Ograniczanie przepływu kodu urządzenia dla urządzeń Microsoft Teams przy użyciu dostępu warunkowego

Przepływ kodu urządzenia umożliwia użytkownikom logowanie się do urządzeń, które nie mają przeglądarki ani rozbudowanego środowiska wprowadzania danych wejściowych. Niektóre Microsoft Teams urządzenia korzystają z przepływu kodu urządzenia podczas pierwszej rejestracji, ponownej aprowizacji i niektórych scenariuszy ponownego uwierzytelniania.

Przepływ kodu urządzeń jest również przepływem uwierzytelniania o wysokim poziomie ryzyka. Osoba atakująca może uruchomić przepływ, wysłać użytkownikowi kod i poprosić użytkownika o wprowadzenie tego kodu na uzasadnionej stronie logowania Microsoft. Ponieważ strona logowania jest prawdziwa, ten atak może być trudniejszy do rozpoznania przez użytkowników.

Firma Microsoft zaleca blokowanie przepływu kodu urządzenia wszędzie tam, gdzie to możliwe. Jeśli organizacja korzysta z urządzeń Teams, które wymagają przepływu kodu urządzenia, ogranicz wyjątek do określonych kont zasobów urządzeń Teams i wyklucz zasób Device Registration Service z zasad w ramach dostępu warunkowego.

Kto powinien korzystać z tych wskazówek

Użyj tego artykułu, jeśli Twoja organizacja:

• Korzysta z aplikacji Teams Rooms, urządzeń Teams z systemem Android, udostępnionych urządzeń Teams lub innych środowisk urządzeń Teams, które wymagają przepływu kodu urządzenia.
• Chce ograniczyć przepływ kodu urządzenia przy użyciu dostępu warunkowego.
• Należy utrzymać działanie rejestracji urządzeń w usłudze Teams, jednocześnie zmniejszając ekspozycję na przepływ kodu urządzenia w całej dzierżawie.

Ten artykuł koncentruje się na scenariuszach dotyczących urządzeń w usłudze Teams. Jeśli Twoja organizacja używa przepływu kodu urządzenia w innych narzędziach, takich jak Azure CLI lub deweloperskie narzędzia wiersza polecenia, przed wymuszeniem polityki blokowania zapoznaj się z dodatkowymi wskazówkami zawartymi w tym artykule.

Przed rozpoczęciem

Potrzebujesz:

• Rola, która może zarządzać dostępem warunkowym, takim jak administrator dostępu warunkowego lub administrator zabezpieczeń.
• Licencja Microsoft Entra ID P1 lub wyższa dla użytkowników objętych zakresem. Aby uzyskać więcej informacji, zobacz Wymagania dotyczące licencji dostępu warunkowego.
• Lista kont zasobów urządzeń w usłudze Teams, takich jak konta sal lub urządzeń współdzielonych.
• Dostęp do dzienników logowania Microsoft Entra.
• Konta dostępu awaryjnego wykluczone z zasad dostępu warunkowego. Aby uzyskać więcej informacji, zobacz Zarządzanie kontami dostępu awaryjnego w Microsoft Entra ID.

Zacznij od trybu raportowania tylko. Przed włączeniem zasady zweryfikuj oczekiwane zachowanie urządzenia Microsoft Teams.

Zalecane podejście

W tym artykule zastosowano podejście typu default-block z dwoma poziomami wyjątków:

• Stała grupa zabezpieczeń zawierająca konta zasobów urządzeń w usłudze Teams, które wymagają przepływu kodu urządzenia.
• Wykluczenie dla zasobu Device Registration Service, tak aby rejestracja urządzenia za pośrednictwem przepływu kodu urządzenia nie była blokowana przez Twoje zasady.

Wprowadzanie zasad na etapach:

1. Zestawienie użycia przepływu kodu urządzenia w dziennikach logowania.

2. Tworzenie grup wyjątków:

   • Stała grupa wyjątków urządzeń Teams zawierająca konta zasobów przypisane do urządzeń Teams.
   • Trwała zatwierdzona grupa spoza aplikacji Teams, jeśli zatwierdzono scenariusze przepływu kodu urządzenia spoza aplikacji Teams.

