Zasady dostępu warunkowego zarządzanego przez firmę Microsoft

Przegląd

Codziennie firma Microsoft przetwarza ponad 100 bilionów sygnałów zabezpieczeń z punktów końcowych, usług w chmurze, systemów tożsamości i nie tylko. Wykorzystujemy te dane w taki sposób, w jaki reagujemy na zagrożenia i informujemy o tym, jak wprowadzamy innowacje, aby pomóc w budowaniu bezpieczniejszej przyszłości cyfrowej. Przeczytaj o pracy wykonywanej w raporcie Microsoft Digital Defense Report.

W ramach tej pracy zasady zarządzane przez firmę Microsoft są dostępne globalnie w tenantach Microsoft Entra. Te uproszczone zasady dostępu warunkowego wymagają uwierzytelniania wieloskładnikowego, co nadal zmniejsza ryzyko naruszenia przez ponad 99%.

Zrzut ekranu zasady dostępu warunkowego zarządzanej przez Microsoft w centrum administracyjnym Microsoft Entra.

Wymagania wstępne

Jak działają zasady zarządzane przez firmę Microsoft

Zasady zarządzane przez firmę Microsoft to wstępnie skonfigurowane zasady dostępu warunkowego, które są tworzone i obsługiwane przez firmę Microsoft w celu ochrony przed typowymi zagrożeniami dotyczącymi tożsamości. Firma Microsoft tworzy i wdraża te zasady bezpośrednio u kwalifikujących się dzierżawców na podstawie uprawnień licencyjnych i funkcji. Kiedy polityka jest wprowadzana:

  • Zasada jest tworzona automatycznie w dzierżawcy w trybie 'Tylko raport'.
  • Zasady obejmują wstępnie skonfigurowane warunki i zalecane kontrolki, takie jak wymaganie uwierzytelniania wieloskładnikowego.
  • Administratorzy nie muszą ręcznie tworzyć tych zasad. Firma Microsoft zarządza szablonem zasad, konfiguracją i aktualizacjami, aby upewnić się, że jest ona zgodna z bieżącymi wskazówkami dotyczącymi zabezpieczeń.

Microsoft włącza te zasady nie mniej niż 30 dni po wprowadzeniu ich w dzierżawie, jeśli pozostają w stanie Tylko raportowanie. Możesz włączyć te zasady wcześniej lub zrezygnować, ustawiając stan zasad na Wyłączone. Klienci są powiadamiani za pośrednictwem wiadomości e-mail i wpisów w Centrum wiadomości 2 tygodnie przed włączeniem zasad.

Uwaga

W niektórych przypadkach zasady mogą być włączone w czasie krótszym niż 30 dni. Jeśli ta zmiana ma zastosowanie do dzierżawy:

  • Jest wspomniane w wiadomościach e-mail i postach w centrum wiadomości platformy Microsoft 365, które otrzymujesz na temat zasad zarządzanych przez Microsoft.
  • Wymieniono je w szczegółach zasad w centrum administracyjnym firmy Microsoft Entra.

W miarę rozwoju zagrożeń firma Microsoft może aktualizować te zasady w celu korzystania z nowych funkcji, funkcji lub poprawy ich skuteczności. Zasady dostępu warunkowego zarządzane przez firmę Microsoft automatycznie dostosowują się do zmian w dzierżawie, aby zachować spójny stan zabezpieczeń bez konieczności podejmowania działań administratora. Ponieważ firma Microsoft identyfikuje nowych użytkowników, grupy lub obciążenia spełniające kryteria kwalifikowalności dla istniejących zasad programu MMP, są one automatycznie uwzględniane w zakresie zasad. Te aktualizacje nie modyfikują ustawień zasad, warunków ani kontrolek udzielania, a wszystkie wykluczenia skonfigurowane przez administratora są zawsze zachowywane, aby zapobiec przypadkowym blokadom. Zapewnione jest aktualne pokrycie w miarę rozwoju dzierżawcy, przy zachowaniu przewidywalnego zachowania administratorów. Firma Microsoft komunikuje te aktualizacje za pośrednictwem standardowych kanałów powiadomień, aby informować dzierżawców.

