Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Overzicht
Sjablonen voor voorwaardelijke toegang bieden een handige methode om nieuwe beleidsregels te implementeren die zijn afgestemd op De aanbevelingen van Microsoft. Deze sjablonen zijn ontworpen om maximale beveiliging te bieden die is afgestemd op veelgebruikte beleidsregels voor verschillende typen klanten en locaties.
Sjablooncategorieën
Beleidssjablonen voor voorwaardelijke toegang zijn ingedeeld in de volgende categorieën:
- Veilige basis
- Nul vertrouwen
- Werken op afstand
- Beheerder beveiligen
- Opkomende bedreigingen
- AI-agenten
Microsoft raadt dit beleid aan als basis voor alle organisaties. Implementeer dit beleid als een groep.
- Meervoudige verificatie vereisen voor beheerders
- Registratie van beveiligingsgegevens beveiligen
- Verouderde verificatie blokkeren
- Meervoudige verificatie vereisen voor beheerders die toegang hebben tot Microsoft-beheerportals
- Meervoudige verificatie vereisen voor alle gebruikers
- Meervoudige verificatie vereisen voor Azure-beheer
- Vereisen dat het apparaat compatibel is met Microsoft Entra of meervoudige verificatie voor alle gebruikers
- Compatibel apparaat vereisen
Zoek deze sjablonen in het Microsoft Entra-beheercentrum>Entra ID>Conditional Access>Maak nieuw beleid van sjablonen. Selecteer Meer weergeven om alle beleidssjablonen in elke categorie weer te geven.
Belangrijk
Sjabloonbeleid voor voorwaardelijke toegang dat zich richt op gebruikers sluit alleen de gebruiker die het beleid creëert uit van de sjabloon. Als uw organisatie andere accounts moet uitsluiten, wijzigt u het beleid nadat het is gemaakt. U vindt deze beleidsregels in het Microsoft Entra-beheercentrum>Entra> voor>. Selecteer een beleid om de editor te openen en de uitgesloten gebruikers en groepen te wijzigen om accounts te selecteren die u wilt uitsluiten.
Standaard wordt elk beleid gemaakt in de modus alleen voor rapporten. Test en bewaak het gebruik om het beoogde resultaat te controleren voordat u elk beleid inschakelt.
Organisaties kunnen afzonderlijke beleidssjablonen selecteren en:
- Bekijk een samenvatting van de beleidsinstellingen.
- Bewerken, om aan te passen op basis van de behoeften van de organisatie.
- Exporteer de JSON-definitie voor gebruik in programmatische werkstromen.
- Deze JSON-definities kunnen worden bewerkt en vervolgens geïmporteerd op de hoofdpagina van het beleid voor voorwaardelijke toegang met behulp van de optie Beleid uploaden .
Andere algemene beleidsregels
- Meervoudige verificatie vereisen voor apparaatregistratie
- Toegang per locatie blokkeren
- Toegang blokkeren behalve specifieke apps
Uitsluitingen van gebruikers
Beleid voor voorwaardelijke toegang zijn krachtige hulpmiddelen. We raden u aan de volgende accounts uit uw beleid uit te sluiten:
-
Noodtoegangsaccounts of break-glass-accounts om te voorkomen dat er een vergrendeling ontstaat door verkeerde beleidsconfiguratie. In het onwaarschijnlijke scenario waarin alle beheerders zijn vergrendeld, kan uw beheerdersaccount voor noodtoegang worden gebruikt om u aan te melden en de toegang te herstellen.
- Meer informatie vindt u in het artikel, Accounts voor toegang tot noodgevallen beheren in Microsoft Entra ID.
-
Serviceaccounts en service-principals, zoals het Microsoft Entra Connect-synchronisatieaccount. Serviceaccounts zijn niet-interactieve accounts die niet zijn gekoppeld aan een specifieke gebruiker. Ze worden meestal gebruikt door back-endservices om programmatische toegang tot toepassingen toe te staan, maar ze worden ook gebruikt om zich voor beheerdoeleinden aan te melden bij systemen. Aanroepen van service-principals worden niet geblokkeerd door beleid voor voorwaardelijke toegang dat is gericht op gebruikers. Gebruik Voorwaardelijke toegang voor workloadidentiteiten om beleidsregels te definiëren die gericht zijn op service-principals.
- Als uw organisatie deze accounts gebruikt in scripts of code, vervangt u deze door beheerde identiteiten.
Migreren van klassiek beleid
Klassieke beleidsregels voor Voorwaardelijke toegang zijn verouderd en dwingen na 10 juli 2024 geen maatregelen meer af. Ze zijn afhankelijk van de buiten gebruik gestelde Azure AD Graph-service en kunnen uw resources niet beveiligen. Als uw tenant nog klassieke beleidsregels heeft, migreer hun instellingen dan naar modern beleid voor voorwaardelijke toegang.
Warning
Nadat u een klassiek beleid hebt uitgeschakeld, kunt u het niet opnieuw inschakelen. Documenteer de instellingen van het beleid voordat u het uitschakelt.
Een klassiek beleid migreren:
- Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
- Blader naar Entra ID>Voorwaardelijke toegang>Klassiek beleid.
- Selecteer een klassiek beleid en documenteer de configuratie-instellingen.
- Maak de instellingen opnieuw met behulp van een sjabloon of aangepast beleid dat eerder in dit artikel is beschreven. Test het nieuwe beleid in de modus 'alleen rapporteren' voordat u het inschakelt.
- Ga terug naar het klassieke beleid en selecteer Uitschakelen.
Het hulpprogramma What If geeft aan of het klassieke beleid nog steeds bestaat in uw omgeving.