3. Utwórz zasady dostępu warunkowego, które blokują przepływ kodu urządzenia, wyklucza te grupy i wykluczają zasób usługi rejestracji urządzeń.

4. Przetestuj zasady na wybranych kontach i urządzeniach aplikacji Teams w trybie tylko raportowania.

5. Przejrzyj wyniki w trybie tylko raportowania i dzienniki logowań.

6. Włącz zasady.

7. Dodaj nowe konta zasobów urządzeń usługi Teams do grupy wyjątków w miarę wdrażania urządzeń.

8. Monitoruj zablokowane logowania i członkostwo w grupie wyjątków.

Urządzenia Teams wymagają użycia przepływu kodu urządzenia zarówno podczas początkowego logowania, jak i w scenariuszach ponownego uwierzytelniania, takich jak zmiana hasła lub zmiany zasad dostępu warunkowego. Wyjątek dotyczący kont zasobów urządzeń w usłudze Teams jest trwały, a nie ograniczony czasowo. Konta zasobów usługi Teams korzystające z uwierzytelniania bez hasła są wyjątkiem od wymagania dotyczącego ponownego uwierzytelniania: potrzebują przepływu kodu urządzenia tylko podczas początkowej aprowizacji. Zachowaj te konta w stałej grupie wyjątków, aby scenariusze ponownej aprowizacji i odzyskiwania nie były blokowane.

Wyjątkiem jest zakres konta. Nie ma możliwości określenia zakresu wyjątku tylko do jednego zasobu lub scenariusza. W okresie obowiązywania wyjątku konto wykluczone może używać przepływu kodu urządzenia dla dowolnej aplikacji lub zasobu objętych zakresem tej zasady. Ogranicz członkostwo w grupie wyjątków do faktycznych kont zasobów urządzeń Teams, które są monitorowane i zatwierdzone przez właściciela.

Wykluczenia użytkowników

Zasady dostępu warunkowego to zaawansowane narzędzia. Zalecamy wykluczenie następujących kont z zasad:

• Dostęp awaryjny lub konta awaryjne typu break-glass, aby zapobiec zablokowania dostępu z powodu błędnej konfiguracji zasad. W mało prawdopodobnym scenariuszu, w którym wszyscy administratorzy są zablokowani, konto administracyjne dostępu awaryjnego może służyć do logowania się i odzyskiwania dostępu.
  • Więcej informacji można znaleźć w artykule Zarządzanie kontami dostępu awaryjnego w Microsoft Entra ID.
• Konta usługowe i główne zasady usługi, takie jak konto synchronizacji programu Microsoft Entra Connect. Konta usług to konta nieinteraktywne, które nie są powiązane z żadnym określonym użytkownikiem. Są one zwykle używane przez usługi zaplecza, aby umożliwić programowy dostęp do aplikacji, ale są one również używane do logowania się do systemów w celach administracyjnych. Wywołania wykonywane przez reprezentantów usługi nie są blokowane przez zasady dostępu warunkowego ograniczone do użytkowników. Użyj dostępu warunkowego dla tożsamości użytkowników roboczych, aby zdefiniować zasady przeznaczone dla jednostki usługowej.
  • Jeśli organizacja używa tych kont w skryptach lub kodzie, zastąp je tożsamościami zarządzanymi.

Tworzenie zasad dostępu warunkowego

Utwórz jedną zasadę, która domyślnie blokuje przepływ kodu urządzenia.

