Шаблоны политик условного доступа
Шаблоны условного доступа предоставляют удобный способ развертывания новых политик, согласованных с рекомендациями Майкрософт. Эти шаблоны предназначены для обеспечения максимальной защиты в соответствии с часто используемыми политиками в различных типах клиентов и расположениях.
Категории шаблонов
Шаблоны политик условного доступа организованы по следующим категориям:
Корпорация Майкрософт рекомендует использовать эти политики в качестве основы для всех организаций. Мы рекомендуем развернуть эти политики в составе группы.
- Требовать многофакторную проверку подлинности для администраторов
- Обеспечение безопасности при регистрации сведений
- Блокировать устаревшую аутентификацию
- Требовать многофакторную проверку подлинности для администраторов, обращаюющихся к порталам администрирования Майкрософт
- Требовать многофакторную проверку подлинности для всех пользователей
- Требовать многофакторную проверку подлинности для управления Azure
- Требовать соответствие требованиям или гибридное присоединенное устройство Microsoft Entra или многофакторную проверку подлинности для всех пользователей
- Требовать совместимое устройство
Найдите эти шаблоны в центре администрирования
Внимание
Политики шаблона условного доступа будут исключать только пользователя, создающего политику из шаблона. Если вашей организации необходимо исключить другие учетные записи, вы сможете изменить политику после их создания. Эти политики можно найти в администраторском центре Microsoft Entra, в разделе "Защита" и "Политики условного доступа". Выберите политику, чтобы открыть редактор и изменить исключенных пользователей и групп, чтобы выбрать учетные записи, которые необходимо исключить.
По умолчанию каждая политика создается в режиме только для отчетов, мы рекомендуем организациям тестировать и отслеживать использование, чтобы обеспечить предполагаемый результат перед включением каждой политики.
Организации могут выбирать отдельные шаблоны политик и:
- Просмотрите сводку параметров политики.
- Измените параметры, чтобы настроить их в зависимости от потребностей организации.
- Экспорт определения JSON для использования в программных рабочих процессах.
- Эти определения JSON можно изменить, а затем импортировать на главную страницу политик условного доступа с помощью параметра "Отправить файл политики".
Другие распространенные политики
- Требовать многофакторную проверку подлинности для регистрации устройства
- Блокирование доступа по расположению
- Блокировать доступ, за исключением конкретных приложений
Пользовательские исключения
Политики условного доступа являются мощными средствами, мы рекомендуем исключить следующие учетные записи из политик:
-
Аварийный доступ или учетные записи экстренного доступа, чтобы избежать блокировки из-за неверной конфигурации политики. В маловероятном сценарии, когда все администраторы заблокированы, ваша учетная запись администратора для аварийного доступа может использоваться для входа и выполнения действий по восстановлению доступа.
- Дополнительные сведения см. в статье об управлении учетными записями аварийного доступа в идентификаторе Microsoft Entra.
-
Учетные записи служб и субъекты-службы, такие как учетная запись синхронизации Microsoft Entra Connect. Учетные записи служб представляют собой автономные учетные записи, которые не привязаны к какому-либо конкретному пользователю. Они обычно используются службами сервера для предоставления программного доступа к приложениям, но также могут применяться для входа в системы в целях администрирования. Вызовы, сделанные доверенными лицами службы, не будут блокироваться политиками условного доступа, применяющимися к пользователям. Используйте условный доступ для удостоверений рабочей нагрузки, чтобы определить политики, нацеленные на субъекты-службы.
- Если в вашей организации эти учетные записи используются в сценариях или в коде, попробуйте заменить их управляемыми удостоверениями.