條件式存取:需要 Azure 管理的 MFA

組織會使用許多 Azure 服務,並從以 Azure Resource Manager 為基礎的工具來管理它們,例如:

  • Azure 入口網站
  • Azure PowerShell
  • Azure CLI

這些工具可提供高特殊權限的資源存取權,以改變整個訂用帳戶的設定、服務設定和訂用帳戶計費。 為了保護這些特殊權限資源,Microsoft 建議您針對存取這些資源的使用者要求多重要素驗證。 在 Azure AD 中,這些工具會在名為Microsoft Azure 管理的套件中群組在一起。 針對 Azure Government,此套件應該是 Azure Government 雲端管理 API 應用程式。

使用者排除

條件式存取原則是功能強大的工具,建議您從原則中排除下列帳戶:

  • 緊急存取急用帳戶,以避免整個租用戶帳戶遭到鎖定。 雖然不太可能發生,但如果所有管理員都遭到鎖定而無法使用租用戶,緊急存取系統管理帳戶就可以用來登入租用戶,以採取存取權復原步驟。
  • 服務帳戶服務主體,例如 Azure AD Connect 同步處理帳戶。 服務帳戶是未系結至任何特定使用者的非互動式帳戶。 這通常是由後端服務使用,可讓您以程式設計方式存取應用程式,但也可用來登入系統以供系統管理之用。 請排除這類服務帳戶,因為您無法透過程式設計方式來完成 MFA。 條件式存取不會封鎖服務主體所進行的呼叫。
    • 如果您的組織在指令碼或程式碼中使用這些帳戶,請考慮將其取代為受控識別。 您暫時可以在基準原則中排除這些特定帳戶,來解決此問題。

範本部署

組織可以選擇使用下面所述的步驟來部署此原則,或使用 (Preview) 的條件式存取範本

建立條件式存取原則

下列步驟將協助建立條件式存取原則,以要求存取Microsoft Azure 管理套件的使用者執行多重要素驗證。

  1. 以全域管理員、安全性系統管理員或條件式存取管理員的身分,登入 Azure 入口網站
  2. 流覽至Azure Active Directory安全性條件式存取
  3. 選取 [新增原則]。
  4. 為您的原則命名。 我們建議組織針對其原則的名稱建立有意義的標準。
  5. 在 [指派] 底下,選取 [使用者和群組]
    1. 在 [包含] 下,選取 [所有使用者]。
    2. 在 [排除] 底下選取 [使用者和群組],然後選擇組織的緊急存取或急用帳戶。
    3. 選取 [完成] 。
  6. 在 [雲端應用程式] 或 [動作] 下 ,選取 [選取應用程式]、選擇 [ Microsoft Azure 管理],然後選取 [完成]。
  7. 在 [存取控制與] 底下,選取[授與存取權需要多重要素驗證],然後選取 [選取]。
  8. 確認您的設定,並將 [啟用原則] 設為 [報告專用]。
  9. 選取 [建立],以建立並啟用您的原則。

使用 僅限報表模式確認設定之後,系統管理員可以將 [ 啟用原則 ] 切換從 [ 僅限報表 ] 移至 [ 開啟]。

後續步驟

條件式存取一般原則

使用條件式存取 What If 工具模擬登入行為