Vyžadování MFA pro správce

Na účty, které mají přiřazená práva správce, cílí útočníci. Vyžadování vícefaktorového ověřování (MFA) u těchto účtů je snadný způsob, jak snížit riziko ohrožení těchto účtů.

Microsoft doporučuje, abyste minimálně u následujících rolí vyžadovali vícefaktorové ověřování odolné proti útokům phishing:

• Globální správce
• Správce aplikace
• Správce ověřování
• Správce fakturace
• Správce cloudové aplikace
• Správce podmíněného přístupu
• Správce Exchange
• Správce helpdesku
• Správce hesel
• Správce privilegovaného ověřování
• Správce privilegovaných rolí
• Správce zabezpečení
• Správce SharePointu
• Správce uživatelů

Organizace se můžou rozhodnout zahrnout nebo vyloučit role podle potřeby.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme z vašich zásad vyloučit následující účty:

• Nouzový přístup nebo nouzové účty k zamezení uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři, kdy jsou všichni správci uzamčeni, můžete účet pro správu tísňového přístupu použít k přihlášení a obnovení přístupu.
  • Další informace najdete v článku Správa účtů pro nouzový přístup v Microsoft Entra ID.
• Účty služeb a služební principály, jako je účet synchronizace Microsoft Entra Connect. Účty služeb jsou neinteraktivní účty, které nejsou svázané s žádným konkrétním uživatelem. Obvykle je používají back-endové služby k povolení programového přístupu k aplikacím, ale používají se také k přihlášení k systémům pro účely správy. Volání instančních objektů nejsou blokovaná zásadami podmíněného přístupu vymezenými na uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
  • Pokud vaše organizace používá tyto účty ve skriptech nebo kódu, nahraďte je spravovanými identitami.

Template deployment

Organizace můžou tuto zásadu nasadit pomocí níže uvedených kroků nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Následující kroky vám pomůžou vytvořit zásadu podmíněného přístupu, která vyžaduje, aby tyto přiřazené role pro správu prováděly vícefaktorové ověřování. Některé organizace můžou být připraveny přejít na silnější metody ověřování pro správce. Tyto organizace se mohou rozhodnout zavést zásadu, jako je ta popsaná v článku Vyžadovat vícefaktorové ověřování odolné proti phishingu pro správce.

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce podmíněného přístupu.
2. Přejděte na Entra ID>podmíněný přístup>zásady.
3. Vyberte Nová zásada.
4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
5. V části Přiřazení vyberte Uživatelé nebo identity úloh.

   1. V části Zahrnout vyberte Role adresáře a zvolte alespoň dříve uvedené role.

      Varování

      Zásady podmíněného přístupu podporují předdefinované role. Zásady podmíněného přístupu se nevynucují pro jiné typy rolí, včetně administrativní jednotky v rozsahu nebo vlastních rolí.

   2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte nouzové přístupové účty nebo nouzové účty vaší organizace.

6. V části Cílové prostředky>(dříve cloudové aplikace)>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
7. V části Řízení přístupu>Udělení, vyberte Udělit přístup, Vyžadovat vícefaktorové ověřování a vyberte Vybrat.
8. Potvrďte nastavení a nastavte Povolit zásadupouze pro sestavy.
9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Po potvrzení nastavení pomocí režimu ovlivnění zásad nebo režimu pouze sestavy přesuňte přepínač Povolit zásadupouze ze sestavy do polohy Zapnuto.

Související obsah

• Předdefinované role Microsoft Entra
• Šablony podmíněného přístupu