1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator Dostępu Warunkowego.
2. Przejdź do Entra ID>Warunkowy dostęp>Zasady.
3. Wybierz pozycję Nowe zasady.
4. Nadaj zasadzie nazwę. Utwórz zrozumiały standard dla nazw zasad.
5. W Przypisaniach wybierz pozycję Użytkownicy lub tożsamości robocze.
   1. W obszarze Uwzględnij wybierz użytkowników, których zakres ma być objęty zasadami (zalecane są wszyscy użytkownicy ).
   2. W obszarze Wyklucz:
      • Wybierz pozycję Użytkownicy i grupy, a następnie wybierz konta awaryjne lub konta break-glass w organizacji oraz zatwierdzone grupy wyjątków dla przepływu kodu urządzenia. Regularnie przeprowadź inspekcję tej listy wykluczeń.
6. W obszarze Zasoby docelowe>(dawniej aplikacje w chmurze):
   1. W obszarze Uwzględnij wybierz pozycję Wszystkie zasoby (wcześniej "Wszystkie aplikacje w chmurze"), chyba że organizacja zweryfikowała węższy zakres zasobów dla tego scenariusza.
   2. W obszarze Wyklucz wybierz pozycję Wybierz zasoby , a następnie wybierz pozycję Wybierz określone zasoby i dodaj usługę rejestracji urządzeń. To wykluczenie jest wymagane, aby rejestracja urządzenia za pomocą przepływu Device Code nie była blokowana przez tę zasadę. Aby uzyskać więcej informacji, zobacz Wymuszanie zasad dotyczących przepływów uwierzytelniania w zasobie usługi rejestracji urządzeń.
7. W obszarze Warunki>Przepływy uwierzytelniania ustaw wartość Konfiguruj na Tak.
   1. Wybierz Przepływ kodu urządzenia.
   2. Wybierz opcję Gotowe.
8. W obszarze Kontrole dostępu>Przydziel wybierz Blokuj dostęp.
   • Wybierz Wybierz.
9. Potwierdź swoje ustawienia i ustaw opcję Włącz politykę na Tylko raportowanie.
10. Wybierz pozycję Utwórz, aby włączyć zasadę.

Po potwierdzeniu ustawień przy użyciu trybu wpływu polityki lub trybu tylko do raportowania, przenieś przełącznik Włącz politykę z pozycji Tylko raportowanie do pozycji Włączenie.

Zarządzanie wyjątkami kont zasobów urządzeń Teams

Dodawaj konta zasobów urządzeń usługi Teams do grupy stałych wyjątków w miarę wdrażania urządzeń. Usuń konto tylko wtedy, gdy urządzenie zostanie wycofane lub konto zasobu nie jest już używane.

1. Zidentyfikuj konto zasobu urządzenia Teams przypisane do urządzenia.
2. Dodaj konto zasobu do grupy wyjątków dla trwałych urządzeń usługi Teams.
3. Zarejestruj właściciela, urządzenie oraz identyfikator zmiany lub zgłoszenia do celów audytu.
4. Zarejestruj lub ponownie aprowizuj urządzenie Teams przy użyciu przepływu kodu urządzenia.
5. Upewnij się, że urządzenie ukończy aprowizację i zaloguje się zgodnie z oczekiwaniami.

Aby wycofać z użytku urządzenie Teams:

1. Usuń konto zasobu z grupy wyjątków.
2. Wyłącz lub usuń konto zasobu.
3. Udokumentowanie wycofania.

Weryfikacja przed egzekwowaniem

Przed włączeniem zasady użyj wyników z trybu tylko raportowania oraz dzienników logowania, aby potwierdzić:

• Oczekiwana rejestracja urządzenia w usłudze Teams zakończy się pomyślnie.
• Rejestracja nie jest blokowana przez zasadę przepływu kodu urządzenia, gdy skonfigurowano wyjątek dla konta zasobu.
• Usługa rejestracji urządzeń jest wykluczona z zasad.
• Urządzenia Teams nadal logują się po rejestracji, także w scenariuszach ponownego uwierzytelniania, takich jak zmiana hasła lub zmiana zasad dostępu warunkowego.
• Zatwierdzone scenariusze przepływu kodu urządzenia spoza usługi Teams są reprezentowane przez jawne grupy wyjątków.
• Nieznane lub nieuzasadnione użycie przepływu kodu urządzenia jest blokowane.
• Konta dostępu awaryjnego pozostają wykluczone.

Użyj protokołu uwierzytelniania = przepływ kodu urządzenia podczas tworzenia spisu aktywnego użycia przepływu kodu urządzenia przed wdrożeniem. Użyj oryginalnej metody transferu = Przepływ kodu urządzenia , gdy musisz zrozumieć, czy późniejsze logowanie lub odświeżanie tokenu jest nadal powiązane z wcześniejszą sesją przepływu kodu urządzenia.

Sesja, która rozpoczęła się od przepływu kodu urządzenia, może pozostać śledzona przez protokół podczas późniejszych odświeżeń tokenów, nawet jeśli bieżące zdarzenie logowania nie wyświetla przepływu kodu urządzenia jako protokołu uwierzytelniania. Aby uzyskać więcej informacji, zobacz Śledzenie protokołu.

