Požadovat soulad zařízení s podmíněným přístupem

Microsoft Intune a Microsoft Entra spolupracují na zabezpečení vaší organizace prostřednictvím zásad dodržování předpisů zařízením a podmíněného přístupu. Zásady dodržování předpisů zařízením zajišťují, aby uživatelská zařízení splňovala minimální požadavky na konfiguraci. Požadavky je možné vynutit, když uživatelé přistupuje ke službám chráněným zásadami podmíněného přístupu.

Některé organizace nemusí být připravené vyžadovat dodržování předpisů zařízením pro všechny uživatele. Tyto organizace se místo toho můžou rozhodnout nasadit následující zásady:

• Vyžadování kompatibilního zařízení nebo hybridního zařízení připojeného k Microsoft Entra pro správce
• Vyžadování vyhovujícího zařízení, hybridního zařízení připojeného k Microsoft Entra nebo vícefaktorového ověřování pro všechny uživatele
• Blokování neznámých nebo nepodporovaných platforem zařízení
• Zakázání trvalosti prohlížeče

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme z vašich zásad vyloučit následující účty:

• Nouzový přístup nebo nouzové účty, které zabraňují uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři, kdy jsou všichni správci uzamčeni, můžete účet pro správu tísňového přístupu použít k přihlášení a obnovení přístupu.
  • Další informace najdete v článku Správa účtů pro nouzový přístup v Microsoft Entra ID.
• Servisní účty a principály služby, jako je účet synchronizace Microsoft Entra Connect. Účty služeb jsou neinteraktivní účty, které nejsou svázané s žádným konkrétním uživatelem. Obvykle je používají back-endové služby k povolení programového přístupu k aplikacím, ale používají se také k přihlášení k systémům pro účely správy. Volání instančních objektů nejsou blokovaná zásadami podmíněného přístupu vymezenými na uživatele. Pomocí podmíněného přístupu pro identity úloh definujte zásady, které cílí na instanční objekty.
  • Pokud vaše organizace používá tyto účty ve skriptech nebo kódu, nahraďte je spravovanými identitami.

Template deployment

Organizace můžou tuto zásadu nasadit pomocí níže uvedených kroků nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Následující kroky vám pomůžou vytvořit zásadu podmíněného přístupu, která vyžaduje, aby zařízení, která přistupují k prostředkům, byla označena jako kompatibilní se zásadami dodržování předpisů v Intune vaší organizace.

Varování

Bez zásad dodržování předpisů vytvořených v Microsoft Intune nebudou tyto zásady podmíněného přístupu fungovat podle očekávání. Nejprve vytvořte zásadu dodržování předpisů a před pokračováním se ujistěte, že máte aspoň jedno vyhovující zařízení.

1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
2. Přejděte na Entra ID>Podmíněný přístup>Zásady.
3. Vyberte Nová zásada.
4. Pojmenujte zásadu. Doporučujeme, aby organizace vytvořily smysluplný standard pro názvy zásad.
5. V části Přiřazení vyberte Uživatelé nebo identity úloh.
   1. V části Zahrnout vyberte Všichni uživatelé.
   2. V části Vyloučit:
      1. Vyberte Uživatelé a skupiny
         1. Zvolte nouzové přístupové nebo „break-glass“ účty vaší organizace.
         2. Pokud používáte hybridní řešení identity, jako je Microsoft Entra Connect nebo Microsoft Entra Connect Cloud Sync, vyberte role adresáře, poté vyberte účty synchronizace adresářů
6. V části > vyberte >
7. V části Řízení přístupu>Udělení.
   1. Vyberte Vyžadovat, aby zařízení bylo označené jako vyhovující.
   2. Zvolte Zvolit.
8. Potvrďte nastavení a nastavte Zapnout zásadu na Pouze pro sestavy.
9. Pokud chcete zásadu povolit, vyberte Vytvořit .

Po potvrzení nastavení pomocí režimu ovlivnění zásad nebo režimu pouze sestavy přesuňte přepínač Povolit zásadupouze ze sestavy do polohy Zapnuto.

Poznámka:

Nová zařízení můžete zaregistrovat do Intune, i když pomocí předchozích kroků vyberete Vyžadovat, aby zařízení bylo označené jako vyhovující všem uživatelům a všem prostředkům (dříve Všechny cloudové aplikace). Vyžadovat, aby zařízení bylo označené jako vyhovující, neblokuje registraci do Intune.

Podobně, nastavení vyžaduje, aby zařízení bylo označeno jako vyhovující, neblokuje přístup aplikace Microsoft Authenticator k rozsahu UserAuthenticationMethod.Read. Authenticator potřebuje přístup k oboru UserAuthenticationMethod.Read během registrace Authenticatoru, aby mohl určit, které přihlašovací údaje může uživatel nakonfigurovat. Authenticator potřebuje přístup k UserAuthenticationMethod.ReadWrite pro registraci přihlašovacích údajů, což neobejde kontrolu požadavku na vyhovující zařízení.

Známé chování

V iOSu, Androidu, macOS a některých webových prohlížečích jiných společností než Microsoft identifikuje Microsoft Entra ID zařízení pomocí klientského certifikátu, který je zřízený při registraci zařízení v Microsoft Entra ID. Když se uživatel poprvé přihlásí přes prohlížeč, zobrazí se výzva k výběru certifikátu. Koncový uživatel musí tento certifikát vybrat, aby mohl dál používat prohlížeč.

Scénáře B2B

Pro organizace, kterým důvěřujete a se kterými máte vztah, můžete důvěřovat jejich deklaracím o shodě zařízení. Pokud chcete toto nastavení nakonfigurovat, přečtěte si článek Správa nastavení přístupu mezi tenanty pro spolupráci B2B.

Aktivace předplatného

Organizace, které používají funkci Aktivace předplatného, umožňují uživatelům "krokovat" z jedné verze Windows do jiné, můžou chtít vyloučit Windows Store pro firmy, AppID 45a30b1-b1ec-4cc1-9161-9f03992aa49f ze zásad dodržování předpisů zařízením.

Související obsah

• Zjistěte, jak vytvořit zásady dodržování předpisů v Microsoft Intune.
• Přečtěte si o ovládacích prvcích udělení podmíněného přístupu.
• Zjistěte, jak nakonfigurovat nastavení přístupu mezi tenanty.