Share via

Typowe zasady dostępu warunkowego: blokuj dostęp dla użytkowników z ryzykiem niejawnym (wersja zapoznawcza)

  • Artykuł

Większości użytkowników dotyczy zachowanie normalne, które można śledzić. Gdy ta norma zostanie przekroczona, zezwolenie tym użytkownikom na zwykłe logowanie się może stanowić ryzyko. Możesz zablokować tego użytkownika, a może po prostu poprosić go o przejrzenie zasad użytkowania. Usługa Microsoft Purview może zapewnić poufny sygnał ryzyka dostępu warunkowego w celu uściślinia decyzji dotyczących kontroli dostępu. Zarządzanie ryzykiem niejawnych jest częścią usługi Microsoft Purview. Należy ją włączyć, aby można było użyć sygnału w dostępie warunkowym.

Screenshot of an example Conditional Access policy using insider risk as a condition.

Wykluczenia użytkowników

Zasady dostępu warunkowego są zaawansowanymi narzędziami. Zalecamy wykluczenie następujących kont z zasad:

  • Dostęp awaryjny lub konta typu break-glass, aby zapobiec blokadzie konta dla całej dzierżawy. W mało prawdopodobnym scenariuszu wszyscy administratorzy są zablokowani z dzierżawy, konto administracyjne dostępu awaryjnego może służyć do logowania się do dzierżawy w celu podjęcia kroków w celu odzyskania dostępu.
  • Konta usług i jednostki usług, takie jak konto microsoft Entra Połączenie Sync. Konta usług to konta nieinterakcyjne, które nie są powiązane z żadnym konkretnym użytkownikiem. Są one zwykle używane przez usługi zaplecza umożliwiające programowy dostęp do aplikacji, ale są również używane do logowania się do systemów w celach administracyjnych. Konta usług, takie jak te, powinny zostać wykluczone, ponieważ nie można programowo ukończyć uwierzytelniania wieloskładnikowego. Wywołania wykonywane przez jednostki usługi nie będą blokowane przez zasady dostępu warunkowego ograniczone do użytkowników. Użyj dostępu warunkowego dla tożsamości obciążeń, aby zdefiniować zasady przeznaczone dla jednostek usługi.
    • Jeśli twoja organizacja ma te konta używane w skryptach lub kodzie, rozważ zastąpienie ich tożsamościami zarządzanymi. Jako tymczasowe obejście można wykluczyć te określone konta z zasad punktu odniesienia.

Wdrażanie na podstawie szablonu

Organizacje mogą zdecydować się na wdrożenie tych zasad, wykonując poniższe kroki lub korzystając z szablonów dostępu warunkowego.

Blokuj dostęp przy użyciu zasad dostępu warunkowego

Napiwek

Skonfiguruj ochronę adaptacyjną przed utworzeniem następujących zasad.

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej Administracja istrator dostępu warunkowego.
  2. Przejdź do strony Ochrona>dostępu warunkowego.
  3. Wybierz pozycję Utwórz nowe zasady.
  4. Nadaj zasadzie nazwę. Zalecamy, aby organizacje tworzyły znaczący standard dla nazw swoich zasad.
  5. W obszarze Przypisania wybierz pozycję Użytkownicy lub tożsamości obciążeń.
    1. W obszarze Dołącz wybierz pozycję Wszyscy użytkownicy.
    2. W obszarze Wyklucz:
      1. Wybierz pozycję Użytkownicy i grupy , a następnie wybierz konta awaryjne lub konta awaryjne w organizacji.
      2. Wybierz pozycję Goście lub użytkownicy zewnętrzni i wybierz następujące opcje:
        1. Bezpośrednie połączenie użytkowników B2B.
        2. Użytkownicy dostawcy usług.
        3. Inni użytkownicy zewnętrzni.
  6. W obszarze Docelowe zasoby>Aplikacje>w chmurze Uwzględnij wybierz pozycję Wszystkie aplikacje w chmurze.
  7. W obszarze Warunki>ryzyko niejawne dla niejawnych testerów ustaw wartość Tak.
    1. W obszarze Wybierz poziomy ryzyka, które muszą być przypisane, aby wymusić zasady.
      1. Wybierz pozycję Podwyższony poziom uprawnień.
      2. Wybierz pozycję Gotowe.
  8. W obszarze Kontrola>dostępu Udziel wybierz pozycję Blokuj dostęp, a następnie wybierz pozycję Wybierz.
  9. Potwierdź ustawienia i ustaw opcję Włącz zasadyna tylko raport.
  10. Wybierz pozycję Utwórz , aby utworzyć, aby włączyć zasady.

Po potwierdzeniu przez administratorów ustawień w trybie tylko do raportu mogą przenieść przełącznik Włącz zasady z obszaru Tylko raport do pozycji Włączone.

Następne kroki