Microsoft Entra ID の条件付きアクセスポリシーをローカルで分析する Windows 向けのセキュリティツールです。ギャップ分析などの基本機能に加え、Pro では What-If シミュレーションと Excel/PDF エクスポートに対応します。
最終更新: 2026-11-09
NIST SP 800-53 DISA STIG Microsoft BaselinesCA Policy Analyzer は、Microsoft Entra ID の条件付きアクセス (CA) ポリシーをローカル環境で分析するセキュリティツールです。ポリシー JSON をインポートするだけで、国際標準に基づくギャップ分析と改善提案を即座に確認できます。
カバレッジ分析の「管理者除外分析」が、管理者を除外しているポリシーの数と、管理者専用の代替ポリシーで補えているもの・不足しているものの数を示します。分析設定に管理者グループ名を登録すると、管理者専用の保護がない場合は「管理者保護不備」として検出します。
自動診断の「ロックアウトリスク（Critical）」が、すべてのユーザーをブロックし、管理者にも適用されうるポリシーを検出します。緊急アクセスアカウントの除外があるかなど、確認すべき点も示します。
自動診断の「レガシー認証の露出（Warning）」が、MFA に対応しない IMAP・POP3・SMTP などを止めるポリシーがない、または不完全な場合に検出します。「その他のクライアント（レガシー）」を対象にしたブロックポリシーの作成が推奨対応です。
カバレッジ分析の設計不備の検出が、ポリシーの組み合わせでは保護されないケースを「Design Flaw」として表示します。例えば、一般ユーザー向けの MFA ポリシーが管理者を除外し、管理者専用のポリシーがない場合です。
ギャップ分析が、NIST SP 800-53・DISA STIG・Microsoft Security Baselines から導いた推奨構成と現在のポリシーを比較し、項目ごとに適合・不十分・欠落などを判定します。準拠率と総合判定、推奨修正の手順も確認できます。
What-If シミュレーションで、ユーザー・グループ・アプリ・デバイス・クライアントアプリ・場所を仮定し、BLOCK か ALLOW か、必要なコントロールを確認できます。実環境に適用する前に、意図どおりに動くかを検証できます。
シミュレーションの結果には、適用されたポリシーと適用されなかったポリシーの一覧が出ます。どの条件が一致したか、一致しなかったかの理由も確認でき、原因の特定とポリシーの見直しに使えます。
自動診断の「ポリシー競合・重複（Info）」が、同じ条件に矛盾する制御を設定した組み合わせ（同じグループに MFA を求めるポリシーとブロックするポリシーなど）と、実質的に同じ効果の重複ポリシーを検出します。
ポリシー管理の変更履歴が、変更の内容を自動で記録し、差分を検出します。誰が・いつ・なぜ・何を変更したかを追跡でき、監査やトラブルシューティングの証跡として使えます。
ギャップ分析の各項目の詳細に、レポート専用モードで安全に試すための導入手順（レポート専用デプロイガイド）と、変更の影響を確認する KQL クエリが示されます。
制限: ポリシーの取り込みは JSON ファイルの読み込みと手動登録のみで、テナントへ接続して自動取得する機能はありません。無効・レポート専用のポリシーは分析対象外になる場合があります。対応 OS は Windows 10（バージョン 2004 以降）と Windows 11 です。
JSON ファイルの読み込み・一覧表示・検索。変更履歴の自動追跡と差分検出。
28 項目のセキュリティベストプラクティスとの適合チェック。管理者除外の補償判定を含む多角的分析。
総合スコア・重要度別分類・優先対応事項を一画面で確認。
ロックアウトリスク・レガシー認証許可・ポリシー競合を自動検出し、改善策を提示。
プライバシー: すべてのデータはローカルで処理されます。外部サーバーへのデータ送信は一切行いません（Microsoft Store ライセンス API を除く）。
CA Policy Analyzer is a Windows security tool that analyzes Microsoft Entra ID Conditional Access policies locally. In addition to basic features such as gap analysis, Pro adds What-If simulation and Excel/PDF export.
Last updated: 2026-11-09
NIST SP 800-53 DISA STIG Microsoft BaselinesCA Policy Analyzer is a security tool that analyzes Microsoft Entra ID Conditional Access (CA) policies in a local environment. Simply import your policy JSON to instantly review gap analysis and improvement recommendations based on international security standards.
Administrator Exclusion Analysis in Coverage Analysis shows how many policies exclude administrators, and how many of them are covered by a dedicated admin policy or left under-protected. Once you register your admin group names in Analysis Settings, a missing admin-specific policy is reported as "Insufficient Administrator Protection."
Automatic Diagnostics flags "Lockout Risk (Critical)" when a policy blocks all users and may also apply to administrators. It also points out what to verify, such as whether an emergency access account is excluded.
"Legacy Authentication Exposure (Warning)" is raised when no policy blocks protocols such as IMAP, POP3 and SMTP, which cannot use MFA, or when that policy is incomplete. The recommended fix is a block policy targeting "Other clients (legacy)."
Design Flaw Detection in Coverage Analysis shows scenarios that no combination of policies protects, marked "Design Flaw." One example is an MFA policy for general users that excludes administrators while no administrator-specific policy exists.
Gap Analysis compares your policies with recommended configurations derived from NIST SP 800-53, DISA STIG and Microsoft Security Baselines, and rates each item as compliant, weak, missing, and so on. You also get a compliance rate, an overall verdict and recommended remediation steps.
With What-If Simulation, you enter a hypothetical user, group, app, device, client app and location, and see whether access would be BLOCKED or ALLOWED and which controls are required. You can verify that policies behave as intended before applying them to production.
Simulation results list the applied and not-applied policies, along with which conditions matched and why others did not. That lets you pinpoint the cause and fix the policy.
"Policy Conflicts and Overlaps (Info)" in Automatic Diagnostics detects combinations that set contradictory controls for the same conditions, such as one policy requiring MFA for a group while another blocks it, as well as duplicate policies with effectively the same result.
The change history in Policy Management automatically records changes and detects differences. You can trace who changed what, when and why, and use it as audit and troubleshooting evidence.
The detail view of each Gap Analysis item includes a report-only deployment guide for testing safely, plus KQL queries for checking the impact of a policy change.
Limitations: Policies are brought in only by loading JSON files or entering them manually. The tool does not connect to your tenant to fetch them automatically. Disabled and report-only policies may be excluded from analysis. Supported on Windows 10 (version 2004 or later) and Windows 11 only.
Load, list, and search JSON files. Automatic change tracking with diff detection.
Compliance check against 28 security best practices. Multi-faceted analysis including admin exclusion compensation.
Overall score, severity classification, and priority actions in a single view.
Detect lockout risks, legacy auth issues, and policy conflicts automatically with remediation advice.
Privacy: All data is processed locally. No data is ever sent to external servers (except Microsoft Store license API).