Polityki

Te zasady zarządzane przez firmę Microsoft umożliwiają administratorom wprowadzanie prostych modyfikacji, takich jak wykluczanie użytkowników lub włączanie lub wyłączanie ich z trybu tylko do raportu. Organizacje nie mogą zmieniać ani usuwać żadnych zasad zarządzanych przez firmę Microsoft.

Jak uzyskać dostęp do zasad zarządzanych przez firmę Microsoft i zarządzać nimi

Zasady zarządzane przez firmę Microsoft są wyświetlane na tej samej liście co wszystkie inne zasady dostępu warunkowego.

  1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator Dostępu Warunkowego.
  2. Przejdź do Entra ID>Warunkowy dostęp>Zasady.
  3. Wybierz politykę, która pokazuje firmę Microsoft w kolumnie Utworzone przez.

Zrzut ekranu przedstawiający zasady dostępu warunkowego z wyróżnionymi zasadami zarządzanymi przez firmę Microsoft.

Możesz edytować stan polityki oraz tożsamości, które polityka powinna wykluczać. Wyklucz swoje konta awaryjnego lub dostępu w sytuacjach awaryjnych z zasad zarządzanych, tak samo jak inne zasady dostępu warunkowego. Rozważ duplikowanie tych zasad, jeśli musisz wprowadzić więcej zmian niż to, co jest dozwolone w zasadach zarządzanych przez firmę Microsoft.

Zasady podstawowego trybu zabezpieczeń

Tryb zabezpieczeń bazowych (BSM) w centrum administracyjnym Microsoft 365 łączy zalecane ustawienia zabezpieczeń i zasady dla obszarów roboczych Microsoft 365. Dwa z tych ustawień są wyświetlane jako zasady dostępu warunkowego:

  • Wymaganie uwierzytelniania odpornego na wyłudzenie informacji dla administratorów
  • Blokuj starsze uwierzytelnianie

Te zasady są oparte na strukturze zasad zarządzanych przez firmę Microsoft, ale są one wyświetlane jako tryb zabezpieczeń bazowy w kolumnie Utworzone według. Zasady BSM są zarządzane w centrum administracyjnym platformy Microsoft 365. W celu uzyskania instrukcji dotyczących zarządzania tymi politykami, zobacz Zasady trybu zabezpieczeń bazowego.

Zrzut ekranu przedstawiający zasady trybu bazowego zabezpieczeń na liście Zasady dostępu warunkowego.

Jedną z ważnych różnic między zasadami BSM a zasadami zarządzanymi przez firmę Microsoft jest to, że zasady BSM są tworzone przez administratora, a nie przez firmę Microsoft.

Blokuj dostęp wszystkich agentów wysokiego ryzyka do wszystkich zasobów (wersja zapoznawcza)

Ta zasada blokuje tożsamości agentów, uznawanych za 'wysokiego ryzyka', przed dostępem do zasobów w Twojej dzierżawie. Poziom ryzyka agenta jest oparty na wykrywaniu z usługi Ochrona Microsoft Entra ID.

Blokuj starsze uwierzytelnianie

Te zasady blokują próby logowania przy użyciu starszych metod i protokołów uwierzytelniania. Te uwierzytelniania mogą pochodzić ze starszych klientów, takich jak Office 2010, lub klientów korzystających z protokołów, takich jak IMAP, SMTP lub POP3.

Na podstawie analizy firmy Microsoft ponad 99 procent ataków sprayowych haseł używa tych starszych protokołów uwierzytelniania. Te ataki zostaną zatrzymane, jeśli uwierzytelnianie podstawowe zostanie wyłączone lub zablokowane.

Blokuj przepływ kodu urządzenia

Ta polityka blokuje przepływ kodu urządzeń, w którym użytkownik inicjuje uwierzytelnianie na jednym urządzeniu, a kończy na innym, i ich token jest wysyłany z powrotem do pierwotnego urządzenia. Ten typ uwierzytelniania jest powszechny, gdy użytkownicy nie mogą wprowadzać poświadczeń, takich jak inteligentne telewizory, urządzenia Microsoft Teams Room, urządzenia IoT lub drukarki.

Przepływ kodu urządzenia jest rzadko używany przez klientów, ale często wykorzystywany przez atakujących. Włączenie tych zasad zarządzanych przez firmę Microsoft dla organizacji pomaga usunąć ten wektor ataku.

