Sdílet prostřednictvím

Řešení potíží se zásadami podmíněného přístupu pomocí nástroje What If

Nástroj pro testování podmínek podmíněného přístupu vám pomůže pochopit výsledek politik podmíněného přístupu ve vašem prostředí. Může být užitečné při simulaci neobvyklých scénářů, což vám umožní navrhnout komplexnější zásady zabezpečení. Místo manuálního testování zásad s mnoha přihlášeními vám tento nástroj pomůže simulovat přihlášení pro uživatele nebo předmět služby. Simulace odhaduje, jak vaše zásady ovlivňují přihlašovací proces, a generuje zprávu.

Nástroj What If a rozhraní API umožňují rychle určit zásady, které platí pro konkrétního uživatele nebo instanční objekt s jedním tenantem. Pomocí těchto informací můžete řešit problémy, zjistit, které zásady se vztahují na konkrétní podmínky přihlašování, a otestovat složité scénáře přihlašování.

Jak to funguje

Nástroj podmíněného přístupu What If využívá API pro vyhodnocení Co kdyby. Pokud chcete nástroj použít, začněte konfigurací podmínek scénáře přihlašování, který chcete simulovat. Konfigurace by měla zahrnovat:

  • Instanční objekt uživatelské nebo tenanční služby, kterou chcete otestovat.
  • Cloudové aplikace, akce uživatele, které by se pokusily provést, nebo citlivá data chráněná kontextem ověřování, ke kterým by se pokusili získat přístup.
  • Podmínky přihlášení, za kterých se pokusíte o přístup.

Důležité

Nástroj What If netestuje závislosti služby podmíněného přístupu. Pokud například používáte what if k otestování zásad podmíněného přístupu pro Microsoft Teams, výsledek nebere v úvahu žádné zásady, které platí pro Office 365 Exchange Online, závislost služby podmíněného přístupu pro Microsoft Teams.

Pak spusťte simulaci, která vyhodnotí vaše nastavení. Do hodnotícího spuštění se zahrnou jenom zásady, které jsou povolené nebo pouze v režimu zpráv.

Po dokončení vyhodnocení nástroj vygeneruje zprávu ovlivněných zásad. Pokud chcete shromáždit další informace o zásadách podmíněného přístupu, použijte zprávy podle jednotlivých zásad podmíněného přístupu nebo pracovní sešit pro přehledy a zprávy o podmíněném přístupu pro podrobnosti o zásadách v režimu jen pro sestavy nebo aktuálně povolené.

Spuštění nástroje What If

Nástroj What If najdete v admin centru Microsoft Entra>Entra ID>Podmíněný přístup>Zásady>What If.

Snímek obrazovky stránky Zásady podmíněného přístupu s nástrojem 'Co kdyby' zvýrazněným na panelu nástrojů.

Pokud chcete spustit vyhodnocení typu Co kdyby, zadejte podmínky, které chcete vyhodnotit.

Podmínky

Jsou vyžadovány následující podmínky: identita, cílový prostředek, platforma zařízení a klientská aplikace. Všechny ostatní podmínky jsou volitelné a pokud není zadaná žádná hodnota, předpokládá se, že se ve výchozím nastavení nastaví na žádnou . Definice těchto podmínek najdete v článku Vytvoření zásady podmíněného přístupu.

Snímek obrazovky stránky Co kdyby zobrazující pole pro zadání podmínek.

Hodnocení

Spusťte vyhodnocení kliknutím na Co když. Výsledek vyhodnocení vám poskytne sestavu, obsahující:

  • Indikátor znázorňující, jestli ve vašem prostředí existují klasické zásady.
  • Zásady, které platí pro vaši uživatelskou nebo úlohovou identitu.
  • Zásady, které se nevztahují na vaši identitu uživatele nebo pracovní zátěž.

Snímek obrazovky s příkladem vyhodnocení zásad v nástroji What If zobrazující zásady, které by se použily

Seznam zásad, které platí, obsahuje také kontroly oprávnění a řízení relací, které musí být splněny.

Seznam zásad, které se nepoužívají, obsahuje důvody, proč se tyto zásady nevztahují. Pro každou uvedenou zásadu představuje důvod první podmínku, která nebyla splněna.

Obsahuje filtr , který označuje, jestli zásady mají filtry aplikací, které používají vlastní atributy zabezpečení.

Hlavní rozdíly mezi rozhraním API pro vyhodnocení možností "Co kdyby" a starší verzí.

Rozhraní API citlivostní analýzy je rozhraní Microsoft Graph API, které se volá prostředím podmíněného přístupu. Nástroj What If využívající rozhraní API what if je aktuálně ve verzi Public Preview. Rozhraní API se od tradičního vyhodnocování typu "What If" liší několika způsoby:

  1. Rozhraní What-if API je veřejné a plně podporované rozhraní API (jakmile bude API obecně dostupné). Rozhraní API je možné použít prostřednictvím uživatelského rozhraní podmíněného přístupu a rozhraní MS Graph API.
  2. Logika je v souladu s logikou ověřování použitou při přihlašování k zajištění přesnějšího vyhodnocení zásad.
  3. Rozhraní API pro analýzu typu "What-if" očekává, že pro vyhodnocení budou definovány všechny parametry přihlášení, aby poskytlo co nejpřesnější výsledky. Pokud má váš tenant zásady s konkrétními podmínkami a nejsou k dispozici podrobnosti o přihlášení pro tyto podmínky, rozhraní API what if nemůže tyto podmínky vyhodnotit.

Poznámka:

Pro specifikaci aplikace zadejte ID aplikace. Skupiny aplikací, jako jsou Office 365 nebo Portály pro správu Microsoftu, neodpovídají.

Příklady

Tento příklad zvýrazňuje klíčové rozdíly:

Předpokládejme, že máte zásady podmíněného přístupu s následující konfigurací:

  • Uživatel: Všichni uživatelé
  • Zdroj: Office 365
  • Umístění: Spojené státy americké
  • Riziko přihlášení: Vysoké
Příklad Parametry Výsledek založený na starší verzi vyhodnocení What If Výsledek založený na novém rozhraní API pro vyhodnocení typu "Co kdyby"
1 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb" Aplikuje Nedá se určit
2 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-00000000000" 		Aplikuje Nedá se určit
3 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-00000000000"
Location = "US"		 Aplikuje Aplikuje
4 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-00000000000"
 Location = "US"
 Riziko přihlášení = "Vysoká"
Aplikuje Aplikuje

Související obsah