Blokuj przykładowe zasady dostępu
W przypadku organizacji z konserwatywnym podejściem do migracji do chmury blokuj wszystkie zasady są opcją, która może być używana.
Uwaga
Błędna konfiguracja zasad blokowych może prowadzić do zablokowania organizacji.
Zasady takie jak te mogą mieć niezamierzone skutki uboczne. Prawidłowe testowanie i walidacja są niezbędne przed włączeniem. Administratorzy powinni korzystać z narzędzi, takich jak tryb tylko dostęp warunkowy i narzędzie What If w dostępie warunkowym podczas wprowadzania zmian.
Wykluczenia użytkowników
Zasady dostępu warunkowego są zaawansowanymi narzędziami. Zalecamy wykluczenie następujących kont z zasad:
- Dostęp awaryjny lub konta ze szkła awaryjnego, aby zapobiec zablokowaniu z powodu błędnej konfiguracji zasad. W mało prawdopodobnym scenariuszu wszyscy administratorzy są zablokowani, konto administracyjne dostępu awaryjnego może służyć do logowania się i podjęcia kroków w celu odzyskania dostępu.
- Więcej informacji można znaleźć w artykule Zarządzanie kontami dostępu awaryjnego w usłudze Microsoft Entra ID.
- Konta usług i jednostki usługi, takie jak konto synchronizacji programu Microsoft Entra Connect. Konta usług to konta nieinterakcyjne, które nie są powiązane z żadnym konkretnym użytkownikiem. Są one zwykle używane przez usługi zaplecza i umożliwiają programowy dostęp do aplikacji, ale są również używane do logowania się do systemów w celach administracyjnych. Wywołania wykonywane przez jednostki usługi nie będą blokowane przez zasady dostępu warunkowego ograniczone do użytkowników. Użyj dostępu warunkowego dla tożsamości obciążeń, aby zdefiniować zasady przeznaczone dla jednostek usług.
- Jeśli twoja organizacja ma te konta używane w skryptach lub kodzie, rozważ zastąpienie ich tożsamościami zarządzanymi.
Tworzenie zasady dostępu warunkowego
Poniższe kroki ułatwiają tworzenie zasad dostępu warunkowego w celu blokowania dostępu do wszystkich aplikacji z wyjątkiem usługi Office 365 , jeśli użytkownicy nie znajdują się w zaufanej sieci. Te zasady są umieszczane w trybie tylko do raportowania, aby administratorzy mogli określić wpływ na istniejących użytkowników. Gdy administratorzy czują się komfortowo, że zasady mają zastosowanie zgodnie z oczekiwaniami, mogą przełączyć je na włączone.
Pierwsze zasady blokują dostęp do wszystkich aplikacji z wyjątkiem aplikacji platformy Microsoft 365, jeśli nie w zaufanej lokalizacji.
- Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator dostępu warunkowego.
- Przejdź do strony Ochrona>zasad dostępu>warunkowego.
- Wybierz pozycję Nowe zasady.
- Nadaj zasadzie nazwę. Zalecamy, aby organizacje tworzyły znaczący standard dla nazw swoich zasad.
- W obszarze Przypisania wybierz pozycję Użytkownicy lub tożsamości obciążeń.
- W obszarze Dołącz wybierz pozycję Wszyscy użytkownicy.
- W obszarze Wyklucz wybierz pozycję Użytkownicy i grupy , a następnie wybierz konta awaryjne lub konta ze szkła awaryjnego w organizacji.
- W obszarze Zasoby docelowe>(dawniej aplikacje w chmurze) wybierz następujące opcje:
- W obszarze Uwzględnij wybierz pozycję Wszystkie zasoby (dawniej "Wszystkie aplikacje w chmurze") .
- W obszarze Wyklucz wybierz pozycję Office 365, wybierz pozycję Wybierz.
- W warunkach:
- W obszarze Lokalizacja warunków>.
- Ustaw opcję Konfiguruj na Tak
- W obszarze Dołącz wybierz pozycję Dowolna lokalizacja.
- W obszarze Wyklucz wybierz pozycję Wszystkie zaufane lokalizacje.
- W obszarze Aplikacje klienckie ustaw pozycję Konfiguruj na Tak, a następnie wybierz pozycję Gotowe.
- W obszarze Lokalizacja warunków>.
- W obszarze Kontrola>dostępu Udziel wybierz pozycję Blokuj dostęp, a następnie wybierz pozycję Wybierz.
- Potwierdź ustawienia i ustaw opcję Włącz zasady na tylko raport.
- Wybierz pozycję Utwórz , aby utworzyć, aby włączyć zasady.
Po potwierdzeniu przez administratorów ustawień w trybie tylko do raportu mogą przenieść przełącznik Włącz zasady z obszaru Tylko raport do pozycji Włączone.
Następujące zasady są tworzone w celu wymagania uwierzytelniania wieloskładnikowego lub zgodnego urządzenia dla użytkowników platformy Microsoft 365.
- Wybierz pozycję Utwórz nowe zasady.
- Nadaj zasadzie nazwę. Zalecamy, aby organizacje tworzyły znaczący standard dla nazw swoich zasad.
- W obszarze Przypisania wybierz pozycję Użytkownicy lub tożsamości obciążeń.
- W obszarze Dołącz wybierz pozycję Wszyscy użytkownicy.
- W obszarze Wyklucz wybierz pozycję Użytkownicy i grupy , a następnie wybierz konta awaryjne lub konta ze szkła awaryjnego w organizacji.
- W obszarze Zasoby docelowe>(dawniej aplikacje w chmurze)> Uwzględnij>pozycję Wybierz zasoby, wybierz pozycję Office 365 i wybierz pozycję Wybierz.
- W obszarze Kontrola>dostępu Udziel wybierz pozycję Udziel dostępu.
- Wybierz pozycję Wymagaj uwierzytelniania wieloskładnikowego i Wymagaj, aby urządzenie było oznaczone jako zgodne , wybierz pozycję Wybierz.
- Upewnij się, że wybrano opcję Wymagaj jednej z wybranych kontrolek .
- Wybierz pozycję Wybierz.
- Potwierdź ustawienia i ustaw opcję Włącz zasady na tylko raport.
- Wybierz pozycję Utwórz , aby utworzyć, aby włączyć zasady.
Po potwierdzeniu przez administratorów ustawień w trybie tylko do raportu mogą przenieść przełącznik Włącz zasady z obszaru Tylko raport do pozycji Włączone.
Uwaga
Zasady dostępu warunkowego są wymuszane po zakończeniu uwierzytelniania pierwszego składnika. Dostęp warunkowy nie jest przeznaczony do pierwszej linii obrony organizacji w scenariuszach takich jak ataki typu "odmowa usługi" (DoS), ale może używać sygnałów z tych zdarzeń w celu określenia dostępu.
Następne kroki
Określanie efektu przy użyciu trybu tylko do uzyskiwania dostępu warunkowego