Что такое рекомендации Microsoft Entra?
Отслеживание всех параметров и ресурсов в клиенте может оказаться подавляющим. Функция рекомендаций Microsoft Entra помогает отслеживать состояние клиента, поэтому вам не нужно. Эти рекомендации помогают гарантировать, что клиент находится в безопасном и работоспособном состоянии, а также помогает максимально повысить ценность функций, доступных в идентификаторе Microsoft Entra.
Рекомендации Microsoft Entra теперь включают рекомендации по оценке безопасности удостоверений. Эти рекомендации предоставляют аналогичные аналитические сведения о безопасности вашего клиента. Дополнительные сведения см. в разделе "Что такое оценка безопасности удостоверений".
Все эти рекомендации Microsoft Entra предоставляют персонализированные аналитические сведения с практическими рекомендациями:
- Помогите определить возможности реализации рекомендаций для связанных функций Microsoft Entra.
- Улучшение состояния клиента Microsoft Entra.
- Оптимизируйте конфигурации для сценариев.
В этой статье представлен обзор использования рекомендаций Microsoft Entra.
Как это работает?
На ежедневной основе идентификатор Microsoft Entra анализирует конфигурацию клиента. Во время этого анализа идентификатор Microsoft Entra сравнивает конфигурацию клиента с рекомендациями по безопасности и данными рекомендаций. Если рекомендация помечена как применимой к клиенту, эта рекомендация отображается в разделе "Рекомендации " области обзора удостоверений Microsoft Entra.
Каждая рекомендация содержит описание, сводку по значению решения этой рекомендации и пошаговый план действий. Если применимо, затронутые ресурсы, связанные с рекомендацией, перечислены, чтобы можно было разрешить каждую затронутую область. Если рекомендация не имеет связанных ресурсов, то затронутый тип ресурса — уровень клиента, поэтому план действий пошагового действия влияет на весь клиент, а не только на определенный ресурс.
Таблица обзора рекомендаций
Рекомендации, перечисленные в следующей таблице, в настоящее время доступны в общедоступной предварительной версии или в стадии общей доступности. Они охватывают различные типы ресурсов, на которые направлены эти рекомендации, и многое другое. Требования к лицензии для рекомендаций в общедоступной предварительной версии могут быть изменены. В таблице приведены ссылки на доступную документацию для этих рекомендаций, которые требуют отдельных рекомендаций.
| Рекомендация | Затронутые ресурсы | Availability | Оценка безопасности идентичностей | Целевые роли для уведомлений по электронной почте |
|---|---|---|---|---|
| Не рекомендуется использовать AAD Connect | Съёмщик | Предварительный просмотр | Нет | Администратор гибридных удостоверений |
| Преобразование MFA на пользователя в MFA условного доступа | Пользователи | Общедоступная версия | Нет | Администратор безопасности |
| Назначение нескольких глобальных администраторов | Пользователи | Общедоступная версия | Да | Глобальный администратор |
| Не разрешать пользователям предоставлять согласие ненадежным приложениям | Съёмщик | Предварительный просмотр | Да | Глобальный администратор |
| Срок действия паролей не истекает | Съёмщик | Предварительный просмотр | Да | Глобальный администратор |
| Включение синхронизации хэша паролей при гибридной среде | Съёмщик | Общедоступная версия | Да | Администратор гибридных удостоверений |
| Включить политику, чтобы заблокировать проверку подлинности прежних версий | Пользователи | Общедоступная версия | Да | Администратор условного доступа, администратор безопасности |
| Включить самостоятельный сброс паролей | Пользователи | Предварительный просмотр | Да | Администратор политики проверки подлинности |
| Убедитесь, что все пользователи могут выполнять многофакторную проверку подлинности | Пользователи | Предварительный просмотр | Да | Администратор условного доступа, администратор безопасности |
| Длительные учетные данные в приложениях | Приложения | Предварительный просмотр | Нет | Глобальный администратор |
| Перенос приложений из AD FS в идентификатор Microsoft Entra | Приложения | Общедоступная версия | Нет | Администратор приложений, администратор гибридной идентификации администратора проверки подлинности |
| Перенос приложений из устаревших API Azure AD Graph в Microsoft Graph | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Миграция из ADAL в MSAL | Приложения | Общедоступная версия | Нет | Администратор приложений |
| Миграция с сервера MFA на MFA Microsoft Entra MFA | Съёмщик | Общедоступная версия | Нет | Глобальный администратор |
| Перенос субъектов-служб из устаревших API Graph Azure AD в Microsoft Graph | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Миграция в Microsoft Authenticator | Пользователи | Предварительный просмотр | Нет | Глобальный администратор |
| Минимизация запросов MFA с известных устройств | Пользователи | Общедоступная версия | Нет | Глобальный администратор |
