Veelgestelde vragen over beveiligingsvereisten voor partners

Alle partners in het CSP-programma (directe facturering, indirecte provider en indirecte reseller), adviseurs en Configuratiescherm leveranciers moeten voldoen aan de vereisten.

1. MFA afdwingen voor alle gebruikers

   Alle partners in het CSP-programma, adviseurs en Configuratiescherm leveranciers moeten MFA afdwingen voor alle gebruikers in hun partnertenant.

   Andere overwegingen:

   • Indirecte providers moeten samenwerken met indirecte resellers om onboarding uit te voeren in partnercentrum, als ze dit nog niet hebben gedaan, en hun resellers aanmoedigen om aan de vereisten te voldoen.
   • Microsoft Entra meervoudige verificatie is gratis beschikbaar voor gebruikers in de partnertenant via de standaardinstellingen voor Microsoft Entra-beveiliging, met de enige verificatiemethode van een verificatortoepassing die ondersteuning biedt voor eenmalige wachtwoorden (TOTP).
   • Andere verificatiemethoden zijn beschikbaar via de Microsoft Entra P1- of P2-SKU's als andere methoden, zoals een telefoongesprek of sms-bericht, vereist zijn.
   • Partners kunnen ook een MFA-oplossing van derden gebruiken voor elk account bij toegang tot commerciële cloudservices van Microsoft.

2. Het Secure Application Model-framework in gebruik nemen

   Partners die aangepaste integratie hebben ontwikkeld met behulp van API's (zoals Azure Resource Manager, Microsoft Graph, Partner Center API, enzovoort) of aangepaste automatisering hebben geïmplementeerd met behulp van hulpprogramma's zoals PowerShell, moeten het Framework Secure Application Model gebruiken om te integreren met Microsoft-cloudservices. Als u dit niet doet, kan dit leiden tot een onderbreking vanwege de implementatie van MFA.

   De volgende bronnen bieden een overzicht en richtlijnen over het aannemen van het model.

   • Overzicht van Secure Application Model
   • Partnercentrum: Handleiding voor beveiligd toepassingsmodel
   • Partners in het CSP-programma: .NET-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
   • Partners in het CSP-programma: Java-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
   • Partnercentrum-verificatiedocument
   • MFA-document (Multifactor Authentication) in Het Partnercentrum

   Neem contact op met de leverancier als u een configuratiescherm gebruikt met betrekking tot de acceptatie van het Secure Application Model-framework.

   Leveranciers van het configuratiescherm moeten als leveranciers van het configuratiescherm onboarden naar partnercentrum en deze vereiste onmiddellijk implementeren. Raadpleeg het Partnercentrum: Framework voor beveiligd toepassingsmodel.

   Leveranciers van configuratiescherm moeten de toestemming van CSP-partners accepteren en beheren in plaats van referenties en alle referenties van bestaande CSP-partners opschonen.

MFA is een beveiligingsmechanisme voor het verifiëren van personen met meer dan één vereiste beveiligings- en validatieprocedure. Het werkt door twee of meer van de volgende verificatiemethoden te vereisen:

• Iets wat u weet (meestal een wachtwoord)
• Iets dat u hebt (een vertrouwd apparaat dat niet eenvoudig kan worden gedupliceerd, zoals een telefoon)
• Iets wat u bent (biometrie)

Microsoft biedt gratis MFA via de implementatie van de standaardinstellingen voor Microsoft Entra-beveiliging. De enige verificatieoptie die beschikbaar is met deze versie van MFA, is een verificatortoepassing.

• Als een telefoongesprek of sms-bericht is vereist, moet u een Microsoft Entra P1- of P2-licentie aanschaffen.
• U kunt ook een oplossing van derden gebruiken om MFA te bieden voor elke gebruiker in uw partnertenant. In dat geval is het uw verantwoordelijkheid om ervoor te zorgen dat uw MFA-oplossing wordt afgedwongen en dat u aan het beleid voldoet.

Gebruikers in een partnertenant moeten zich verifiëren met behulp van MFA bij toegang tot commerciële Microsoft-cloudservices. Oplossingen van derden kunnen worden gebruikt om aan deze vereisten te voldoen. Microsoft biedt geen validatietests meer aan onafhankelijke id-providers voor compatibiliteit met Microsoft Entra-id. Zie Compatibiliteitsdocumenten voor Microsoft Entra Identity Provider om uw product te testen op interoperabiliteit.