Jeśli Twoja organizacja używa urządzeń Microsoft Teams, które wymagają użycia przepływu kodu urządzenia, postępuj zgodnie ze wskazówkami zawartymi w artykule Ograniczanie przepływu kodu urządzenia dla urządzeń Microsoft Teams przy użyciu dostępu warunkowego, aby prawidłowo określić zakres wyjątków, nadal blokując przepływ kodu urządzenia dla innych kont.

Uwierzytelnianie wieloskładnikowe dla administratorów, którzy uzyskują dostęp do portali administracyjnych firmy Microsoft

Te zasady obejmują 14 ról administratora , które są wysoce uprzywilejowane, którzy uzyskują dostęp do portali administracyjnych firmy Microsoft i wymagają od nich przeprowadzania uwierzytelniania wieloskładnikowego.

Niniejsza polityka dotyczy dzierżaw firmy Microsoft Entra ID P1 i P2, w których wartości domyślne zabezpieczeń nie są włączone.

Napiwek

Zasady zarządzane przez firmę Microsoft wymagające uwierzytelniania wieloskładnikowego różnią się od ogłoszenia obowiązkowego uwierzytelniania wieloskładnikowego dla logowań do platformy Azure w 2024 r., którego stopniowe wdrażanie rozpoczęło się w październiku 2024 r. Aby uzyskać więcej informacji, zobacz Planowanie obowiązkowego uwierzytelniania wieloskładnikowego dla platformy Azure i innych portali administracyjnych.

Uwierzytelnianie wieloskładnikowe dla wszystkich użytkowników

Te zasady obejmują wszystkich użytkowników w organizacji i wymagają od nich korzystania z uwierzytelniania wieloskładnikowego przy każdym logowaniu. W większości przypadków sesja jest utrwalana na urządzeniu, a użytkownicy nie muszą wykonywać uwierzytelniania wieloskładnikowego podczas interakcji z inną aplikacją.

Uwierzytelnianie wieloskładnikowe dla użytkowników z włączonym uwierzytelnianiem wieloskładnikowym na poziomie użytkownika

Te zasady obejmują użytkowników z uwierzytelnianiem wieloskładnikowym przypisanym do użytkownika. Jest to konfiguracja, której firma Microsoft nie zaleca. Dostęp warunkowy oferuje lepsze środowisko administratora z wieloma dodatkowymi funkcjami. ** Konsolidacja wszystkich zasad uwierzytelniania wieloskładnikowego w politykach dostępu warunkowego może pomóc bardziej precyzyjnie wymagać uwierzytelniania wieloskładnikowego, zmniejszając trudności użytkowników końcowych przy jednoczesnym zachowaniu silnej pozycji bezpieczeństwa.

Ta polityka jest skierowana na:

  • Organizacje z użytkownikami licencjonowanymi Microsoft Entra ID P1 i P2
  • Organizacje, w których domyślne ustawienia zabezpieczeń nie są włączone
  • Organizacje z mniej niż 500 użytkownikami, którzy mają włączone lub wymuszone uwierzytelnianie wieloskładnikowe

Aby zastosować te zasady do większej liczby użytkowników, zduplikuj je i zmień przypisania.

Napiwek

Użycie ikony Edytuj w kształcie ołówka u góry do modyfikacji polityki uwierzytelniania wieloskładnikowego zarządzanej przez Microsoft dla poszczególnych użytkowników może spowodować błąd aktualizacji. Aby obejść ten problem, wybierz opcję Edytuj w sekcji Wykluczone tożsamości zasad.

Uwierzytelnianie wieloskładnikowe i ponowne uwierzytelnianie w przypadku ryzykownych logów

Te zasady obejmują wszystkich użytkowników i wymagają uwierzytelniania wieloskładnikowego oraz ponownego uwierzytelniania po wykryciu logowania wysokiego ryzyka. Wysokie ryzyko w tym przypadku oznacza, że sposób, w jaki użytkownik się zalogował, odbiega od normy. Te logowania o wysokim ryzyku mogą obejmować podróże, które są wysoce nietypowe, ataki sprayu haseł lub ataki powtarzania tokenów. Aby uzyskać więcej informacji, zobacz Co to są wykrycia ryzyka.