Troubleshooting

Urządzenie Teams jest nieoczekiwanie zablokowane

Urządzenie Teams nie powinno być blokowane przez zasady dostępu warunkowego, jeśli konto zasobu znajduje się w grupie wyjątków, a usługa rejestracji urządzeń jest wykluczona z zasad.

Jeśli urządzenie usługi Teams jest nieoczekiwanie zablokowane:

1. Potwierdź, że konto zasobu znajduje się w grupie wyjątków trwałych.
2. Upewnij się, że usługa rejestracji urządzeń jest wykluczona z zasobów docelowych w zasadach.
3. Przejrzyj dzienniki logowania. Jeśli oryginalna metoda transferu pokazuje przepływ kodu urządzenia, sesja może być śledzona przy użyciu protokołu z wcześniejszego uwierzytelniania, nawet jeśli bieżąca wartość protokołu uwierzytelniania nie jest przepływem kodu urządzenia.

Jeśli urządzenie jest nadal zablokowane po tych kontrolach, otwórz bilet pomocy technicznej, aby zbadać.

Urządzenia Personal Teams wymagają przepływu kodu urządzenia

Scenariusze urządzeń Personal Teams trudniej jest jednoznacznie określić, ponieważ konto użytkownika może również umożliwiać korzystanie z przepływu kodu urządzenia w scenariuszach niezwiązanych z usługą Teams. Unikaj szerokich wykluczeń użytkowników. Jeśli wymagany jest wyjątek oparty na użytkowniku, należy udokumentować ryzyko, monitorować użycie i regularnie przeglądać wyjątek.

Jeśli używasz przepływu kodu urządzenia poza urządzeniami usługi Teams

Niektóre organizacje korzystają z przepływu kodu urządzenia w innych scenariuszach, takich jak Azure CLI, narzędzia deweloperskie, narzędzia administracyjne lub starsze interfejsy wiersza polecenia. Uwzględnij te scenariusze w ramach skonfigurowanych zasad, aby uniknąć wpływu.

Przed zastosowaniem blokady przepływu kodu urządzenia w całej dzierżawie:

1. Przejrzyj dzienniki logowania filtrowane według protokołu uwierzytelniania = przepływ kodu urządzenia i logowania, w których oryginalna metoda transferu = przepływ kodu urządzenia.
2. Zidentyfikuj użytkownika, aplikację lub zasób, lokalizację, kontekst urządzenia i właściciela firmy dla każdej zależności.
3. Przenoszenie scenariuszy do bezpieczniejszych metod uwierzytelniania tam, gdzie to możliwe. Preferuj logowanie oparte na przeglądarce lub brokera dla użytkowników. W przypadku automatyzacji zalecane są tożsamości zarządzane lub federacja tożsamości obciążeń.
4. Utwórz grupy wyjątków tylko dla zatwierdzonych zależności przepływu kodu urządzenia.
5. Każdy pozostały wyjątek niezwiązany z usługą Teams traktuj jako udokumentowaną akceptację ryzyka z przypisanym właścicielem i harmonogramem przeglądów.

Nie dodawaj szerokiej populacji użytkowników do grup wyjątków. Szeroki wyjątek użytkownika może zezwalać na przepływ kodu urządzenia poza zamierzonym narzędziem lub scenariuszem.

Zachowaj zasady po wymuszaniu

Po wyegzekwowaniu zasad nadal monitoruj użycie przepływu kodu urządzenia i aktualizuj wyjątki.

Treści powiązane

• Dostęp warunkowy: przepływy uwierzytelniania
• Blokuj przepływy uwierzytelniania przy użyciu zasad dostępu warunkowego
• Obsługiwane zasady dostępu warunkowego dla Microsoft Teams Rooms
• Zarządzanie kontami dostępu awaryjnego w Microsoft Entra ID
• Dzienniki logowania w usłudze Microsoft Entra
• Wdrażanie Microsoft Teams Rooms
• Wdrażanie telefonów usługi Teams, ekranów usługi Teams, paneli usługi Teams i Microsoft Teams Rooms w systemie Android