Sdílet prostřednictvím

Vyžadování MFA pro správu Azure

  • Článek

Organizace používají mnoho služeb Azure a spravují je z nástrojů založených na Azure Resource Manageru, jako jsou:

  • portál Azure
  • Azure PowerShell
  • Azure CLI

Tyto nástroje můžou poskytovat vysoce privilegovaný přístup k prostředkům, které můžou provádět následující změny:

  • Alter subscription-wide configurations
  • Nastavení služby
  • Fakturace předplatného

Pokud chcete tyto privilegované prostředky chránit, Společnost Microsoft doporučuje požadovat vícefaktorové ověřování pro všechny uživatele, kteří k těmto prostředkům přistupují. V Microsoft Entra ID jsou tyto nástroje seskupené v sadě s názvem Rozhraní API pro správu služeb Windows Azure. Pro Azure Government by tato sada měla být aplikací API pro správu cloudu Azure Government.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje, doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo prolomení účtů, které brání uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři jsou všichni správci uzamčeni, váš účet pro správu tísňového volání se dá použít k přihlášení a provedení kroků pro obnovení přístupu.
  • Účty služeb a instanční objekty, jako je účet synchronizace Microsoft Entra Connect. Účty služby jsou neinteraktivní účty, které nejsou vázané na konkrétního uživatele. Obvykle je používají back-endové služby, které umožňují programový přístup k aplikacím, ale používají se také k přihlášení do systémů pro účely správy. Volání instančních objektů nebudou blokovaná zásadami podmíněného přístupu vymezenými pro uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
    • Pokud má vaše organizace tyto účty používané ve skriptech nebo kódu, zvažte jejich nahrazení spravovanými identitami.

Nasazení šablon

Organizace si můžou tuto zásadu nasadit pomocí kroků uvedených níže nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Následující postup vám pomůže vytvořit zásadu podmíněného přístupu, která vyžaduje uživatele, kteří přistupují k sadě rozhraní API služby Windows Azure Service Management, provádět vícefaktorové ověřování.

Upozornění

Než nastavíte zásadu pro správu přístupu k rozhraní API pro správu služeb Windows Azure, ujistěte se, že rozumíte tomu, jak podmíněný přístup funguje. Ujistěte se, že nevytvoříte podmínky, které by mohly blokovat vlastní přístup k portálu.

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte k zásadám podmíněného přístupu ochrany>>.
  3. Vyberte Možnost Nová zásada.
  4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
  5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
    1. V části Zahrnout vyberte Možnost Všichni uživatelé.
    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový přístup nebo prolomení účtů ve vaší organizaci.
  6. V části Cílové prostředky>(dříve cloudové aplikace)> Vyberte>prostředky, zvolte rozhraní API pro správu služeb Windows Azure a vyberte Vybrat.
  7. V části Řízení>přístupu Udělení, vyberte Udělit přístup, Vyžadovat vícefaktorové ověřování a vyberte Vybrat.
  8. Potvrďte nastavení a nastavte Povolit zásadu pouze pro sestavy.
  9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Jakmile správci potvrdí nastavení pomocí režimu jen pro sestavy, můžou přepnout zásadu Povolit pouze ze sestavy do polohy Zapnuto.

Další kroky

Šablony podmíněného přístupu

Pomocí režimu jen pro podmíněný přístup můžete určit výsledky nových rozhodnutí o zásadách.