Ta polityka dotyczy dzierżawców usługi Microsoft Entra ID P2, w których domyślne ustawienia zabezpieczeń nie są włączone. Zasady obejmują użytkowników na dwa różne sposoby, w zależności od tego, czy masz więcej licencji P2 niż użytkownicy lub jeśli masz więcej użytkowników niż licencje P2. Użytkownicy-goście nie są uwzględniani w zasadach.

  • Jeśli wszyscy aktywni użytkownicy mają uwierzytelnianie wieloskładnikowe i licencje P2 równe lub przekraczają łączną liczbę aktywnych użytkowników, zasady obejmują wszystkich użytkowników.
    • Wszyscy użytkownicy mogą zawierać konta usług lub konta ze szkła, więc możesz je wykluczyć.
  • Jeśli niektórzy aktywni użytkownicy nie mają uwierzytelniania wieloskładnikowego lub nie ma wystarczającej liczby licencji P2 na pokrycie wszystkich użytkowników zarejestrowanych w usłudze MFA, utworzymy i przypiszemy zasady do grupy zabezpieczeń o nazwie "Dostęp warunkowy: ryzykowne uwierzytelnianie wieloskładnikowe", które jest ograniczone do dostępnych licencji P2.
    • Zasady dotyczą tylko tej grupy zabezpieczeń, dzięki czemu można ograniczyć zakres zasad, modyfikując samą grupę.
    • Aby wypełnić grupę, wybieramy użytkowników, którzy mogą spełnić wymagania uwierzytelniania wieloskładnikowego, priorytetując użytkowników z bezpośrednio przypisaną licencją P2.
    • Ta konfiguracja gwarantuje, że zasady nie blokują uprawnionych użytkowników i że uzyskujesz maksymalną wartość licencji P2.

Aby zapobiec przejęciu kont przez osoby atakujące, firma Microsoft blokuje ryzykownych użytkowników przed zarejestrowaniem się w celu uwierzytelniania wieloskładnikowego.

Blokuj dostęp dla użytkowników wysokiego ryzyka

Te zasady pomagają chronić organizację przez ograniczenie dostępu dla użytkowników zidentyfikowanych jako wysokie ryzyko przez usługę Ochrona Microsoft Entra ID. Ryzyko użytkownika reprezentuje prawdopodobieństwo naruszenia zabezpieczeń konta użytkownika na podstawie sygnałów, takich jak ujawnione poświadczenia lub inne wykrycia ryzyka. Po włączeniu tej zasady blokują dostęp dla użytkowników, którzy spełniają skonfigurowany wysoki poziom ryzyka użytkownika, dopóki ryzyko nie zostanie skorygowane. Korygowanie jest zgodne z istniejącymi procesami i wskazówkami dotyczącymi ochrony tożsamości Microsoft Entra.

Ta polityka jest skierowana na:

  • Organizacje z licencjami microsoft Entra ID P2
  • Organizacje, w których domyślne ustawienia zabezpieczeń nie są włączone

Administratorzy mogą przeglądać wpływ zasad w trybie wyłącznie raportu, wykluczać konta dostępu awaryjnego i włączać zasady, gdy będą gotowi.

Wymaganie korygowania dla użytkowników wysokiego ryzyka

Te zasady wymagają od użytkowników zidentyfikowanych jako wysokiego ryzyka przez Ochrona Microsoft Entra ID w celu skorygowania ryzyka przed kontynuowaniem uzyskiwania dostępu do zasobów organizacji. Nowa grupa zabezpieczeń o nazwie „Dostęp warunkowy: korygowanie ryzyka użytkownika” jest tworzona wraz z tą zasadą w celu określenia zakresu dotkniętych użytkowników. Microsoft wypełnia tę grupę uprawnionymi aktywnymi użytkownikami zarejestrowanymi na potrzeby uwierzytelniania wieloskładnikowego, maksymalnie do dostępnej liczby licencji Microsoft Entra ID P2 dzierżawy. Zamiast całkowicie blokować dostęp, te zasady używają adaptacyjnego korygowania ryzyka w celu kierowania użytkowników przez odpowiedni przepływ odzyskiwania na podstawie metody uwierzytelniania i typu wykrytego zagrożenia. Aby uzyskać więcej informacji na temat procesu samodzielnego korygowania, zobacz Samodzielne korygowanie przez użytkownika za pomocą Ochrona Microsoft Entra ID.

