Konfigurujte a povolte zásady rizik

V podmíněném přístupu Microsoft Entra můžete nastavit dva typy zásad rizik . Pomocí těchto zásad můžete automatizovat reakci na rizika, která uživatelům umožní samoobslužnou nápravu při zjištění rizika:

Varování

Nekombinujte rizika přihlašování a podmínky rizik uživatelů ve stejných zásadách podmíněného přístupu. Vytvořte samostatné zásady pro každou podmínku rizika.

Snímek obrazovky se zásadami podmíněného přístupu zobrazující riziko jako podmínky

Požadavky

  • Licence Microsoft Entra ID P2 nebo Sada služeb Microsoft Entra se vyžaduje pro plný přístup k funkcím microsoft Entra ID Protection.
  • Role Správce podmíněného přístupu je nejméně privilegovaná role potřebná k vytvoření nebo úpravě zásad podmíněného přístupu.

Volba přijatelných úrovní rizika

Organizace musí rozhodnout o úrovni rizika, u které chtějí vyžadovat řízení přístupu, a zároveň vyrovnávají stav zabezpečení a produktivitu uživatelů.

Volba použití řízení přístupu na vysoké úrovni rizika snižuje počet aktivací zásady a minimalizuje tření pro uživatele. Ze zásady ale vylučuje rizika nízká a střední, což útočníkovi nemusí bránit v zneužití ohrožené identity. Výběr střední a/nebo nízké úrovně rizika obvykle představuje více přerušení uživatele.

Nakonfigurovaná důvěryhodná síťová umístění používají služba Microsoft Entra ID Protection v některých detekcích rizik k omezení falešně pozitivních výsledků.

Náprava rizik

Organizace se můžou rozhodnout blokovat přístup, když se zjistí riziko. Blokování někdy znemožní legitimním uživatelům dělat to, co potřebují. Lepším řešením je nakonfigurovat zásady podmíněného přístupu založené na uživatelích a přihlašování , které uživatelům umožňují samoobslužnou nápravu.

Varování

Uživatelé se musí zaregistrovat pro vícefaktorové ověřování Microsoft Entra, aby se mohli setkat se situací vyžadující nápravu. U hybridních uživatelů, kteří jsou synchronizovaní z místního prostředí, musí být povolený zpětný zápis hesla. Uživatelé, kteří nejsou zaregistrovaní, jsou blokovaní a vyžadují zásah správce.

Změna hesla (znám své heslo a chci ho změnit na něco nového) mimo rámec nápravných opatření zásad pro rizikové uživatele nesplňuje požadavek na zabezpečenou změnu hesla.

Doporučení Microsoftu

Microsoft doporučuje, aby vaše organizace chránila následující konfigurace zásad rizik:

Zásady rizik uživatelů

Organizace by měly vybrat možnost Vyžadovat nápravu rizik , pokud je úroveň rizika uživatele vysoká. Pro uživatele bez hesla Microsoft Entra odvolá relace uživatele, aby se museli znovu autentizovat. Uživatelům s hesly se zobrazí výzva k dokončení zabezpečené změny hesla po úspěšném vícefaktorovém ověřování Microsoft Entra.

Pokud je vybrána možnost Vyžadovat nápravu rizika , použijí se automaticky dvě nastavení:

  • Vyžadovat sílu ověřování je automaticky vybráno jako řízení oprávnění.
  • Frekvence přihlášení – Pokaždé se automaticky použije jako ovládací prvek relace

Zásady rizik přihlašování

Vyžadovat vícefaktorové ověřování Microsoft Entra, pokud je úroveň rizika přihlášení střední nebo vysoká. Tato konfigurace umožňuje uživatelům prokázat, že je to oni pomocí jedné ze svých registrovaných metod ověřování a opravují riziko přihlášení.

