Självstudie: Framtvinga multifaktorautentisering för B2B-gästanvändare

Gäller för:Personalklientorganisationer Externa klienter (läs mer)

När du samarbetar med externa B2B-gästanvändare är det en bra idé att skydda dina appar med principer för multifaktorautentisering. Sedan behöver externa användare mer än bara ett användarnamn och lösenord för att få åtkomst till dina resurser. I Microsoft Entra-ID kan du uppnå det här målet med en princip för villkorsstyrd åtkomst som kräver MFA för åtkomst. MFA-principer kan tillämpas på klientorganisations-, app- eller enskild gästanvändarnivå, på samma sätt som de är aktiverade för medlemmar i din egen organisation. Resursklientorganisationen ansvarar alltid för Microsoft Entra multifaktorautentisering för användare, även om gästanvändarens organisation har funktioner för multifaktorautentisering.

Exempel:

1. En administratör eller anställd på företag A bjuder in en gästanvändare att använda ett molnprogram eller lokalt program som är konfigurerat för att kräva MFA för åtkomst.
2. Gästanvändaren loggar med sina egna arbets- eller skolidentiteter eller sociala identiteter.
3. Användaren uppmanas att slutföra en MFA-kontroll.
4. Användaren ställer in MFA med företag A och väljer sina MFA-alternativ. Användaren får åtkomst till programmet.

Kommentar

Microsoft Entra multifaktorautentisering utförs på resursens innehav för att säkerställa förutsägbarhet. När gästanvändaren loggar in visas inloggningssidan för resursklientorganisationen i bakgrunden och en egen inloggningssida för hemklientorganisationen och företagslogotypen i förgrunden.

I den här självstudien kommer vi att:

• Testa inloggningen innan du påbörjar MFA-installationen.
• Skapa en princip för villkorsstyrd åtkomst som kräver MFA för åtkomst till en molnapp i din miljö. I den här självstudien använder vi appen Windows Azure Service Management API för att illustrera processen.
• Använd What If-verktyget för att simulera MFA-inloggningen.
• Testa principen för villkorsstyrd åtkomst.
• Rensa testanvändare och princip.

Om du inte har en Azure-prenumeration kan du skapa ett kostnadsfritt konto innan du börjar.

Förutsättningar

För att kunna slutföra scenariot i den här självstudien behöver du:

• Åtkomst till Microsoft Entra ID P1- eller P2-utgåvan, som innehåller principfunktioner för villkorsstyrd åtkomst. För att framtvinga MFA måste du skapa en princip för villkorsstyrd åtkomst i Microsoft Entra. MFA-principer tillämpas alltid i din organisation, oavsett om partnern har MFA-funktioner.
• Ett giltigt externt e-postkonto som du kan lägga till i din klientkatalog som gästanvändare och använda för att logga in. Om du inte vet hur du skapar ett gästkonto kan du läsa Lägga till en B2B-gästanvändare i administrationscentret för Microsoft Entra.

Skapa en testgästanvändare i Microsoft Entra-ID

Dricks

Stegen i den här artikeln kan variera något beroende på vilken portal du börjar från.

1. Logga in på administrationscentret för Microsoft Entra som minst användaradministratör.

2. Gå till Identitet>Användare>Alla användare.

3. Välj Ny användare och välj sedan Bjud in extern användare.

   

4. Under Identitet på fliken Grundläggande anger du den externa användarens e-postadress. Du kan också inkludera ett visningsnamn och ett välkomstmeddelande.

   

5. Du kan också lägga till ytterligare information till användaren under flikarna Egenskaper och Tilldelningar .

6. Välj Granska + bjud in för att automatiskt skicka inbjudan till gästanvändaren. Meddelandet Användaren har bjudits in visas.

