Configurazione dei criteri di durata della sessione adattiva
Avviso
Se si usa la funzionalità di durata configurabile dei token attualmente in anteprima pubblica, si noti che la creazione di due criteri diversi per la stessa combinazione di utenti o app, uno con questa funzionalità e un altro con la funzionalità di durata dei token configurabile, non è supportata. Il 30 gennaio 2021 Microsoft ha ritirato la funzionalità di durata configurabile per i token di aggiornamento e di sessione e l'ha sostituita con la funzionalità di gestione delle sessioni di autenticazione dell'accesso condizionale.
Prima di abilitare la frequenza di accesso, assicurarsi che altre impostazioni di autenticazione siano disabilitate nel tenant. Se "Ricorda MFA sui dispositivi attendibili" è attivato, assicurati di disabilitarlo prima di usare la frequenza di accesso, poiché l'uso di queste due impostazioni insieme può portare a sollecitazioni impreviste agli utenti. Per altre informazioni sulle richieste di riautenticazione e sulla durata della sessione, vedere l'articolo Ottimizzare le richieste di autenticazione e comprendere la durata della sessione per l'autenticazione a più fattori di Microsoft Entra.
Implementazione delle politiche
La procedura consigliata è testare i criteri prima di distribuirli nell'ambiente di produzione per assicurarsi che funzionino nel modo previsto. L'approccio ideale è usare un tenant di test per verificare se il nuovo criterio funziona nel modo previsto. Per altre informazioni, vedere l'articolo Pianificare una distribuzione dell'accesso condizionale.
Criterio 1: Controllo frequenza di accesso
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.
Passare a Protezione>Accesso condizionale>Criteri.
Selezionare Nuovi criteri.
Dai un nome alla tua politica. È consigliabile che le organizzazioni creino uno standard descrittivo per i nomi dei criteri.
Scegliere tutte le condizioni necessarie per l'ambiente del cliente, incluse le app cloud di destinazione.
Nota
È consigliabile impostare la stessa frequenza di richiesta di autenticazione per le chiavi di Microsoft app Office, ad esempio Exchange Online e SharePoint Online, per un'esperienza utente ottimale.
Sotto Controlli di accesso>Sessione.
- Selezionare Frequenza di accesso.
- Scegliere Riautenticazione periodica e immettere un valore di ore o giorni oppure selezionare Ogni volta.
- Selezionare Frequenza di accesso.
Salva la tua polizza.
Politica 2: sessione del browser persistente
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.
Passare a Protezione>Accesso condizionale>Criteri.
Selezionare Nuovi criteri.
Dai un nome alla tua politica. È consigliabile che le organizzazioni creino uno standard descrittivo per i nomi dei criteri.
Scegliere tutte le condizioni necessarie.
Nota
Questo controllo richiede di scegliere "Tutte le app cloud" come condizione. La persistenza della sessione del browser è controllata dal token della sessione di autenticazione. Tutte le schede di una sessione del browser condividono un singolo token di sessione, pertanto devono tutte condividere lo stato di persistenza.
Sotto Controlli di accesso>Sessione.
Selezionare Sessione del browser persistente.
Nota
La configurazione della sessione del browser persistente in Microsoft Entra Conditional Access sostituisce l'impostazione "Mantieni l'accesso?" nella pagina di branding aziendale per lo stesso utente se hai configurato entrambe le politiche.
Selezionare un valore dall'elenco a discesa.
Salva la tua politica.
Politica 3: Controllo della frequenza di accesso per ogni utente rischioso
- Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.
- Passa a Protezione>Accesso condizionale.
- Selezionare Nuovi criteri.
- Dai un nome alla tua politica. È consigliabile che le organizzazioni creino uno standard descrittivo per i nomi dei criteri.
- In Assegnazioni, selezionare Utenti o identità del carico di lavoro.
- In Includi selezionare Tutti gli utenti.
- In Escludi selezionare Utenti e gruppi e scegliere gli account di accesso di emergenza o gli account critici dell'organizzazione.
- Selezionare Fatto.
- In Risorse di destinazione>includi, selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
- In Condizioni>Rischio utente impostare Configurare su Sì.
- In Configurare i livelli di rischio utente necessari per l'applicazione dei criteri selezionare Alto. Questa guida si basa sui consigli Microsoft e potrebbe variare per ciascuna organizzazione
- Selezionare Fatto.
- In Controlli di accesso>Concedi selezionare Concedi accesso.
- Selezionare Richiedi livello di autenticazione e quindi selezionare il livello di autenticazione a più fattori predefinito nell'elenco.
- Seleziona Richiedi modifica password.
- Seleziona Seleziona.
- Sotto Sessione.
- Selezionare Frequenza di accesso.
- Assicurati che Ogni volta sia selezionato.
- Seleziona Seleziona.
- Conferma le impostazioni e imposta Abilita criterio su Solo report.
- Selezionare Crea per impostare e abilitare il criterio.
Dopo che gli amministratori confermano le impostazioni usando la modalità solo report, possono spostare l'interruttore Abilita criterio da Solo report a Attivato.
Convalida
Usare lo strumento What If per simulare l'accesso dell'utente all'applicazione di destinazione e altre condizioni in base a come hai configurato la tua politica. I controlli di gestione delle sessioni di autenticazione vengono visualizzati nei risultati dello strumento.
Tolleranza tempestiva
Consideriamo cinque minuti di sfasamento dell'orologio quando ogni volta è selezionato nei criteri, in modo da non richiedere agli utenti più spesso di una volta ogni cinque minuti. Se l'utente ha completato l'autenticazione a più fattori negli ultimi 5 minuti e ha raggiunto un altro criterio di accesso condizionale che richiede la riautenticazione, non viene richiesto all'utente. Il richiedere eccessivamente agli utenti di riautenticarsi può avere un impatto sulla loro produttività e aumentare il rischio che approvino richieste MFA non avviate da loro. Utilizzare "Frequenza di accesso – ogni volta" solo per esigenze aziendali specifiche.
Problemi noti
- Se si configura la frequenza di accesso per i dispositivi mobili: l'autenticazione dopo ogni intervallo di frequenza di accesso potrebbe essere lenta, può richiedere in media 30 secondi. Inoltre, può verificarsi in varie app contemporaneamente.
- Nei dispositivi iOS: se un'app configura i certificati come primo fattore di autenticazione e l'app ha sia la frequenza di accesso che i criteri di gestione delle applicazioni mobili di Intune applicati, gli utenti finali non potranno accedere all'app quando i criteri vengono attivati.
Passaggi successivi
- Se si è pronti per configurare i criteri di accesso condizionale per l'ambiente in uso, vedere l'articolo Pianificare una distribuzione dell'accesso condizionale.