Uwaga

Dzierżawy hybrydowe: Kwalifikujące się dzierżawy mają włączoną synchronizację skrótów haseł, więc użytkownicy, których dotyczy problem, mogą samodzielnie korygować za pomocą bezpiecznej zmiany hasła po zakończeniu uwierzytelniania wieloskładnikowego. Upewnij się, że użytkownicy są zarejestrowani w usłudze MFA. Aby uzyskać więcej informacji, zobacz Zagadnienia dotyczące chmury i użytkowników hybrydowych.

Ta polityka jest skierowana na:

  • Organizacje z licencjami microsoft Entra ID P2
  • Organizacje, które nie mają jeszcze włączonej zasady dostępu warunkowego zarządzanej przez klienta, ukierunkowanej na ryzyko użytkownika. Microsoft pomija dzierżawców, którzy mają już włączoną zarządzaną przez klienta zasadę dostępu warunkowego przeznaczoną dla ryzyka użytkownika. Istniejące zasady ryzyka użytkowników w stanie Tylko raport lub Wyłączone nie uniemożliwiają utworzenia tej zasady zarządzanej przez firmę Microsoft. Ta kontrola jest specyficzna dla zasad ryzyka użytkowników, a nie wszystkich zasad dostępu warunkowego.

Najważniejsze zagadnienia:

  • Ta zasada ogranicza ryzyko użytkownika, a nie ryzyko logowania.
  • Jeśli użytkownik jest przypisany do wielu zasad ryzyka, obowiązuje następująca kolejność pierwszeństwa: „Wymagaj działań naprawczych związanych z ryzykiem” ma pierwszeństwo przed opcją „Wymagaj zmiany hasła”, a opcja „Blokuj” ma pierwszeństwo przed wszystkimi pozostałymi.
  • Siła uwierzytelniania i częstotliwość logowania (za każdym razem) są automatycznie stosowane w celu zapewnienia ponownego uwierzytelnienia użytkowników przy użyciu wymaganej siły po odwołaniu sesji.
  • Te zasady nie są obsługiwane dla użytkowników zewnętrznych i gości.

Administratorzy mogą przeglądać wpływ zasad w trybie tylko raportów, wykluczać konta dostępu awaryjnego i włączyć zasadę przed zaplanowaną datą wymuszania. Jeśli zasada pozostaje w trybie Report-only, Microsoft automatycznie włącza ją zgodnie z harmonogramem przekazanym dla Twojej dzierżawy.

Aktualizacja domyślnych ustawień zabezpieczeń

Poniższe zasady są dostępne, gdy przechodzisz na wyższy poziom z domyślnych ustawień zabezpieczeń.

Blokuj starsze uwierzytelnianie

Te zasady blokują dostęp do aplikacji przy użyciu starszych protokołów uwierzytelniania. Uwierzytelnianie starszej generacji odnosi się do żądania uwierzytelniania wykonanego przez:

  • Klienci, którzy nie korzystają z nowoczesnego uwierzytelniania (na przykład klienta pakietu Office 2010)
  • Każdy klient korzystający ze starszych protokołów poczty, takich jak IMAP, SMTP lub POP3
  • Wszelkie próby logowania przy użyciu starszego uwierzytelniania.

Większość obserwowanych przypadków naruszania prób logowania pochodzi ze starszego uwierzytelniania. Ponieważ starsze uwierzytelnianie nie obsługuje uwierzytelniania wieloskładnikowego, osoby atakujące mogą pominąć wymagania dotyczące uwierzytelniania wieloskładnikowego przy użyciu starszych protokołów.

Wymaganie uwierzytelniania wieloskładnikowego na potrzeby zarządzania platformą Azure

Te zasady obejmują wszystkich użytkowników, którzy próbują uzyskać dostęp do różnych usług platformy Azure zarządzanych za pośrednictwem interfejsu API zarządzania usługami platformy Windows Azure, w tym:

  • Azure Portal
  • centrum administracyjne Microsoft Entra
  • Azure PowerShell
  • Azure CLI

Aby uzyskać dostęp do tych zasobów, użytkownicy muszą ukończyć uwierzytelnianie wieloskładnikowe.

