Sdílet prostřednictvím

Konfigurace a povolení zásad rizik

  • Článek

V podmíněném přístupu Microsoft Entra můžete nastavit dva typy zásad rizik. Pomocí těchto zásad můžete automatizovat reakci na rizika, která uživatelům umožní samoobslužnou nápravu při zjištění rizika:

Snímek obrazovky se zásadami podmíněného přístupu zobrazující riziko jako podmínky

Volba přijatelných úrovní rizika

Organizace musí rozhodnout o úrovni rizika, kterou chtějí vyžadovat řízení přístupu při vyrovnávání uživatelského prostředí a stavu zabezpečení.

Volba použití řízení přístupu na vysoké úrovni rizika snižuje počet aktivací zásady a minimalizuje tření pro uživatele. Z zásady ale vylučuje rizika s nízkými a středními riziky, která by útočníkovi nemusela bránit v zneužití ohrožené identity. Výběr nízké úrovně rizika, která vyžaduje řízení přístupu, zavádí více přerušení uživatelů.

Nakonfigurovaná důvěryhodná síťová umístění používají služba Microsoft Entra ID Protection v některých detekcích rizik k omezení falešně pozitivních výsledků.

Konfigurace zásad, které následují, zahrnují řízení relace frekvence přihlašování, které vyžaduje opětovné ověření rizikových uživatelů a přihlášení.

Doporučení Microsoftu

Microsoft doporučuje, aby vaše organizace chránila následující konfigurace zásad rizik:

  • Zásady rizik uživatelů
    • Vyžadovat bezpečnou změnu hesla, pokud je úroveň rizika uživatele vysoká. Před vytvořením nového hesla se vyžaduje vícefaktorové ověřování Microsoft Entra, aby uživatel mohl vytvořit nové heslo se zpětným zápisem hesla pro nápravu rizika.
  • Zásady rizik přihlašování
    • Vyžadovat vícefaktorové ověřování Microsoft Entra, pokud je úroveň rizika přihlášení střední nebo vysoká, což uživatelům umožňuje prokázat, že je to oni pomocí jedné ze svých registrovaných metod ověřování a opraví riziko přihlášení.

Vyžadování řízení přístupu v případech, kdy je úroveň rizika nízká, představuje větší tření a přerušení uživatele než střední nebo vysoká. Volba blokování přístupu místo povolení možností samoobslužné nápravy, jako je změna zabezpečeného hesla a vícefaktorové ověřování, ovlivní vaše uživatele a správce ještě více. Při konfiguraci zásad zvažte tyto volby.

Náprava rizik

Organizace se můžou rozhodnout blokovat přístup, když se zjistí riziko. Blokování někdy znemožní legitimním uživatelům dělat to, co potřebují. Lepším řešením je nakonfigurovat zásady podmíněného přístupu založené na uživatelích a přihlašování , které uživatelům umožňují samoobslužnou nápravu.

Upozorňující

Uživatelé se musí zaregistrovat pro vícefaktorové ověřování Microsoft Entra, aby se mohli setkat se situací vyžadující nápravu. U hybridních uživatelů, kteří jsou synchronizovaní z místního prostředí, musí být povolený zpětný zápis hesla. Uživatelé, kteří nejsou zaregistrovaní, jsou blokovaní a vyžadují zásah správce.

Změna hesla (vím heslo a chci ho změnit na něco nového) mimo rizikový tok nápravy zásad uživatele nesplňuje požadavek na zabezpečenou změnu hesla.

Povolení zásad

Organizace se můžou rozhodnout nasadit zásady založené na rizicích v podmíněném přístupu pomocí následujícího postupu nebo použít šablony podmíněného přístupu.

Než organizace povolí tyto zásady, měly by podniknout kroky k prozkoumání a nápravě aktivních rizik.

Vyloučení zásad

Zásady podmíněného přístupu jsou výkonné nástroje, doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo prolomení účtů, které brání uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři jsou všichni správci uzamčeni, váš účet pro správu tísňového volání se dá použít k přihlášení a provedení kroků pro obnovení přístupu.
  • Účty služeb a instanční objekty, jako je účet synchronizace Microsoft Entra Connect. Účty služby jsou neinteraktivní účty, které nejsou vázané na konkrétního uživatele. Obvykle je používají back-endové služby, které umožňují programový přístup k aplikacím, ale používají se také k přihlášení do systémů pro účely správy. Volání instančních objektů nebudou blokovaná zásadami podmíněného přístupu vymezenými pro uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
    • Pokud má vaše organizace tyto účty používané ve skriptech nebo kódu, zvažte jejich nahrazení spravovanými identitami.