Ja. U moet MFA afdwingen voor elke Microsoft Entra-tenant die is gekoppeld aan het CSP-programma of het Advisor-programma. Als u een Microsoft Entra ID P1- of P2-licentie wilt aanschaffen, moet u een Microsoft Entra ID-licentie aanschaffen voor de gebruikers in elke Microsoft Entra-tenant.

Ja. Elke gebruiker moet MFA hebben afgedwongen. Als u echter de standaardinstellingen voor Microsoft Entra-beveiliging gebruikt, is er geen andere actie vereist omdat deze functie MFA afdwingt voor alle gebruikersaccounts. Het inschakelen van standaardinstellingen voor beveiliging is een gratis en eenvoudige manier om ervoor te zorgen dat uw gebruikersaccounts MFA-compatibel zijn en niet worden beïnvloed wanneer MFA wordt afgedwongen.

Cloud Solution Provider-partners voor directe facturering moeten MFA afdwingen voor elke gebruiker in hun partnertenant.

Ja. Alle indirecte resellers moeten MFA afdwingen voor elke gebruiker in hun partnertenant. De indirecte reseller moet MFA inschakelen.

Ja. Deze beveiligingsvereiste is bedoeld voor alle gebruikers, waaronder partnerbeheerders en eindgebruikers in een partnertenant.

Wanneer u MFA-leveranciers en -oplossingen bekijkt, moet u ervoor zorgen dat de oplossing die u kiest compatibel is met Microsoft Entra-id.

Microsoft biedt geen validatietests meer aan onafhankelijke id-providers voor compatibiliteit met Microsoft Entra-id. Als u uw product voor interoperabiliteit wilt testen, raadpleegt u compatibiliteitsdocumenten voor Microsoft Entra-id-providers.

Zie de compatibiliteitslijst voor Microsoft Entra-federatie voor meer informatie.

De standaardinstellingenfunctie voor Microsoft Entra-beveiliging moet zijn ingeschakeld. U kunt ook een oplossing van derden gebruiken die gebruikmaakt van federatie.

Nee De uitvoering van deze beveiligingsvereisten heeft geen invloed op de wijze waarop u uw klanten beheert. De mogelijkheid om gedelegeerde beheerbewerkingen uit te voeren, wordt niet onderbroken.

Nee U hoeft MFA niet af te dwingen voor elke gebruiker in de Microsoft Entra-tenants van uw klant. We raden u echter aan om met elke klant te werken om te bepalen hoe ze hun gebruikers het beste kunnen beveiligen.

Nee Elke gebruiker in uw partnertenant, inclusief serviceaccounts, moet worden geverifieerd met behulp van MFA.

Ja. Dit betekent dat u de juiste MFA-oplossing moet implementeren voor gebruikers in de integratie-sandboxtenant. We raden u aan de standaardinstellingen voor Microsoft Entra-beveiliging te implementeren om MFA te bieden.

Het wordt aanbevolen om een of twee accounts voor toegang voor noodgevallen te maken om te voorkomen dat uw Microsoft Entra-tenant per ongeluk wordt vergrendeld. Met betrekking tot de beveiligingsvereisten van de partner is het vereist dat elke gebruiker zich verifieert met behulp van MFA. Deze vereiste betekent dat u de definitie van een account voor noodtoegang moet wijzigen. Het kan een account zijn dat gebruikmaakt van een oplossing van derden voor MFA.

Nee Het is niet vereist om ADFS (Active Directory Federation Service) te hebben als u een oplossing van derden gebruikt. Het is raadzaam om samen te werken met de leverancier van de oplossing om te bepalen wat de vereisten voor hun oplossing zijn.

Nee

Ja. U kunt voorwaardelijke toegang gebruiken om MFA af te dwingen voor elke gebruiker, inclusief serviceaccounts, in uw partnertenant. Gezien de zeer bevoorrechte aard van het zijn van een partner, moeten we er echter voor zorgen dat elke gebruiker een MFA-uitdaging heeft voor elke verificatie. Dit betekent dat u de functie van voorwaardelijke toegang die de vereiste voor MFA omzeilt, niet kunt gebruiken.

Nee Het serviceaccount dat wordt gebruikt door Microsoft Entra Verbinding maken wordt niet beïnvloed door de beveiligingsvereisten van de partner. Als u een probleem ondervindt met Microsoft Entra Verbinding maken als gevolg van het afdwingen van MFA, opent u een aanvraag voor technische ondersteuning bij Microsoft-ondersteuning.