Doporučujeme také zahrnout řízení relace frekvence přihlašování , které vyžaduje opětovné ověření rizikových přihlášení. Úspěšné "silné ověřování" obvykle prostřednictvím vícefaktorového ověřování nebo bez hesla je jediným způsobem, jak sami napravit riziko přihlašování bez ohledu na úroveň rizika rizika.

Povolit zásady

Organizace se můžou rozhodnout nasadit zásady založené na rizicích v podmíněném přístupu pomocí následujícího postupu nebo použít šablony podmíněného přístupu.

Než organizace povolí tyto zásady, měly by podniknout kroky k prozkoumání a nápravě aktivních rizik.

Výjimky z politik

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo účty pro pohotovostní použití, které zabraňují uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři, kdy jsou všichni správci uzamčeni, můžete účet pro správu tísňového přístupu použít k přihlášení a obnovení přístupu.
  • Servisní účty a servisní principály, jako je účet synchronizace Microsoft Entra Connect. Účty služeb jsou neinteraktivní účty, které nejsou svázané s žádným konkrétním uživatelem. Obvykle je používají back-endové služby k povolení programového přístupu k aplikacím, ale používají se také k přihlášení k systémům pro účely správy. Volání instančních objektů nejsou blokovaná zásadami podmíněného přístupu vymezenými na uživatele. Pomocí podmíněného přístupu pro identity pracovního zatížení definujte zásady, které cílují na služební principály.

Zásady rizik uživatelů v podmíněném přístupu

  1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce podmíněného přístupu.
  2. Přejděte do Entra ID>Podmíněný přístup.
  3. Vyberte Nová politika.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo pohotovostní účty vaší organizace.
    3. Vyberte Hotovo.
  6. V části Cílové prostředky>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  7. Pod Podmínky>rizika uživatele nastavte Konfigurovat na Ano.
    1. V části Konfigurovat úrovně rizik uživatelů potřebné k vynucení zásad vyberte Vysoká. Tyto pokyny vycházejí z doporučení Microsoftu a můžou se lišit pro každou organizaci.
    2. Vyberte Hotovo.
  8. V části Řízení přístupu>Udělení vyberte možnost Udělit přístup.
    1. Vyberte Vyžadovat nápravu rizika. Ovládací prvek Vyžadovat sílu ověření je automaticky vybrán. Zvolte sílu, která je vhodná pro vaši organizaci.
    2. Vyberte Vybrat.
  9. V části Relace se frekvence přihlášení – vždy automaticky aplikuje jako ovládací prvek relace a je povinná.
  10. Potvrďte nastavení a nastavte Výchozí zásadu na Pouze pro hlášení.
  11. Vyberte Vytvořit a vytvořte zásadu.

Po potvrzení nastavení pomocí režimu ovlivnění zásad nebo režimu pouze sestavy přesuňte přepínač Povolit zásadu z pouze sestavy do polohy Zapnuto.

Zásady rizik přihlašování v podmíněném přístupu

  1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce podmíněného přístupu.
  2. Přejděte do Entra ID>Podmíněný přístup.
  3. Vyberte Nová politika.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo pohotovostní účty vaší organizace.
    3. Vyberte Hotovo.
  6. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  7. V Podmínky.>Riziko přihlášení nastavte Konfigurovat na Ano.
    1. V části Vyberte úroveň rizika přihlášení, na které se tato zásada vztahuje, vyberte Vysoká a Střední. Tyto pokyny vycházejí z doporučení Microsoftu a můžou se lišit pro každou organizaci.
    2. Vyberte Hotovo.
  8. V části Řízení přístupu>Udělení vyberte možnost Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak ze seznamu vyberte integrovanou sílu vícefaktorového ověřování .
    2. Vyberte Vybrat.
  9. V části Sezení.
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybrána možnost Každý čas.
    3. Vyberte Vybrat.
  10. Potvrďte nastavení a nastavte Výchozí zásadu na Pouze pro hlášení.
  11. Vyberte Vytvořit pro vytvoření a povolení vaší zásady.

