Vyžadování MFA pro správu Azure

Organizace používají mnoho služeb Azure a spravují je z nástrojů založených na Azure Resource Manageru, jako jsou:

• Azure Portal
• Azure PowerShell
• Azure CLI (příkazový řádek nástroje Azure)

Tyto nástroje můžou poskytovat vysoce privilegovaný přístup k prostředkům, které můžou provádět následující změny:

• Změnit nastavení celé předplatné
• Nastavení služby
• Fakturace předplatného

Pokud chcete tyto privilegované prostředky chránit, Společnost Microsoft doporučuje požadovat vícefaktorové ověřování pro všechny uživatele, kteří k těmto prostředkům přistupují. V Microsoft Entra ID jsou tyto nástroje seskupené v sadě s názvem Rozhraní API pro správu služeb Windows Azure. Pro Azure Government by tato sada měla být aplikací API pro správu cloudu Azure Government.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme z vašich zásad vyloučit následující účty:

• Nouzový přístup nebo účty typu break-glass k zamezení uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři, kdy jsou všichni správci uzamčeni, můžete účet pro správu tísňového přístupu použít k přihlášení a obnovení přístupu.
  • Další informace najdete v článku Správa účtů pro nouzový přístup v Microsoft Entra ID.
• Účty služeb a služební principály, jako je účet synchronizace Microsoft Entra Connect. Účty služeb jsou neinteraktivní účty, které nejsou svázané s žádným konkrétním uživatelem. Obvykle je používají back-endové služby k povolení programového přístupu k aplikacím, ale používají se také k přihlášení k systémům pro účely správy. Volání instančních objektů nejsou blokovaná zásadami podmíněného přístupu vymezenými na uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
  • Pokud vaše organizace používá tyto účty ve skriptech nebo kódu, nahraďte je spravovanými identitami.

Template deployment

Organizace můžou tuto zásadu nasadit pomocí níže uvedených kroků nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Následující postup vám pomůže vytvořit zásadu podmíněného přístupu, která vyžaduje uživatele, kteří přistupují k sadě rozhraní API služby Windows Azure Service Management , provádět vícefaktorové ověřování.

Upozornění

Než nastavíte zásadu pro správu přístupu k rozhraní API pro správu služeb Windows Azure, ujistěte se, že rozumíte tomu, jak podmíněný přístup funguje. Ujistěte se, že nevytvoříte podmínky, které by mohly blokovat vlastní přístup k portálu.

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce podmíněného přístupu.
2. Přejděte na Entra ID>Podmíněný přístup>Zásady.
3. Vyberte Nová zásada.
4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
   1. V části Zahrnout vyberte Všichni uživatelé.
   2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte ve vaší organizaci účty pro nouzový přístup nebo účty pro mimořádné situace.
6. V části Cílové prostředky>Prostředky (dříve cloudové aplikace)>Vybrat>Prostředky, zvolte API pro správu služeb Windows Azure a vyberte Vybrat.
7. V části Řízení přístupu>Udělení vyberte Udělit přístup, Vyžadovat vícefaktorové ověřování a vyberte Vybrat.
8. Potvrďte nastavení a nastavte Povolení zásady na jen pro hlášení.
9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Po potvrzení nastavení pomocí režimu ovlivnění zásad nebo režimu pouze sestavy přesuňte přepínač Povolit zásadupouze ze sestavy do polohy Zapnuto.

Další kroky

Šablony podmíněného přístupu

Pomocí režimu jen pro podmíněný přístup můžete určit výsledky nových rozhodnutí o zásadách.