Běžné zásady podmíněného přístupu: Vyžadovat pro správce zařízení kompatibilní nebo hybridní zařízení připojené k Microsoft Entra

  • Článek

Na účty, které mají přiřazená práva správce, cílí útočníci. Vyžadování uživatelů s těmito vysoce privilegovanými právy k provádění akcí ze zařízení označených jako vyhovujících nebo hybridních připojení Microsoft Entra může pomoct omezit možné vystavení.

Další informace o zásadách dodržování předpisů pro zařízení najdete v článku Nastavení pravidel na zařízeních, která umožňují přístup k prostředkům ve vaší organizaci pomocí Intune.

Vyžadování hybridního zařízení připojeného k Microsoft Entra závisí na zařízeních, která už jsou připojená službou Microsoft Entra Hybrid Join. Další informace najdete v článku Konfigurace hybridního připojení Microsoft Entra.

Microsoft doporučuje, abyste tuto zásadu povolili minimálně pro následující role na základě doporučení pro skóre identit:

  • Globální správce
  • Správce aplikace
  • Správce ověřování
  • Správce fakturace
  • Správce cloudové aplikace
  • Správce podmíněného přístupu
  • Správce Exchange
  • Správce helpdesku
  • Správce hesel
  • Správce privilegovaného ověřování
  • Správce privilegovaných rolí
  • Správce zabezpečení
  • Správce SharePointu
  • Správce uživatelů

Organizace se můžou rozhodnout zahrnout nebo vyloučit role podle potřeby.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje, doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo prolomení účtů, aby se zabránilo uzamčení účtu v rámci celého tenanta. V nepravděpodobném scénáři jsou všichni správci uzamčeni z vašeho tenanta, váš účet pro správu tísňového volání se dá použít k přihlášení k tenantovi a provést kroky pro obnovení přístupu.
  • Účty služeb a instanční objekty, jako je účet Microsoft Entra Připojení Sync. Účty služby jsou neinteraktivní účty, které nejsou vázané na konkrétního uživatele. Obvykle je používají back-endové služby, které umožňují programový přístup k aplikacím, ale používají se také k přihlášení do systémů pro účely správy. Účty služeb, jako jsou tyto, by se měly vyloučit, protože vícefaktorové ověřování není možné dokončit programově. Volání instančních objektů nebudou blokovaná zásadami podmíněného přístupu vymezenými pro uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
    • Pokud má vaše organizace tyto účty používané ve skriptech nebo kódu, zvažte jejich nahrazení spravovanými identitami. Jako dočasné alternativní řešení můžete tyto konkrétní účty vyloučit ze základních zásad.

Nasazení šablon

Organizace si můžou tuto zásadu nasadit pomocí kroků uvedených níže nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Následující kroky vám pomůžou vytvořit zásadu podmíněného přístupu, která bude vyžadovat vícefaktorové ověřování, zařízení, která přistupují k prostředkům, označená jako kompatibilní se zásadami dodržování předpisů v Intune vaší organizace nebo jako hybridní připojení Microsoft Entra.

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte k podmíněnému přístupu k ochraně>.
  3. Vyberte Vytvořit novou zásadu.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.

    1. V části Zahrnout vyberte Role adresáře a zvolte předdefinované role, například:

      • Globální správce
      • Správce aplikace
      • Správce ověřování
      • Správce fakturace
      • Cloudová aplikace Správa istrator
      • Správce podmíněného přístupu
      • Správce Exchange
      • Helpdesk Správa istrator
      • Heslo Správa istrator
      • Privilegované ověřování Správa istrator
      • Správce privilegovaných rolí
      • Správce zabezpečení
      • SharePoint Správa istrator
      • Správce uživatelů

      Upozorňující

      Zásady podmíněného přístupu podporují předdefinované role. Zásady podmíněného přístupu se nevynucují pro jiné typy rolí, včetně jednotek pro správu nebo vlastních rolí.

    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo prolomení účtů ve vaší organizaci.

  6. V části Cílové prostředky>: Zahrnout cloudové aplikace>vyberte Všechny cloudové aplikace.
  7. V části Řízení>přístupu Udělení.
    1. Vyberte Vyžadovat, aby zařízení bylo označené jako vyhovující, a vyžadovat hybridní zařízení připojené k Microsoftu Entra.
    2. U více ovládacích prvků vyberte Vyžadovat jeden z vybraných ovládacích prvků.
    3. Zvolte Zvolit.
  8. Potvrďte nastavení a nastavte Povolit zásadu pouze pro sestavy.
  9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Jakmile správci potvrdí nastavení pomocí režimu jen pro sestavy, můžou přepnout zásadu Povolit pouze ze sestavy do polohy Zapnuto.

Poznámka:

Nová zařízení můžete zaregistrovat do Intune, i když pomocí výše uvedeného postupu vyberete Vyžadovat, aby zařízení bylo označené jako vyhovující všem uživatelům a všem cloudovým aplikacím . Vyžadovat, aby zařízení bylo označeno jako vyhovující řízení, neblokuje registraci v Intune.

Známé chování

Ve Windows 7, iOS, Androidu, macOS a některých webových prohlížečích třetích stran identifikuje Microsoft Entra ID zařízení pomocí klientského certifikátu zřízeného při registraci zařízení pomocí Microsoft Entra ID. Když se uživatel poprvé přihlásí přes prohlížeč, zobrazí se výzva k výběru certifikátu. Koncový uživatel musí tento certifikát vybrat, aby mohl dál používat prohlížeč.

Aktivace předplatného

Organizace, které používají funkci Aktivace předplatného, umožňují uživatelům "krokovat" z jedné verze Windows do jiné, mohou chtít vyloučit Windows Store pro firmy, AppID 45a30b1-b1ec-4cc1-9161-9f03992aa49f ze zásad dodržování předpisů zařízením.

Související obsah