7. När du har skickat inbjudan läggs användarkontot automatiskt till i katalogen som en gäst.

Testa inloggningen innan du påbörjar MFA-installationen

1. Använd ditt testanvändarnamn och lösenord för att logga in på administrationscentret för Microsoft Entra.
2. Du bör bara kunna komma åt administrationscentret för Microsoft Entra med dina inloggningsuppgifter. Ingen annan autentisering krävs.
3. Logga ut.

Skapa en princip för villkorsstyrd åtkomst som kräver MFA

1. Logga in på Microsoft Entra admincenter som administratör för villkorsstyrd åtkomst.

2. Bläddra till Identity>Protection>Security Center.

3. Under Skydda väljer du Villkorlig åtkomst.

4. På sidan Villkorlig åtkomst går du till verktygsfältet längst upp och väljer Skapa ny princip.

5. Skriv Kräver MFA för B2B-portalåtkomst i textrutan Namn på sidan Ny.

6. I avsnittet Tilldelningar väljer du länken under Användare och grupper.

7. På sidan Användare och grupper väljer du Välj användare och grupper och väljer sedan Gäst eller externa användare. Du kan tilldela principen till olika externa användartyper, inbyggda katalogroller eller användare och grupper.

   

8. I avsnittet Tilldelningar väljer du länken under Molnappar eller åtgärder.

9. Välj Välj appar och välj sedan länken under Välj.

   

10. På sidan Välj väljer du Windows Azure Service Management API och väljer sedan Välj.

11. På sidan Nytt går du till avsnittet Åtkomstkontroller och väljer länken under Bevilja.

12. På sidan Bevilja väljer du Bevilja åtkomst, markerar kryssrutan Kräv multifaktorautentisering och väljer sedan Välj.

    

13. Välj På under Aktivera princip.

    

14. Välj Skapa.

Simulera inloggningen med hjälp av What If-alternativet

1. På villkorsstyrd åtkomst | På sidan Principer väljer du Vad om.

   

2. Välj länken under Användare.

3. I sökrutan skriver du namnet på testgästanvändaren. Välj användaren i sökresultatet och välj sedan Välj.

   

4. Välj länken under Molnappar, åtgärder eller autentiseringsinnehåll. Välj Välj appar och välj sedan länken under Välj.

   

5. På sidan Molnappar går du till programlistan och väljer Windows Azure Service Management API och väljer sedan Välj.

6. Välj Vad om och kontrollera att den nya principen visas under Utvärderingsresultat på fliken Principer som ska tillämpas .

   

Testa din princip för villkorsstyrd åtkomst

1. Använd ditt testanvändarnamn och lösenord för att logga in på administrationscentret för Microsoft Entra.

2. Du bör se en begäran om fler autentiseringsmetoder. Det kan ta lite tid innan principen börjar gälla.

   

   Kommentar

   Du kan också konfigurera åtkomstinställningar mellan klientorganisationer för att lita på MFA från Microsoft Entra-hemklientorganisationen. Detta gör det möjligt för externa Microsoft Entra-användare att använda MFA som registrerats i sin egen klientorganisation i stället för att registrera sig i resursklientorganisationen.

3. Logga ut.

Rensa resurser

När den inte längre behövs tar du bort testanvändaren och testprincipen för villkorsstyrd åtkomst.

1. Logga in på administrationscentret för Microsoft Entra som minst användaradministratör.
2. Gå till Identitet>Användare>Alla användare.
3. Välj testanvändaren och välj sedan Ta bort användare.
4. Bläddra till Identity>Protection>Security Center.
5. Under Skydda väljer du Villkorlig åtkomst.
6. Välj snabbmenyn (...) för testprincipen i listan Principnamn och välj sedan Ta bort. Välj Ja för att bekräfta.

Nästa steg

I den här självstudien har du skapat en princip för villkorsstyrd åtkomst som kräver att gästanvändare använder MFA när de loggar in på en av dina molnappar. Mer information om hur du lägger till gästanvändare för samarbete finns i Lägga till Microsoft Entra B2B-samarbetsanvändare i Azure-portalen.