Běžné zásady podmíněného přístupu: Vyžadovat kompatibilní nebo hybridní Azure AD připojené zařízení pro správce

Na účty, kterým jsou přiřazena práva správce, cílí útočníci. Vyžadovat, aby uživatelé s těmito vysoce privilegovanými právy prováděli akce ze zařízení označených jako kompatibilní nebo hybridní Azure AD připojeni, může pomoct omezit možné vystavení.

Další informace o zásadách dodržování předpisů zařízením najdete v článku Nastavení pravidel na zařízeních pro povolení přístupu k prostředkům ve vaší organizaci pomocí Intune

Vyžadování hybridního Azure AD připojeného zařízení závisí na tom, že vaše zařízení už jsou připojená k hybridnímu Azure AD. Další informace najdete v článku Konfigurace hybridního Azure AD připojení.

Microsoft doporučuje, abyste tuto zásadu povolili minimálně pro následující role na základě doporučení skóre identit:

  • Globální správce
  • Správce aplikace
  • Správce ověřování
  • Správce fakturace
  • Správce cloudových aplikací
  • Správce podmíněného přístupu
  • Správce Exchange
  • Správce helpdesku
  • Správce hesel
  • Správce privilegovaného ověřování
  • Správce privilegovaných rolí
  • Správce zabezpečení
  • Správce SharePointu
  • Správce uživatelů

Organizace se můžou rozhodnout zahrnout nebo vyloučit role podle potřeby.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme ze zásad vyloučit následující účty:

  • Nouzový přístup nebo prolomení účtů, aby se zabránilo uzamčení účtu v rámci celého tenanta. V nepravděpodobném scénáři jsou všichni správci uzamčeni z vašeho tenanta, váš účet pro správu s nouzovým přístupem se dá použít k přihlášení k tenantovi a provedení kroků k obnovení přístupu.
  • Účty služeb a instanční objekty, jako je účet synchronizace Azure AD Connect. Účty služeb jsou neinteraktivní účty, které nejsou vázané na žádného konkrétního uživatele. Obvykle je používají back-endové služby, které umožňují programový přístup k aplikacím, ale používají se také k přihlašování k systémům pro účely správy. Účty služeb, jako jsou tyto, by měly být vyloučené, protože vícefaktorové ověřování nejde dokončit programově. Volání provedená instančními objekty nejsou podmíněným přístupem blokována.
    • Pokud má vaše organizace tyto účty používané ve skriptech nebo kódu, zvažte jejich nahrazení spravovanými identitami. Jako dočasné alternativní řešení můžete tyto konkrétní účty vyloučit ze zásad směrného plánu.

Nasazení šablon

Organizace se mohou rozhodnout, že tuto zásadu nasadí pomocí níže uvedených kroků nebo pomocí šablon podmíněného přístupu (Preview).

Vytvoření zásad podmíněného přístupu

Následující kroky vám pomůžou vytvořit zásadu podmíněného přístupu, která bude vyžadovat vícefaktorové ověřování, zařízení přistupující k prostředkům budou označená jako vyhovující zásadám dodržování Intune vaší organizace nebo budou hybridní Azure AD připojená.

  1. Přihlaste se k Azure Portal jako správce podmíněného přístupu, správce zabezpečení nebo globální správce.
  2. Přejděte naPodmíněný přístupzabezpečení>Služby Azure Active Directory>.
  3. Vyberte Nová zásada.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy svých zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Role adresáře a zvolte předdefinované role, jako jsou:

      • Globální správce
      • Správce aplikace
      • Správce ověřování
      • Správce fakturace
      • Správce cloudových aplikací
      • Správce podmíněného přístupu
      • Správce Exchange
      • Správce helpdesku
      • Správce hesel
      • Správce privilegovaného ověřování
      • Správce privilegovaných rolí
      • Správce zabezpečení
      • Správce SharePointu
      • Správce uživatelů

      Upozornění

      Zásady podmíněného přístupu podporují předdefinované role. Zásady podmíněného přístupu se nevynucují pro jiné typy rolí, včetně rolí s oborem jednotek pro správu nebo vlastních rolí.

    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty tísňového volání nebo účty tísňového volání vaší organizace.

  6. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny cloudové aplikace.
  7. V části Řízení> přístupuUdělit.
    1. Vyberte Vyžadovat označení zařízení jako vyhovující a Vyžadovat hybridní Azure AD připojené zařízení.
    2. U více ovládacích prvků vyberte Vyžadovat jeden z vybraných ovládacích prvků.
    3. Vyberte Vybrat.
  8. Potvrďte nastavení a nastavte Povolit zásadu na Pouze sestavy.
  9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Po potvrzení nastavení v režimu jen sestavy může správce přepnout přepínač Povolit zásady z možnosti Jen sestavy na Zapnuto.

Poznámka

Nová zařízení můžete zaregistrovat do Intune, i když pomocí výše uvedeného postupu vyberete Vyžadovat, aby zařízení bylo označené jako vyhovující všem uživatelům a Všem cloudovým aplikacím. Vyžadovat, aby zařízení bylo označeno jako vyhovující, neblokuje Intune registraci.

Známé chování

Ve Windows 7, iOS, Androidu, macOS a některých webových prohlížečích třetích stran Azure AD identifikuje zařízení pomocí klientského certifikátu, který se zřídí, když je zařízení zaregistrované u Azure AD. Když se uživatel poprvé přihlásí přes prohlížeč, zobrazí se výzva k výběru certifikátu. Koncový uživatel musí tento certifikát vybrat, aby mohl dál používat prohlížeč.

Aktivace předplatného

Organizace, které pomocí funkce Aktivace předplatného umožňují uživatelům "krokovat" z jedné verze Windows do jiné, můžou chtít ze svých zásad dodržování předpisů pro zařízení vyloučit rozhraní API služby Universal Store a webovou aplikaci AppID 45a330b1-b1ec-4cc1-9161-9f03992aa49f.

Další kroky

Běžné zásady podmíněného přístupu

Určení dopadu pomocí režimu jenom sestavy podmíněného přístupu

Simulace chování přihlašování pomocí nástroje Podmíněný přístup What If

Zásady dodržování předpisů zařízením fungují s Azure AD