Striktně vynucujte zásady umístění pomocí průběžného vyhodnocování přístupu (náhled)

Přehled

Přísné vynucení zásad umístění je nový režim pro nepřetržité vyhodnocování přístupu (CAE), který se používá v zásadách podmíněného přístupu. Tento nový režim poskytuje ochranu prostředků a okamžitě zastavuje přístup, pokud zásady podmíněného přístupu nepovolují IP adresu zjištěnou poskytovatelem prostředků. Tato možnost představuje nejvyšší úroveň zabezpečení vynucení umístění CAE a vyžaduje, aby správci pochopili směrování požadavků na autentizaci a přístup ve svém síťovém prostředí. Informace o tom, jak klienti a poskytovatelé prostředků podporující CAE, jako je e-mailový klient Outlooku a Exchange Online, vyhodnocují změny polohy, najdete v tématu Úvod k průběžnému vyhodnocování přístupu .

Režim vynucování polohy	Doporučená síťová topologie	Pokud IP adresa zjištěná zdrojem není v seznamu povolených adres	Zaměstnanecké výhody	Konfigurace
Standardní (výchozí)	Vhodné pro všechny topologie	Krátkodobý token se vydá jenom v případě, že ID Microsoft Entra zjistí povolenou IP adresu. Jinak je přístup zablokovaný.	Vrátí se do režimu detekce umístění před nasazením CAE ve sítích s rozděleným tunelovým propojením, kde by vynucení CAE ovlivnilo produktivitu. CAE stále vynucuje jiné zásady a události.	Žádné (výchozí nastavení)
Zásady přísného vynucování lokací	Výchozí IP adresy jsou vyhrazené a vyčíslitelné jak pro MICROSOFT Entra ID, tak pro veškerý provoz poskytovatele prostředků.	Přístup je zablokovaný	Nejbezpečnější, ale vyžaduje dobře pochopitelné síťové cesty	1. Otestujte předpoklady IP adres s malým počtem obyvatel. 2. V části Řízení relací povolte "Přísné vynucování".

Konfigurace zásad přísně vynucených pro umístění

Krok 1 - Konfigurace zásad podmíněného přístupu na základě umístění pro cílové uživatele

Než správci vytvoří zásady podmíněného přístupu vyžadující přísné vynucení umístění, musí mít jistotu při používání zásad, jako jsou ty popsané v zásadách podmíněného přístupu založených na umístění. Než budete pokračovat k dalšímu kroku, otestujte zásady podobné této s podmnožině uživatelů. Testování před povolením striktního vynucování pomáhá správcům vyhnout se nesrovnalostem mezi povolenými a skutečnými IP adresami, které během ověřování vidí Microsoft Entra ID.

Krok 2 – Testování zásad pro malou podmnožinu uživatelů

Snímek obrazovky zobrazující zásadu podmíněného přístupu s povolenou možností Přísně vynucovat zásady pro umístění.

Po nastavení zásad vyžadujících přísné vynucení umístění u podmnožiny testovacích uživatelů ověřte testovací prostředí pomocí filtru IP adresa (viděno prostředkem) v protokolech přihlášení do Microsoft Entra. Toto ověřování umožňuje správcům najít scénáře, kdy vynucená přísná politika umístění může blokovat uživatele s nepovolenou IP adresou, kterou rozpoznal poskytovatel prostředků s podporou CAE.

Než správci zapínají zásady podmíněného přístupu vyžadující přísné vynucování polohy, měli by:

• Zajistěte, aby veškerý provoz ověřování směrem k Microsoft Entra ID a přístupový provoz k poskytovatelům prostředků pocházel z vyhrazených známých odchozích IP adres.
  • Například Exchange Online, Teams, SharePoint Online a Microsoft Graph
• Ujistěte se, že všechny IP adresy, ze kterých mohou jejich uživatelé přistupovat k Microsoft Entra ID a k poskytovatelům prostředků, jsou zahrnuty v jejich pojmenovaných umístěních založených na IP adresách.
• Ujistěte se, že neodesílají provoz do aplikací mimo Microsoft 365 prostřednictvím globálního zabezpečeného přístupu.
  • Obnovení zdrojových IP adres není u těchto aplikací mimo Microsoft 365 podporované. Povolení přísného vynucování polohy pomocí Global Secure Access blokuje přístup, i když se uživatel nachází v důvěryhodné lokalitě IP.
• Zkontrolujte jejich zásady podmíněného přístupu a ujistěte se, že nemají žádné zásady, které nepodporují CAE. Další informace najdete v části Zásady podmíněného přístupu podporované CAE.