Microsoft heeft een beveiligd, schaalbaar framework geïntroduceerd voor het verifiëren van CSP-partners (Cloud Solution Provider) en Configuratiescherm Leveranciers (CPV) die gebruikmaakt van meervoudige verificatie. Zie de handleiding Secure Application Model voor meer informatie. Alle partners die aangepaste integratie hebben ontwikkeld met behulp van API's (zoals Azure Resource Manager, Microsoft Graph, Partner Center API, enzovoort) of aangepaste automatisering hebben geïmplementeerd met behulp van hulpprogramma's zoals PowerShell, moeten het Framework Secure Application Model gebruiken om te integreren met Microsoft-cloudservices.

Microsoft introduceert een veilig, schaalbaar framework voor het verifiëren van CSP-partners (Cloud Solution Provider) en Configuratiescherm Leveranciers (CPV) die gebruikmaken van meervoudige verificatie. Zie de handleiding Secure Application Model voor meer informatie.

Alle partners die aangepaste integratie hebben ontwikkeld met behulp van API's (zoals Azure Resource Manager, Microsoft Graph, Partner Center-API, enzovoort) of aangepaste automatisering hebben geïmplementeerd met behulp van hulpprogramma's zoals PowerShell, moeten het Framework Secure Application Model gebruiken om te integreren met Microsoft-cloudservices. Als u dit niet doet, kan dit leiden tot een onderbreking vanwege de implementatie van MFA.

De volgende bronnen bieden een overzicht en richtlijnen met betrekking tot het aannemen van het model:

• Overzicht van Secure Application Model
• Partnercentrum: Handleiding voor beveiligd toepassingsmodel
• Partners in het CSP-programma: .NET-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
• Partners in het CSP-programma: Java-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
• Partnercentrum-verificatiedocument
• MFA-document (Multifactor Authentication) in Het Partnercentrum

Als u een configuratiescherm gebruikt, moet u contact opnemen met de leverancier met betrekking tot de acceptatie van het Secure Application Model-framework.

Leveranciers van het configuratiescherm moeten als leverancier van het configuratiescherm onboarden bij partnercentrum en deze vereiste onmiddellijk gaan implementeren.

Raadpleeg het Partnercentrum: Framework voor beveiligd toepassingsmodel. Leveranciers van configuratiescherm moeten de toestemming van CSP-partners accepteren en beheren in plaats van referenties en alle referenties van bestaande CSP-partners opschonen.

Door meervoudige verificatie af te dwingen voor alle gebruikersaccounts, wordt elke automatisering of integratie die bedoeld is om niet-interactief uit te voeren, beïnvloed. Hoewel de beveiligingsvereisten van de partner vereisen dat u het beveiligde toepassingsmodel voor de Partnercentrum-API inschakelt, kan het worden gebruikt om te voldoen aan de noodzaak van een tweede verificatiefactor met automatisering en integratie.

U moet het Secure Application Model implementeren als uw automatisering niet-interactief wordt uitgevoerd en afhankelijk is van gebruikersreferenties voor verificatie. Beveiligd toepassingsmodel bekijken | Partner center PowerShell voor hulp bij het implementeren van dit framework.

Het is raadzaam om een serviceaccount te gebruiken waaraan de minst bevoegde machtigingen zijn toegewezen. Voor de Partnercentrum-API moet u een account gebruiken dat is toegewezen aan de verkoopagent of Beheer agentrol.

Het is een best practice om een identiteit met minimale bevoegdheden te gebruiken, omdat dit het risico vermindert. Het is niet raadzaam om een account met globale beheerdersbevoegdheden te gebruiken, omdat dit meer machtigingen biedt dan vereist is.

Voor partners die een CPV-oplossing (Configuratiescherm Vendor) gebruiken om te handelen in het CSP-programma (Cloud Solution Provider), is het uw verantwoordelijkheid om contact op te nemen met uw CPV.

Een leverancier van het configuratiescherm is een onafhankelijke softwareleverancier die apps ontwikkelt voor gebruik door CSP-partners om te integreren met Partner Center-API's. Een leverancier van het configuratiescherm is geen CSP-partner met directe toegang tot het Partnercentrum of API's. Er is een gedetailleerde beschrijving beschikbaar in het Partnercentrum: Secure Applications Model Guide.

Als u zich wilt inschrijven als leverancier van het configuratiescherm (CPV), volgt u de richtlijnen in Inschrijven als een Configuratiescherm Leverancier om CSP-partnersystemen te integreren met Partnercentrum-API's.

