Canvaなどのアプリでは、以下のようにログイン時に、「Microsoftで続行」を選択すると、規定ではEntra IDのアカウントでもログインができてしまいます（管理者として、CanvaとSSOを構成していない状態でも、Entra ID アカウントでログインできてしまいます）
管理者として、Entra IDのアカウントを利用して、明示的にＳＳＯ構成をしていないサードパーティアプリへのログインを禁止する方法を、本記事では紹介しています。
方法①ユーザーによるアクセス許可の承諾を禁止する
エンタープライズ アプリケーションに、管理者の知らないアプリケーションが追加されている! | Japan Azure Identity Support Blog
方法②条件付きアクセスでターゲットリソースで当該アプリを指定して、ブロックする
こちらは前提として、当該アプリをエンタープライズアプリに追加する必要があります。
基本的には、そのアプリに組織内のユーザが初めてログインする際に、認証後、「承認操作」 (同意) を行うタイミングで、[エンタープライズ アプリケーション] に追加されます。
ただし、MSサポート曰く、このエンタプライズアプリへの追加方法は、アプリ仕様に依存するとのことです。そのため、アプリ提供事業者側に、Entra IDにおけるエンタープライズアプリへの追加方法を確認するのが確実、とのことでした（ただ、アプリ提供事業者の問い合わせ先もわからないケースが多いと思いますので、一度、Entra IDのアカウントでログインしてみて、エンタープライズアプリケーションに追加されるか、そして、条件付きアクセスでブロックされるか確認してみるのが手っ取り早いと思います）
補足 エンタープライズアプリケーション追加方法
上述の通り「承認操作」で自動的に、エンタプライズアプリケーションに追加されるケース（①）もあります（追加されないケースは見たことないです）
また、エンタープライズアプリケーションの「＋新しいアプリケーション」から追加する方法（②）もあります。
ただし、miroというアプリケーションの場合は、この後者②の方法で追加した場合、条件付きアクセスでブロックできませんでした。①を利用した場合は、条件付きアクセスでブロックできました（②は、おそらく、組織向けのmiroテナントを利用する際に使う設定と想定。組織向けmiroテナントでEntraIDとのSSO設定を実施すれば、条件付きアクセスでブロックできると想定）
①②の方法でエンタープライズアプリケーションを追加すると、以下のようにmiroが二つエントリーされました。
各々の詳細を確認すると、②で追加されたmiroは、SSOのページに遷移すると、「シングルサインオン設定の保存」をするか問われます。「はい」を選択することでシングルサインオンの設定が構成されます。
①で追加されたmiroは、SSOのページに遷移すると以下の表示となります。
コメント