Pokud správci toto ověření neprovedou, můžou mít negativní dopad na uživatele. Pokud je provoz směrem k Microsoft Entra ID nebo podporovanému prostředku CAE prostřednictvím sdílené nebo nedefinovatelné odchozí IP adresy, nepovolujte v zásadách podmíněného přístupu přísné vynucení umístění.

Krok 3: Použijte pracovní sešit CAE k identifikaci IP adres, které by se měly přidat do pojmenovaných míst.

Pokud jste to ještě neudělali, vytvořte nový sešit v Azure pomocí veřejné šablony "Continuous Access Evaluation Insights" k identifikaci neshod IP adres mezi IP adresou, jak je viděna systémem Microsoft Entra ID, a IP adresou (jak ji vidí prostředek). V tomto případě můžete mít konfiguraci sítě s rozděleným tunelem. Pokud chcete zajistit, aby vaši uživatelé nebyli omylem uzamčeni, když je povolené přísné vynucování polohy, měli by správci:

• Prozkoumejte a identifikujte všechny IP adresy identifikované v sešitu CAE.

• Přidejte veřejné IP adresy přidružené ke známým výstupním bodům organizace do jejich definovaných pojmenovaných umístění.

  

  Následující snímek obrazovky ukazuje příklad přístupu klienta k blokovaným prostředkům. Tento blok je způsoben zásadami, které vyžadují vynucení striktního umístění CAE, což způsobí zrušení relace klienta.

  

  Toto chování je možné ověřit v protokolech přihlašování. Vyhledejte IP adresu (zobrazenou prostředkem) a zvažte přidání této IP adresy do pojmenovaných umístění, pokud se u uživatelů vyskytují neočekávané blokace prostřednictvím podmíněného přístupu.

  

  Další podrobnosti o blokovaných událostech přihlašování najdete na kartě Podrobnosti o zásadách podmíněného přístupu .

  

Krok 4 – pokračování v nasazení

Opakujte kroky 2 a 3 s rozšiřujícími se skupinami uživatelů, dokud nejsou přísně uplatněny zásady umístění pro cílovou skupinu uživatelů. Pečlivě zavádějte, abyste se vyhnuli dopadu na uživatelský zážitek.

Řešení potíží s protokoly přihlašování

Správci můžou prozkoumat protokoly přihlášení a najít případy s IP adresou (zobrazenou prostředkem).

1. Přihlaste se do Centra pro správu Microsoft Entra alespoň jako čtenář sestav.
2. Přejděte do Entra ID>Monitorování a stavu>Protokoly přihlášení.
3. Přidejte filtry a sloupce, abyste našli události a odebrali nepotřebné informace.

   1. Přidejte sloupec IP adresy (vidět podle prostředku) a vyfiltrujte všechny prázdné položky, aby se rozsah zúžil. IP adresa (jak ji zobrazuje zdroj) je prázdná, pokud IP adresa viděná ID Microsoft Entra odpovídá adrese viděné zdrojem.

      

      IP adresa (jak je vidět zdrojem) obsahuje filtr, který není prázdný, což je vidět na následujících příkladech:

Počáteční ověřování

1. Ověření je úspěšné pomocí tokenu CAE.

   

2. IP adresa (zobrazená prostředkem) se liší od IP adresy, kterou vidí Microsoft Entra ID. I když je IP adresa zobrazená prostředkem známá, není k dispozici žádné vynucení, dokud prostředek nepřesměruje uživatele na opětovné hodnocení IP adresy, kterou prostředek vidí.

   

3. Ověřování Microsoft Entra je úspěšné, protože na úrovni prostředku není použito striktní prosazení polohových pravidel.

   

Přesměrování prostředků pro opětovné hodnocení

1. Ověřování selže a token CAE se nevystaví.

   

2. IP adresa (zobrazená prostředkem) se liší od IP adresy, kterou vidí Microsoft Entra ID.

   

3. Ověřování selže, protože IP adresa (zobrazená prostředkem) není známé pojmenované umístění v Podmíněném přístupu.

   

Související obsah

• Přečtěte si o průběžném vyhodnocování přístupu v Microsoft Entra ID.
• Prozkoumejte výzvy nároků, požadavky na nároky a schopnosti klienta.
• Zjistěte , jak ve svých aplikacích používat rozhraní API s povoleným průběžným vyhodnocováním přístupu.
• Zjistěte, jak monitorovat přihlášení a řešit potíže s průběžným vyhodnocováním přístupu.