Wymaganie uwierzytelniania wieloskładnikowego dla administratorów

Te zasady dotyczą użytkowników z rolami administratora o wysokim poziomie uprawnień:

  • Administrator globalny
  • Administrator aplikacji
  • Administrator uwierzytelniania
  • Administrator rozliczeń
  • Administrator aplikacji w chmurze
  • Administrator dostępu warunkowego
  • Administrator programu Exchange
  • Administrator pomocy technicznej
  • Administrator hasła
  • Administrator uwierzytelniania uprzywilejowanego
  • Administrator ról uprzywilejowanych
  • Administrator zabezpieczeń
  • Administrator SharePointa
  • Administrator użytkowników

Te konta muszą używać uwierzytelniania wieloskładnikowego do logowania się do dowolnej aplikacji.

Wymaganie uwierzytelniania wieloskładnikowego dla wszystkich użytkowników

Te zasady dotyczą wszystkich użytkowników w organizacji i wymagają uwierzytelniania wieloskładnikowego dla każdego logowania. W większości przypadków sesje są utrwalane na urządzeniach, dzięki czemu użytkownicy nie muszą wykonywać uwierzytelniania wieloskładnikowego podczas interakcji z innymi aplikacjami.

Monitorowanie i przeglądanie

Aby zobaczyć wpływ tych zasad na organizację i zbadać zmiany w zasadach, masz kilka opcji.

Wpływ polityki

Wybierz kartę Wpływ zasad zarządzanych z poziomu dostępu warunkowego, aby wyświetlić podsumowanie wpływu zasad na środowisko. Dostosuj filtr, format danych oraz inne ustawienia, aby zbadać wpływ polityki, nawet w przypadku zasad przeznaczonych tylko do raportów.

Zrzut ekranu przedstawiający wpływ zasad na organizację.

Dzienniki logowania

Przeanalizuj dzienniki logowania firmy Microsoft Entra , aby zobaczyć szczegółowe informacje na temat wpływu zasad na aktywność logowania.

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej czytelnik raportów.
  2. Przejdź do Entra ID Monitorowanie & zdrowie Dzienniki logowania.
  3. Użyj niektórych lub wszystkich następujących filtrów:
    • Identyfikator korelacji , gdy masz określone zdarzenie do zbadania.
    • Dostęp warunkowy do obserwowania udanego i nieudanego zastosowania zasad.
    • Nazwa użytkownika , aby wyświetlić informacje związane z określonymi użytkownikami.
    • Data ograniczona do danego przedziału czasu.
  4. Wybierz określone zdarzenie logowania, a następnie wybierz pozycję Dostęp warunkowy.
    • Aby dokładniej zbadać, wybierz opcję Nazwa Zasady, aby przejść do konfiguracji tych zasad.
  5. Zapoznaj się z innymi kartami, aby wyświetlić szczegóły użytkownika klienta i urządzenia , które zostały użyte do oceny zasad dostępu warunkowego.

Dzienniki inspekcji

Dzienniki inspekcji firmy Microsoft Entra są przydatne podczas badania zmian wprowadzonych w zasadach.

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej czytelnik raportów.
  2. Przejdź do Entra ID>Monitorowanie i kondycja>Dzienniki inspekcji.
  3. Ustaw filtr usługi na dostęp warunkowy.
  4. W razie potrzeby wybierz określony filtr Działania .

Kolumna Target(s) zawiera nazwę zaktualizowanych zasad. Nazwy zasad zarządzanych przez firmę Microsoft zaczynają się od Zarządzane przez firmę Microsoft:, dzięki czemu można je łatwo odfiltrować.

Często zadawane pytania

Co to jest dostęp warunkowy?

Dostęp warunkowy to funkcja firmy Microsoft Entra, która umożliwia organizacjom wymuszanie wymagań dotyczących zabezpieczeń podczas uzyskiwania dostępu do zasobów. Dostęp warunkowy jest często używany do wymuszania uwierzytelniania wieloskładnikowego, konfiguracji urządzenia lub wymagań dotyczących lokalizacji sieciowej.

Te zasady można traktować jako logiczne instrukcje typu 'jeśli... to'.

Jeśli przypisania (użytkownicy, zasoby i warunki) są prawdziwe, zastosuj mechanizmy kontroli dostępu (udzielanie i/lub sesja) w zasadach. Jeśli jesteś administratorem, który chce uzyskać dostęp do jednego z portali administracyjnych firmy Microsoft, musisz wykonać uwierzytelnianie wieloskładnikowe, aby udowodnić, że to naprawdę Ty.