Po potvrzení nastavení pomocí režimu ovlivnění zásad nebo režimu jen pro sestavy přesuňte přepínač Povolit zásadu z režimu jen pro sestavy do polohy Zapnuto.

Scénáře bez hesla

Pro organizace, které přijímají metody ověřování bez hesla , proveďte následující změny:

Aktualizujte svou zásadu přihlašování bez hesla

  1. V části Uživatelé:
    1. Zahrňte uživatele a skupiny a zaměřte se na uživatele bez hesla.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo pohotovostní účty vaší organizace.
    3. Vyberte Hotovo.
  2. V části Cloudové aplikace nebo akce>Zahrnout vyberte Všechny prostředky (dříve Všechny cloudové aplikace).
  3. V Podmínky.>Riziko přihlášení nastavte Konfigurovat na Ano.
    1. V části Vyberte úroveň rizika přihlášení, na které se tato zásada vztahuje, vyberte Vysoká a Střední. Další informace o úrovních rizika najdete v tématu Volba přijatelných úrovní rizik.
    2. Vyberte Hotovo.
  4. V části Řízení přístupu>Udělení vyberte možnost Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak vyberte integrované bezheslové MFA nebo MFA odolné proti phishingu podle metody, kterou používají cíloví uživatelé.
    2. Vyberte Vybrat.
  5. V části Sekce:
    1. Vyberte frekvenci přihlášení.
    2. Ujistěte se, že je vybrána možnost Každý čas.
    3. Vyberte Vybrat.

Migrace zásad rizik do podmíněného přístupu

Pokud máte ve službě Microsoft Entra ID Protection povolené starší zásady rizik, měli byste je naplánovat migraci na podmíněný přístup:

Varování

Starší zásady rizik nakonfigurované ve službě Microsoft Entra ID Protection budou vyřazeny 1. října 2026.

Migrace na podmíněný přístup

  1. Vytvořte ekvivalentní zásady založené na riziku uživatelů a zásady založené na riziku přihlášení v Podmíněném přístupu v režimu pouze pro sestavy. Zásady můžete vytvořit pomocí předchozích kroků nebo pomocí šablon podmíněného přístupu na základě doporučení Microsoftu a požadavků vaší organizace.
    1. Jakmile správci potvrdí nastavení pomocí režimu pouze pro hlášení, mohou přepnout přepínač zásady Zapnout z Jen pro hlášení na Zapnuto.
  2. Zakažte staré zásady rizik v ochraně ID.
    1. Přejděte na ID ochrany>řídicí panel>. Vyberte zásady rizika uživatele nebo zásady rizika přihlašování.
    2. Nastavte možnost Vynutit zásadu na Zakázáno.
  3. V případě potřeby v podmíněném přístupu vytvořte další zásady rizik.

Nápověda a podpora pro migraci zásad rizik

Pokud potřebujete pomoc s migrací zásad rizik na podmíněný přístup, odešlete žádost o podporu v Centrum pro správu Microsoft Entra.

  1. V Centrum pro správu Microsoft Entra přejděte na Nový požadavek na podporu.
  2. Popište svůj problém: Migrace starších zásad ochrany ID
  3. Vyberte Microsoft Entra Přihlášení a vícefaktorové ověřování>Dalše.
  4. Vyberte Konfigurování nového nebo existujícího nastavení zásad>Další.
  5. Zavřete stránku řešení.
  6. Vyberte Vytvořit žádost o podporu.
  7. Pomocí následujících možností odešlete svůj požadavek správnému týmu.
    1. Typ problému: Technické.
    2. Typ služby: Microsoft Entra přihlášení a vícefaktorové ověřování.
    3. Shrnutí: Migrace starších zásad ochrany identifikace
    4. Typ problému: Identity Protection
    5. Podtyp problému: Konfigurace zásad rizik
  8. Vyberte Další a přejděte na kartu Další podrobnosti a vyplňte podrobnosti.
  9. Vyplňte požadované podrobnosti a odešlete žádost.

Související obsah

  • Last updated on