Zásady rizik uživatelů v podmíněném přístupu

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte k podmíněnému přístupu k ochraně>.
  3. Vyberte Možnost Nová zásada.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Možnost Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo prolomení účtů ve vaší organizaci.
    3. Vyberte Hotovo.
  6. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  7. V případě rizika uživatele podmínek>nastavte možnost Konfigurovat na hodnotu Ano.
    1. V části Konfigurovat úrovně rizik uživatelů potřebné k vynucení zásad vyberte Vysoká. Tyto pokyny vycházejí z doporučení Microsoftu a můžou se lišit pro každou organizaci.
    2. Vyberte Hotovo.
  8. V části Řízení>přístupu udělte možnost Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak ze seznamu vyberte integrovanou sílu vícefaktorového ověřování .
    2. Vyberte Vyžadovat změnu hesla.
    3. Zvolte Zvolit.
  9. V části Relace.
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybrána vždy .
    3. Zvolte Zvolit.
  10. Potvrďte nastavení a nastavte Povolit zásadu pouze pro sestavy.
  11. Pokud chcete zásadu povolit, vyberte Vytvořit .

Jakmile správci potvrdí nastavení pomocí režimu jen pro sestavy, můžou přepnout zásadu Povolit pouze ze sestavy do polohy Zapnuto.

Scénáře bez hesla

Pro organizace, které přijímají metody ověřování bez hesla, proveďte následující změny:

Aktualizace zásad rizik uživatelů bez hesel

  1. V části Uživatelé:
    1. Zahrňte uživatele a skupiny a zaměřte se na uživatele bez hesla.
  2. V části Řízení>přístupu Zablokuje přístup pro uživatele bez hesla.

Tip

Při nasazování metod bez hesel možná budete muset mít po určitou dobu dvě zásady.

  • Ten, který umožňuje samoobslužnou nápravu pro ty, kteří nepoužívají metody bez hesla.
  • Další, která blokuje uživatele bez hesel s vysokým rizikem.

Náprava a odblokování rizika uživatelů bez hesla

  1. Vyžadovat šetření správce a nápravu jakéhokoli rizika.
  2. Odblokujte uživatele.

Zásady rizik přihlašování v podmíněném přístupu

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte k podmíněnému přístupu k ochraně>.
  3. Vyberte Možnost Nová zásada.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Možnost Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo prolomení účtů ve vaší organizaci.
    3. Vyberte Hotovo.
  6. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  7. V rámci rizika přihlášení pod podmínkami>nastavte možnost Konfigurovat na ano.
    1. V části Vyberte úroveň rizika přihlášení, na které se tato zásada vztahuje, vyberte Vysoká a Střední. Tyto pokyny vycházejí z doporučení Microsoftu a můžou se lišit pro každou organizaci.
    2. Vyberte Hotovo.
  8. V části Řízení>přístupu udělte možnost Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak ze seznamu vyberte integrovanou sílu vícefaktorového ověřování .
    2. Zvolte Zvolit.
  9. V části Relace.
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybrána vždy .
    3. Zvolte Zvolit.
  10. Potvrďte nastavení a nastavte Povolit zásadu pouze pro sestavy.
  11. Pokud chcete zásadu povolit, vyberte Vytvořit .

Jakmile správci potvrdí nastavení pomocí režimu jen pro sestavy, můžou přepnout zásadu Povolit pouze ze sestavy do polohy Zapnuto.

Scénáře bez hesla

Pro organizace, které přijímají metody ověřování bez hesla, proveďte následující změny:

Aktualizace zásad rizik bez hesla

  1. V části Uživatelé:
    1. Zahrňte uživatele a skupiny a zaměřte se na uživatele bez hesla.
  2. V části Vyberte úroveň rizika přihlášení, na které se tato zásada bude vztahovat, vyberte Vysoká.
  3. V části Řízení>přístupu Zablokuje přístup pro uživatele bez hesla.

Tip

Při nasazování metod bez hesel možná budete muset mít po určitou dobu dvě zásady.

  • Ten, který umožňuje samoobslužnou nápravu pro ty, kteří nepoužívají metody bez hesla.
  • Další, která blokuje uživatele bez hesel s vysokým rizikem.

Náprava a odblokování rizika bez hesla

  1. Vyžadovat šetření správce a nápravu jakéhokoli rizika.
  2. Odblokujte uživatele.

Migrace zásad rizik do podmíněného přístupu

Pokud máte ve službě Microsoft Entra ID Protection povolené starší zásady rizik, měli byste je naplánovat migraci na podmíněný přístup:

Upozorňující

Starší zásady rizik nakonfigurované ve službě Microsoft Entra ID Protection budou vyřazeny 1. října 2026.

Migrace na podmíněný přístup

  1. Vytvořte ekvivalentní zásady založené na rizikech uživatelů a zásady založené na přihlášení v režimu jen pro podmíněný přístup v režimu jen pro sestavy. Zásady můžete vytvořit pomocí předchozích kroků nebo pomocí šablon podmíněného přístupu na základě doporučení Microsoftu a požadavků vaší organizace.
    1. Jakmile správci potvrdí nastavení pomocí režimu jen pro sestavy, můžou přepnout zásadu Povolit pouze ze sestavy do polohy Zapnuto.
  2. Zakažte staré zásady rizik v ochraně ID.
    1. Přejděte na ochranu>Identity Protection>– Vyberte riziko uživatele nebo zásady rizik přihlašování.
    2. Nastavte možnost Vynutit zásadu na Zakázáno.
  3. V případě potřeby v podmíněném přístupu vytvořte další zásady rizik.

Související obsah