Co zrobić, jeśli chcę wprowadzić więcej zmian?

Administratorzy mogą zdecydować się na dalsze zmiany w tych zasadach, duplikując je przy użyciu przycisku Duplikuj w widoku listy zasad. Te nowe zasady można skonfigurować w taki sam sposób, jak w przypadku innych zasad dostępu warunkowego, począwszy od zalecanej pozycji firmy Microsoft. Należy zachować ostrożność, aby nie obniżyć poziomu zabezpieczeń przy użyciu tych zmian.

Jakie role administratora są objęte tymi zasadami?

  • Administrator globalny
  • Administrator aplikacji
  • Administrator uwierzytelniania
  • Administrator rozliczeń
  • Administrator aplikacji w chmurze
  • Administrator dostępu warunkowego
  • Administrator programu Exchange
  • Administrator pomocy technicznej
  • Administrator hasła
  • Administrator uwierzytelniania uprzywilejowanego
  • Administrator ról uprzywilejowanych
  • Administrator zabezpieczeń
  • Administrator SharePointa
  • Administrator użytkowników

Co zrobić, jeśli używam innego rozwiązania do uwierzytelniania wieloskładnikowego?

Uwierzytelnianie wieloskładnikowe przy użyciu metod uwierzytelniania zewnętrznego spełnia wymagania uwierzytelniania wieloskładnikowego zasad zarządzanych przez firmę Microsoft.

Po zakończeniu uwierzytelniania wieloskładnikowego za pośrednictwem federacyjnego dostawcy tożsamości (IdP) może to spełniać wymagania usługi Microsoft Entra ID dotyczące uwierzytelniania wieloskładnikowego, w zależności od twojej konfiguracji. Aby uzyskać więcej informacji, zobacz, jak zaspokoić kontrole uwierzytelniania wieloskładnikowego (MFA) Microsoft Entra ID za pomocą oświadczeń MFA od federacyjnego dostawcy tożsamości.

Co zrobić, jeśli używam uwierzytelniania Certificate-Based?

W zależności od konfiguracji uwierzytelniania Certificate-Based (CBA) może ona działać jako uwierzytelnianie jednoskładnikowe lub wieloskładnikowe.

  • Jeśli organizacja skonfiguruje CBA jako jednofaktorowe uwierzytelnianie, użytkownicy muszą użyć drugiej metody uwierzytelniania w celu spełnienia wymagań uwierzytelniania wieloskładnikowego. Aby uzyskać więcej informacji na temat dozwolonych kombinacji metod uwierzytelniania w usłudze MFA z uwierzytelnianiem jednoskładnikowym CBA, zobacz MFA z uwierzytelnianiem opartym na certyfikatach jednoskładnikowych.
  • Jeśli organizacja skonfiguruje CBA jako metodę wieloskładnikową, użytkownicy mogą ukończyć uwierzytelnianie wieloskładnikowe przy użyciu metody uwierzytelniania CBA.

Co zrobić, jeśli używam kontrolek niestandardowych?

Kontrolki niestandardowe nie spełniają wymagań weryfikacyjnych uwierzytelniania wieloskładnikowego. Jeśli organizacja używa kontrolek niestandardowych, należy przeprowadzić migrację do zewnętrznych metod uwierzytelniania, zastąpienie kontrolek niestandardowych. Zewnętrzny dostawca uwierzytelniania musi obsługiwać metody uwierzytelniania zewnętrznego i zapewnić niezbędne wskazówki dotyczące konfiguracji integracji.

Jak mogę monitorować, kiedy firma Microsoft wprowadza zmiany w tych zasadach, dodaje nową lub usuwa?

Administratorzy z uprawnieniami AuditLog.Read.All i Directory.Read mogą wysyłać zapytania do dziennika inspekcji dla wpisów zainicjowanych przez Menedżera zasad zarządzanych przez firmę Microsoft w kategorii Zasady . Na przykład użyj Eksploratora programu Graph , aby znaleźć wpisy z tym ciągiem zapytania: https://graph.microsoft.com/v1.0/auditLogs/directoryAudits?$filter=initiatedBy/app/displayName eq 'Microsoft Managed Policy Manager' and category eq 'Policy'.

Powiązana zawartość

  • Ostatnia aktualizacja o