Nadat u zich hebt geregistreerd bij partnercentrum en uw toepassingen hebt geregistreerd, hebt u toegang tot Partnercentrum-API's. U ontvangt uw sandbox-informatie in een partnercentrummelding als u een nieuwe CPV bent. Nadat u de inschrijving als Microsoft CPV hebt voltooid en de CPV-overeenkomst hebt geaccepteerd, kunt u het volgende doen:

• Multitenant-toepassingen beheren (toepassingen toevoegen aan De Azure-portal en toepassingen registreren en de registratie ervan ongedaan maken in Partnercentrum).

  Notitie

  CPV's moeten hun toepassingen registreren in Het Partnercentrum om geautoriseerd te worden voor Partnercentrum-API's. Het toevoegen van toepassingen aan Azure Portal autoriseert alleen geen CPV-toepassingen voor Partnercentrum-API's.

• Uw CPV-profiel weergeven en beheren.

• Bekijk en beheer uw gebruikers die toegang nodig hebben tot CPV-mogelijkheden. Een CPV kan alleen de rol globale beheerder hebben.

Nee U moet de richtlijnen in de handleiding Secure Application Model volgen.

Ja. Een vernieuwingstoken kan worden gegenereerd met behulp van een account waarvoor MFA niet is afgedwongen. Dit moet echter worden vermeden. Een token dat wordt gegenereerd met een account waarvoor MFA niet is ingeschakeld, heeft geen toegang tot resources vanwege de vereiste voor MFA.

Volg de handleiding Secure Application Model die gedetailleerde informatie biedt over hoe u dit doet terwijl u voldoet aan de nieuwe beveiligingsvereisten. U vindt .NET-voorbeeldcode in Partner center DotNet Samples - Secure App Model en Java sample code in Partner Center Java Samples.

De CPV moet de Microsoft Entra-toepassing maken in de tenant die is gekoppeld aan hun inschrijving als een CPV.

Verificatie met alleen apps wordt niet beïnvloed omdat gebruikersreferenties niet worden gebruikt om een toegangstoken aan te vragen. Als gebruikersreferenties worden gedeeld, moeten configuratieschermleveranciers (CPV's) het Framework Secure Application Model gebruiken en bestaande partnerreferenties verwijderen die ze hebben.

Nee Configuratiescherm Leverancierspartners kunnen de verificatiestijl alleen voor apps niet gebruiken om namens de partner toegangstokens aan te vragen. Ze moeten het beveiligde toepassingsmodel implementeren, dat gebruikmaakt van de app + gebruikersverificatiestijl.

Alle partners die deelnemen aan het CSP-programma (Cloud Solution Provider), Configuratiescherm Leveranciers (CPV's) en adviseurs moeten de verplichte beveiligingsvereisten implementeren om compatibel te blijven.

Om meer bescherming te bieden, begon Microsoft met de activering van beveiligingsbeveiligingsmaatregelen die partners helpen hun tenants en hun klanten te beveiligen door meervoudige verificatieverificatie (MFA) te vereisen om onbevoegde toegang te voorkomen.

We hebben de activering voltooid voor de mogelijkheden van beheerders namens (AOBO) voor alle partnertenants. Om partners en klanten verder te beschermen, beginnen we met de activering voor partnercentrumtransacties in CSP, zodat partners hun bedrijven en klanten kunnen beschermen tegen identiteitsdiefstalgerelateerde incidenten.

Zie MFA (Mandating Multifactor Authentication) voor uw partnertenantpagina voor meer informatie.

Om te controleren of het account dat toegang heeft tot resources is gevraagd voor meervoudige verificatie, controleren we de referentieclaim voor de verificatiemethode om te zien of MFA wordt vermeld. Sommige oplossingen van derden geven deze claim niet uit of bevatten de MFA-waarde niet. Als de claim ontbreekt of als de MFA-waarde niet wordt weergegeven, is er geen manier om te bepalen of het geverifieerde account is aangeroepen voor meervoudige verificatie. U moet samenwerken met de leverancier van uw externe oplossing om te bepalen welke acties moeten worden uitgevoerd, zodat de oplossing de referentieclaim voor de verificatiemethode uitgeeft.

Als u niet zeker weet of uw oplossing van derden de verwachte claim uitgeeft of niet, raadpleegt u Testen van de beveiligingsvereisten voor partners.

