Villkorlig åtkomst: Kräv en autentiseringsstyrka för externa användare
Autentiseringsstyrka är en kontroll för villkorsstyrd åtkomst som gör att du kan definiera en specifik kombination av MFA-metoder (multifaktorautentisering) som en extern användare måste slutföra för att få åtkomst till dina resurser. Den här kontrollen är särskilt användbar för att begränsa extern åtkomst till känsliga appar i din organisation. Du kan till exempel skapa en princip för villkorsstyrd åtkomst, kräva en nätfiskebeständig autentiseringsstyrka i principen och tilldela den till gäster och externa användare.
Microsoft Entra ID har tre inbyggda autentiseringsstyrkor:
- Styrka för multifaktorautentisering
- Lösenordslös MFA-styrka
- Nätfiskebeständig MFA-styrka
Du kan använda en av de inbyggda styrkorna eller skapa en anpassad autentiseringsstyrka baserat på de autentiseringsmetoder som du vill kräva.
I externa användarscenarier varierar MFA-autentiseringsmetoderna som en resursklient kan acceptera beroende på om användaren slutför MFA i sin hemklient eller i resursklientorganisationen. Mer information finns i autentiseringsstyrkan för villkorsstyrd åtkomst.
Kommentar
För närvarande kan du bara tillämpa autentiseringsprinciper för externa användare som autentiserar med Microsoft Entra-ID. För engångslösenord för e-post, SAML/WS-Fed och Google-federationsanvändare använder du MFA-beviljandekontrollen för att kräva MFA.
Konfigurera åtkomstinställningar mellan klientorganisationer för att lita på MFA
Principer för autentiseringsstyrka fungerar tillsammans med MFA-förtroendeinställningar i inställningarna för åtkomst mellan klientorganisationer för att avgöra var och hur den externa användaren måste utföra MFA. En Microsoft Entra-användare autentiserar först med sitt eget konto i sin hemklientorganisation. När den här användaren sedan försöker komma åt din resurs tillämpar Microsoft Entra-ID:t principen för villkorsstyrd åtkomst för autentiseringsstyrka och kontrollerar om du har aktiverat MFA-förtroende.
- Om MFA-förtroende är aktiverat kontrollerar Microsoft Entra-ID användarens autentiseringssession för ett anspråk som anger att MFA har uppfyllts i användarens hemklientorganisation.
- Om MFA-förtroende är inaktiverat ger resursklienten användaren en utmaning att slutföra MFA i resursklientorganisationen med hjälp av en acceptabel autentiseringsmetod.
De autentiseringsmetoder som externa användare kan använda för att uppfylla MFA-kraven skiljer sig beroende på om användaren slutför MFA i sin hemklient eller resursklientorganisation. Se tabellen i autentiseringsstyrkan för villkorsstyrd åtkomst.
Viktigt!
Innan du skapar principen för villkorsstyrd åtkomst kontrollerar du inställningarna för åtkomst mellan klientorganisationer för att se till att dina inställningar för inkommande MFA-förtroende har konfigurerats som avsett.
Välj en autentiseringsstyrka
Kontrollera om någon av de inbyggda autentiseringsstyrkorna fungerar för ditt scenario eller om du behöver skapa en anpassad autentiseringsstyrka.
- Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
- Bläddra till Skyddsautentiseringsmetoder>>Autentiseringsstyrkor.
- Granska de inbyggda autentiseringsstyrkorna för att se om någon av dem uppfyller dina krav.
- Om du vill framtvinga en annan uppsättning autentiseringsmetoder skapar du en anpassad autentiseringsstyrka.
Skapa en princip för villkorsstyrd åtkomst
Använd följande steg för att skapa en princip för villkorsstyrd åtkomst som tillämpar en autentiseringsstyrka för externa användare.
Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
Bläddra till Villkorlig åtkomst för skydd>.
Välj Skapa ny princip.
Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
Under Inkludera väljer du Välj användare och grupper och sedan Gästanvändare eller externa användare.
Välj de typer av gästanvändare eller externa användare som du vill tillämpa principen på.
Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
Under Målresurser>Molnappar, under Inkludera eller Exkludera, väljer du alla program som du vill inkludera i eller exkludera från kraven på autentiseringsstyrka.
Under Åtkomstkontroller>Bevilja:
- Välj Bevilja åtkomst.
- Välj Kräv autentiseringsstyrka och välj sedan den inbyggda eller anpassade autentiseringsstyrkan i listan.
Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
Välj Skapa för att skapa för att aktivera principen.
När du har bekräftat inställningarna med läget endast rapport kan en administratör flytta växlingsknappen Aktivera princip från Endast rapport till På.
Nästa steg
Mallar för villkorsstyrd åtkomst
Använd rapportläge för villkorsstyrd åtkomst för att fastställa resultatet av nya principbeslut.