| Защита всех пользователей с помощью политики риска входа | Пользователи | Общедоступная версия | Да | Администратор условного доступа, администратор безопасности |
| Защита всех пользователей с помощью политики риска пользователей | Пользователи | Общедоступная версия | Да | Администратор условного доступа, администратор безопасности |
| Защитите своего арендатора с помощью политики условного доступа для внутреннего риска | Пользователи | Общедоступная версия | Да | Администратор условного доступа, администратор безопасности |
| Удаление избыточных разрешений для приложений | Приложения | Предварительный просмотр | Нет | Глобальный администратор |
| Удаление неиспользуемых приложений | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Удаление неиспользуемых учетных данных из приложений | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Удаление неиспользуемых URI перенаправления в конфигурации приложения | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Продление учетных данных приложения с истекающим сроком действия | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Продление учетных данных субъекта-службы с истекающим сроком действия | Приложения | Предварительный просмотр | Нет | Администратор приложений |
| Требовать MFA для административных ролей | Пользователи | Общедоступная версия | Да | Администратор условного доступа, администратор безопасности |
| Просмотр неактивных пользователей с помощью проверок доступа | Пользователи | Предварительный просмотр | Нет | Администратор управления удостоверениями |
| Защита и управление приложениями с помощью автоматической подготовки пользователей и групп | Приложения | Предварительный просмотр | Нет | Администратор приложений, администратор управления ИТ-службами |
| Обновление неправильно настроенной мультитенантной аудитории входа в приложение | Приложения | Предварительный просмотр | Сейчас | Администратор приложений |
| Использование наименее привилегированных административных ролей | Пользователи | Предварительный просмотр | Да | Администратор привилегированных ролей |
| Проверка издателя приложений | Приложения | Предварительный просмотр | Нет | Глобальный администратор |
Microsoft Entra отображает только рекомендации, которые применяются к вашему клиенту, поэтому могут не отображаться все поддерживаемые рекомендации.
Оценка безопасности идентичности
Оценка безопасности удостоверений, которая отображается в верхней части страницы, представляет собой числовое представление работоспособности вашего клиента. Рекомендации, применяемые к оценке безопасности удостоверений, предоставляются отдельные оценки в таблице в нижней части страницы. Список рекомендаций можно отфильтровать, чтобы показывать только рекомендации по оценке безопасности удостоверений, с помощью карточки фильтрации безопасности . Рекомендации по оценке безопасности удостоверений включают очки оценки безопасности, которые вычисляются как общая оценка на основе нескольких факторов безопасности.
Эти оценки суммируются для создания Оценки безопасности личности. Дополнительные сведения см. в разделе "Что такое оценка безопасности удостоверений".
Связаны ли рекомендации Microsoft Entra с Помощником по Azure?
Функция рекомендаций Microsoft Entra — это конкретная реализация Помощника по Azure Microsoft Entra, которая является персонализированным облачным консультантом, который поможет вам следовать рекомендациям по оптимизации развертываний Azure. Помощник по Azure анализирует данные о конфигурации ресурсов и использовании, чтобы рекомендовать решения, которые помогут повысить эффективность затрат, производительность, надежность и безопасность ресурсов Azure.
Рекомендации Microsoft Entra используют аналогичные данные для поддержки развертывания и управления рекомендациями Майкрософт по обеспечению безопасности и работоспособности клиента Microsoft Entra. Функция рекомендаций Microsoft Entra предоставляет целостное представление о безопасности, работоспособности и использовании клиента.
Уведомления по электронной почте (предварительная версия)
Рекомендации Microsoft Entra теперь создают Уведомления по электронной почте при создании новой рекомендации. Эта новая функция предварительной версии отправляет сообщения электронной почты в предопределенный набор ролей для каждой рекомендации. Например, рекомендации, связанные с работоспособностью приложений клиента, отправляются пользователям с ролью администратора приложений.
Если ваша организация использует управление привилегированными пользователями (PIM), получатели должны быть повышены до роли, указанной для получения уведомления по электронной почте. Если никто не назначен роли, сообщения электронной почты не отправляются. По этой причине рекомендуется регулярно проверять рекомендации, чтобы убедиться, что вы знаете о новых рекомендациях.