De technische afdwinging voor de beveiligingsvereisten van de partner wordt gecontroleerd of het geverifieerde account is aangeroepen voor meervoudige verificatie. Als het account niet is gecontroleerd, wordt u omgeleid naar de aanmeldingspagina en wordt u gevraagd om zich opnieuw te verifiëren.

Zie MFA (Multifactor Authentication) voor uw partnertenant voor meer ervaring en richtlijnen.

In een scenario waarin uw domein niet is gefedereerd, wordt u na verificatie gevraagd om meervoudige verificatie in te stellen. Nadat dat is voltooid, kunt u uw klanten beheren met behulp van AOBO. In een scenario waarin uw domein federatief is, moet u ervoor zorgen dat het account wordt aangeroepen voor meervoudige verificatie.

Microsoft Entra ID-beleid 'basislijn' wordt verwijderd en vervangen door 'standaardinstellingen voor beveiliging', een uitgebreidere set beveiligingsbeleidsregels voor u en uw klanten. Standaardinstellingen voor beveiliging kunnen uw organisatie helpen beschermen tegen beveiligingsaanvallen die betrekking hebben op identiteitsdiefstal.

De implementatie van meervoudige verificatie (MFA) wordt verwijderd vanwege het buiten gebruik stellen van basislijnbeleid als u niet bent overgestapt van basislijnbeleid naar het standaardbeleid voor beveiliging of andere MFA-implementatieopties. Alle gebruikers in uw partnertenants die MFA-beveiligde bewerkingen uitvoeren, worden gevraagd om de MFA-verificatie te voltooien. Zie Voor meer gedetailleerde richtlijnen de meervoudige verificatie voor uw partnertenant.

Gebruik de volgende stappen om compatibel te blijven en onderbrekingen te minimaliseren:

• Overgang naar standaardinstellingen voor beveiliging
  • Het standaardbeleid voor beveiliging is een van de opties die partners kunnen kiezen om MFA te implementeren. Het biedt een basisniveau van beveiliging ingeschakeld zonder extra kosten.
  • Meer informatie over het inschakelen van MFA voor uw organisatie met Microsoft Entra-id en het controleren van de belangrijke overwegingen voor de standaardinstellingen voor beveiliging.
  • Schakel het standaardbeleid voor beveiliging in als het voldoet aan de behoeften van uw bedrijf.
• Overgang naar voorwaardelijke toegang
  • Als het standaardbeleid voor beveiliging niet aan uw behoeften voldoet, schakelt u voorwaardelijke toegang in. Raadpleeg de documentatie voor voorwaardelijke toegang van Microsoft Entra voor meer informatie.

• Bekijk beveiligingsvereisten voor partners: stapsgewijze handleiding.
• Geef uw vragen en feedback door aan de beveiligingsrichtlijnengroep van Het Partnercentrum.
• Neem deel aan de komende kantooruren en webinars van partners. Controleer de gedetailleerde planning en bronnen op de pagina Partnercommunity.

• Overzicht van Secure Application Model
• Partnercentrum: Handleiding voor beveiligd toepassingsmodel
• Partners in het CSP-programma: .NET-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
• Partners in het CSP-programma: Java-voorbeeldcode voor het inschakelen van een beveiligd toepassingsmodel
• Partnercentrum-verificatiedocument
• MFA-document (Multifactor Authentication) in Het Partnercentrum

Voor ondersteuningsbronnen om te voldoen aan de beveiligingsvereisten:

• Als u Geavanceerde ondersteuning voor partners (ASfP) hebt, neemt u contact op met uw serviceaccountmanager.
• Neem voor Premier Support for Partners agreement (PSfP) contact op met uw Service Account Manager en Technical Account Manager.

Technische productondersteuningsopties voor Microsoft Entra ID zijn beschikbaar via de voordelen van uw Microsoft AI Cloud Partner Program. Partners met toegang tot een actief ASfP- of PSfP-abonnement kunnen samenwerken met hun bijbehorende accountmanager (SAM/TAM) om inzicht te krijgen in de beste opties die voor hen beschikbaar zijn.

Als u geen toegang meer hebt vanwege een MFA-probleem, neemt u contact op met de globale beheerder voor uw tenant. Uw interne IT-afdeling kan u vertellen wie uw globale beheerder is.

Als u uw wachtwoord bent vergeten, raadpleegt u Kan u niet aanmelden voor hulp.

Informatie over de algemene technische problemen vindt u in beveiligingsvereisten voor partners met behulp van Partnercentrum- of Partnercentrum-API's