MDE P2ライセンスなのに、Defender for Businessになっていた話

はじめに

どうも、むろです。

今回は、Microsoft Defender for Endpoint Plan 2（以下、MDE P2）で動いていると思っていたテナントが、ライセンス追加のタイミングで意図せずにMicrosoft Defender for Business（以下、MDB）のサブスクリプションモードになっていた話を紹介します

はじめにまとめ

• MDE P2を含むライセンスを契約していても、テナントがMDE P2のサブスクリプションモードで動いているとは限らない
• MDE P2だったはずのテナントがMDBのサブスクリプションモードに変化したケースに遭遇した
• Defender ポータルの画面上でサブスクリプションモードをMDE P2へ戻すことができる

何が起きたのか：MDEのサブスクリプションモードがMDE P2からMDBへ意図せず変更された

もともと、該当のM365 テナントは試用版のMDE P2で動作していました

その後、試用期間中に検証していた機能を継続して利用するため、Microsoft 365 Business PremiumとMicrosoft Defender Suiteを本契約しました

Microsoft 365 Business PremiumにはMDBが含まれ、Microsoft Defender SuiteにはMDE P2が含まれています

そのため、ライセンス反映後もMDE P2のサブスクリプションモードが維持される想定でした

ところが、ライセンスの契約内容がテナントへ反映されたタイミングでMicrosoft Defenderポータルを確認すると、どうも設定項目が減っているなどの変化があります

調べていくと、サブスクリプションモードがMDE P2からMDBへ変更されていました

ライセンスとしてはMDE P2を利用できる状態なのに、実際のサブスクリプションモードはMDBになっていた、という状況です

しかし実際には、Microsoft 365 Business Premiumに含まれるMDBのエクスペリエンスが選択されていました

なお、ライセンスの契約内容が反映されたタイミングで変更されたことは確認できましたが、MDBが選択された直接的な原因までは確認できていません

ライセンス上は上位のMDE P2を含むライセンスへ切り替えたので安心、、、ではなく、ライセンス反映後にサブスクリプションモードまで確認する必要があるということです

ライセンスを持っていることと、どのモードで動いているかは別

Microsoft 365 Business PremiumにはMDBが含まれています

一方、Microsoft Defender SuiteやMicrosoft 365 E5 Securityなどを追加すると、MDE P2の利用権も持つことになります

ここでややこしいのが、MDE P2を含むライセンスを追加すれば、自動的にテナント全体がMDE P2のサブスクリプションモードになるわけではないことです

MicrosoftのFAQでは、MDBとMDE P2のライセンスが同一テナントに存在する場合、既定ではMDBのエクスペリエンスが使用されると説明されています

参考：Microsoft Defender for Businessについてよく寄せられる質問

つまり、Microsoft 365管理センターを見て「MDE P2のライセンスがあるから大丈夫」と思っていても、Microsoft Defenderポータル側はMDBとして動いている可能性があります

このあたりのMDBとMDE P2の機能差や、ライセンスが混在する場合の注意点は以前の当社ブログで整理しています

参考：Microsoft Defender for Business vs Defender for Endpoint P2！違いと混在する場合の注意点を教えて

また、以前はMDBとMDE P1/P2のサブスクリプションモードはサポートへ連絡して個別切り替えの依頼が必要でしたが、この後の手順で示すようにMicrosoft Defenderポータル上で切り替えが可能になっています

現在のサブスクリプションモードを確認する

現在の状態は、Microsoft Defenderポータルから確認できます

1. Microsoft Defenderポータルへサインイン
2. 「設定」を開く
3. 「エンドポイント」を開く
4. 「ライセンス」を開く
5. 「サブスクリプションの状態」を確認

MDE P2のライセンスを契約している場合でも、ここがMDBになっていないか確認します

ライセンスの契約・割り当てはMicrosoft 365管理センターで確認し、実際にどのサブスクリプションモードで動いているかはMicrosoft Defenderポータルで確認する、という分け方になります

確認場所が分かれているのも、なかなか気づきにくいポイントです

Microsoft Defenderポータルの管理画面からMDE P2へ戻せた

今回のテナントでは、「ライセンス」画面にあるサブスクリプション設定の管理画面からMDE P2へ変更できました

「サブスクリプション設定の管理」を開き、Microsoft Defender for Endpoint Plan 2を選択します

「完了」を選択すると確認画面が表示されるため、注意事項を確認して「続ける」を選択します

以前、MDBからMDE P2へ切り替える場合は、Microsoftサポートへの申請が必要でした

現在はMicrosoftの新機能ページに、MDBとMDE P2のように複数のサブスクリプションが存在する環境で、エンドポイントのサブスクリプション設定を変更できる旨が記載されています

参考：Microsoft Defender for Businessの新機能

切り替えても、すぐに反映されない

MDE P2を選択して変更は完了、、、と思ったのですが、すぐには画面表示が変わりませんでした

よくある、反映に時間がかかるというやつです

変更後はサブスクリプションの状態がMDE P2になりましたが、画面には「状態に加えられた変更を確認するには、最大6時間かかる場合があります」と表示されます

変更直後の表示だけで失敗と判断せず、少し時間を置いてから確認した方がよさそうです

MDE P2へ戻した後に確認すること

サブスクリプションモードをMDE P2へ戻して終わりではなく、念のためテナント設定に影響がないかも確認します

Microsoftも、Defender for Endpointへ切り替えた後はセキュリティポリシーと設定を確認するように以下のドキュメントでも案内しています

参考：エンドポイント セキュリティ サブスクリプションを変更する

幸いにも今回の事象が発生したテナントではMDE P2で設定していたテナント設定値は維持された上で復元されていました

おわりに

「MDE P2を含むライセンスを契約しているから、テナントもMDE P2で動いている」と思っていたら、実際にはMDBのサブスクリプションモードになっていた話でした

今回のように、契約しているライセンスと実際のサブスクリプションモードが、管理者の認識と一致していない可能性があります

MDE P2を含むMicrosoft Defender SuiteやMicrosoft 365 E5 Securityなどを利用していて、同じテナントにMicrosoft 365 Business Premiumも存在する場合は、一度「設定」→「エンドポイント」→「ライセンス」を確認してみてください

改めて、契約ライセンスだけではなく実際の動作モードまで確認する大事さが身に沁みました

この記事が誰かの役に立ったら嬉しいです！

以上、むろでした。