Sdílet prostřednictvím

Vyžadování vícefaktorového ověřování pro zvýšené riziko přihlašování

  • Článek

Většina uživatelů se chová běžným způsobem, který je možné sledovat. Když se mimo tento běžný způsob vychýlí, může být nebezpečné jim povolit se normálně přihlásit. Můžete ho chtít zablokovat nebo ho požádat, aby provedl vícefaktorové ověřování, aby prokázal, že je skutečně tím, kdo říká.

Riziko přihlášení představuje pravděpodobnost, že daný požadavek na ověření nepochází od vlastníka identity. Organizace s licencemi Microsoft Entra ID P2 můžou vytvářet zásady podmíněného přístupu, které zahrnují detekce rizik přihlašování k Microsoft Entra ID Protection.

Zásady přihlašování založené na riziku chrání uživatele před nastavením vícefaktorového ověřování v rizikových relacích. Pokud uživatelé nejsou zaregistrovaní pro vícefaktorové ověřování, zablokují se jejich rizikové přihlášení a zobrazí se jim chyba AADSTS53004.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje, doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo účty pro přístup při mimořádných situacích, které zamezují uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři jsou všichni správci uzamčeni, váš účet pro správu tísňového volání se dá použít k přihlášení a provedení kroků pro obnovení přístupu.
  • Servisní účty a servisní principálové, jako je Microsoft Entra Connect Sync Account. Účty služby jsou neinteraktivní účty, které nejsou vázané na konkrétního uživatele. Obvykle je používají back-endové služby, které umožňují programový přístup k aplikacím, ale používají se také k přihlášení do systémů pro účely správy. Volání služebních principálů nebudou blokována zásadami podmíněného přístupu, které platí pro uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
    • Pokud má vaše organizace tyto účty používané ve skriptech nebo kódu, zvažte jejich nahrazení spravovanými identitami.

Nasazení šablon

Organizace si můžou tuto zásadu nasadit pomocí kroků uvedených níže nebo pomocí šablon podmíněného přístupu.

Povolení pomocí zásad podmíněného přístupu

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte k Ochrana>Podmíněný přístup.
  3. Vyberte Nová zásada.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo nouzové účty ve vaší organizaci.
    3. Vyberte Hotovo.
  6. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  7. Pod Podmínkami>Riziko přihlášení nastavte Konfigurovat na Ano.
    1. V části Vyberte úroveň rizika přihlášení, na které se tato zásada vztahuje, vyberte Vysoká a Střední. Tyto pokyny vycházejí z doporučení Microsoftu a můžou se lišit pro každou organizaci.
    2. Vyberte Hotovo.
  8. V části Řízení přístupu>Udělit vyberte možnost Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak ze seznamu vyberte integrovanou sílu vícefaktorového ověřování .
    2. Zvolte Zvolit.
  9. Pod Sezení.
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybráno Vždy.
    3. Zvolte Zvolit.
  10. Potvrďte nastavení a nastavte Zapnout zásady na pouze pro hlášení.
  11. Chcete-li povolit vaši zásadu, vyberte Vytvořit.

Jakmile správci potvrdí nastavení pomocí režimu pouze pro sestavy, mohou přepnout přepínač Povolit zásadu z Jen pro sestavy do Zapnuto.

Scénáře bez hesla

Pro organizace, které přijímají metody ověřování bez hesla, proveďte následující změny:

Aktualizujte zásady rizik přihlášení bez hesla

  1. V části Uživatelé:
    1. Zahrňte uživatele a skupiny a zaměřte se na uživatele bez hesla.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo prolomení účtů ve vaší organizaci.
    3. Vyberte Hotovo.
  2. V části Cloudové aplikace nebo akce>Zahrnoutvyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  3. Pod Podmínkami>rizika přihlášení nastavte Konfigurovat na ano.
    1. V části Vyberte úroveň rizika přihlášení, na které se tato zásada vztahuje, vyberte Vysoká a Střední. Další informace o úrovních rizika najdete v tématu Volba přijatelných úrovní rizik.
    2. Vyberte Hotovo.
  4. V nastavení Řízení přístupu>Povolit, vyberte možnost Povolit přístup.
    1. Vyberte Požadovat úroveň ověřování, a pak vyberte integrované vícefaktorové ověřování bez hesla nebo vícefaktorové ověřování odolné proti phishingu na základě toho, jakou metodu mají cíloví uživatelé.
    2. Zvolte Zvolit.
  5. Pod relací:
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybráno vždy.
    3. Zvolte Zvolit.

Související obsah