメールのプロトコルを使うクライアント
これらは MFA に対応していません。 MFA を必須にしていても、レガシー認証を許していると、攻撃者は古い方式でサインインして、MFA を回避できてしまいます。Microsoft の分析では、パスワードを使い回す攻撃（クレデンシャルスタッフィング）の97%超、パスワードスプレー攻撃の99%超が、レガシー認証を使っているとされています。基本認証を止めれば、これらの攻撃は止まる、というのが Microsoft の説明です。
手順1：使っている相手を洗い出す
いきなりブロックすると、業務が止まることがあります。まず、誰が（何が）レガシー認証を使っているかを調べます。
- Entra 管理センターを、レポート閲覧者（Reports Reader）以上の役割で開く
- 「Entra ID → 監視と正常性 → サインインログ」を開く
- 「列」から「クライアントアプリ」を追加する
- フィルターで「クライアントアプリ」を選び、レガシー認証のプロトコルをすべて選んで適用する
- 「ユーザーのサインイン（非対話型）」のタブでも、同じ操作をする
個々のサインインを開くと、どのプロトコルが使われたかがわかります。ワークブック「Sign-ins using legacy authentication」を使うと、まとめて確認できます。
見つかる相手の例として、複合機のスキャン送信（メール送信）、古い業務アプリ、古い Office、スマートフォンの古いメール設定などが考えられます。複合機やアプリからメールを送る方法は、Microsoft も専用の資料を案内しています。見つかった相手は、モダン認証に対応した設定へ変えるか、送信方法を見直してから、ブロックに進みます。
手順2：ブロックの方法を選ぶ
| 方法 | 必要なプラン | 向いている会社 |
|---|---|---|
| 条件付きアクセスのポリシー | Microsoft Entra ID P1 以上 | 例外（除外）を細かく決めたい会社 |
| セキュリティの既定値群 | 無料 | 設定をシンプルにしたい、P1 が無い会社 |
セキュリティの既定値群は、オンにすると、古いプロトコルによる認証要求をすべてブロックします。ほかに、全員への MFA 登録の要求、管理者への MFA の要求なども、同時に有効になります。条件付きアクセスに切り替える場合は、先に、セキュリティの既定値群をオフにする必要があります。両方を同時には使えません。
手順3：条件付きアクセスで、レポート専用から始める
条件付きアクセス（P1 以上）で作る場合の設定です。
- 「Entra ID → 条件付きアクセス → ポリシー」で「新しいポリシー」を作る
- ユーザー：「すべてのユーザー」を含める。除外に、緊急用アカウントと、レガシー認証を続けるアカウント（サービスアカウントなど）を入れる
- ターゲットリソース：「すべてのリソース」
- 条件 → クライアントアプリ：構成を「はい」にし、「Exchange ActiveSync クライアント」と「その他のクライアント」だけにチェックを入れる
- アクセス制御 → 許可：「アクセスのブロック」
- ポリシーの有効化は「レポート専用」にして、作成する
公式資料は、少なくとも1つのアカウントを除外に入れて、設定ミスによる締め出しを防ぐことを勧めています。レポート専用の間は、サインインを止めずに、「もしオンなら、誰がブロックされたか」を確認できます。結果を見て、問題がないと判断してから、「レポート専用」を「オン」に切り替えます。レポート専用で確認する期間は決まっていませんが、月末の処理や定期の業務を一巡できる、1〜2週間以上を目安にするのが安全です（これは公式資料の記載ではなく、この記事の提案です）。
設定を変える前に：影響範囲・業務が止まるか・戻し方
| 操作 | 影響範囲 | 業務が止まるか | 戻し方 |
|---|---|---|---|
| サインインログを調べる | なし（見るだけ） | 止まりません | 不要 |
| 条件付きアクセスを「レポート専用」で作る | なし（記録するだけ） | 止まりません | ポリシーを削除する |
| 条件付きアクセスを「オン」にする | 全ユーザー（除外を除く）の、古いプロトコル・古いクライアント | 複合機のメール送信、古いアプリ、古い Office などが止まる可能性があります | 「レポート専用」または「オフ」に戻す |
| セキュリティの既定値群を「有効」にする | 全ユーザー。MFA の登録要求などと同時に有効になる | 古い方式の相手に加えて、MFA 未登録の人もサインインで止まる可能性があります | 「無効」に戻す（ただし、保護が外れます） |
「オン」にした直後は、サインインできないという問い合わせが増える前提で、担当者が対応できる日（週の前半など）に切り替えてください。クライアントなど、他社のテナントで作業する場合は、必ず相手の承認を取り、切り替え日を相手と決めてから行ってください。
ブロックしたあとの確認
- サインインログで、ブロックされたサインインの件数を確認する。想定外の相手がいれば、その相手の設定を直す
- 複合機のスキャン送信など、定期的な処理が動いているかを確認する
- 例外（除外）のアカウントを、定期的に見直す。例外は、増やさないのが基本
条件付きアクセスは、最初の認証（パスワードの確認）が済んだ「あと」に適用されます。そのため、サービス拒否攻撃への第一の防御としては、設計されていません。
まとめ
レガシー認証は、MFA を入れていても、穴になります。まず、サインインログで、レガシー認証を使っている相手がいるかを調べてください。 いなければ、そのままブロックできます。いれば、その相手を直してから、レポート専用で確認し、オンにする、という順番です。
自社の設定の全体を確認したい場合は、M365・社内IT 自己点検（16問・約3分・無料）も使えます。「古い認証方式をブロックしていますか」という設問が含まれています。
参考
2026年11月時点で確認した公式資料です。
- Block legacy authentication with Conditional Access：https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-block-legacy-authentication
- Configure Security Defaults for Microsoft Entra ID：https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults
- How to set up a multifunction device or application to send email using Microsoft 365：https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365
- Sign-ins using legacy authentication workbook：https://learn.microsoft.com/en-us/entra/identity/monitoring-health/workbook-legacy-authentication