Běžné dotazy týkající se požadavků na zabezpečení partnerů

Všichni partneři v programu CSP (přímý účet, nepřímý poskytovatel a nepřímý prodejce), Poradci a Ovládací panely Dodavatelé musí splňovat požadavky.

1. Vynucení vícefaktorového ověřování pro všechny uživatele

   Všichni partneři v programu CSP, Poradci a dodavatelé Ovládací panely musí vynutit vícefaktorové ověřování pro všechny uživatele v partnerském tenantovi.

   Další aspekty:

   • Nepřímí poskytovatelé musí spolupracovat s nepřímými prodejci, aby se mohli připojit k Partnerskému centru, pokud to ještě neudělali, a povzbuzovat jejich prodejce, aby splnili požadavky.
   • Vícefaktorové ověřování Microsoft Entra je k dispozici uživatelům v partnerském tenantovi bez poplatků prostřednictvím výchozích hodnot zabezpečení Microsoft Entra s jedinou metodou ověřování ověřovací aplikace, která podporuje časová jednorázová hesla (TOTP).
   • Další metody ověřování jsou k dispozici prostřednictvím skladových položek Microsoft Entra P1 nebo P2 , pokud jsou vyžadovány jiné metody, jako je telefonní hovor nebo textová zpráva.
   • Partneři také můžou při přístupu ke komerčním cloudovým službám Microsoftu použít řešení MFA třetí strany pro každý účet.

2. Přijetí architektury zabezpečeného aplikačního modelu

   Partneři, kteří vyvinuli vlastní integraci pomocí libovolného rozhraní API (jako je Azure Resource Manager, Microsoft Graph, rozhraní API partnerského centra atd.), nebo implementují vlastní automatizaci pomocí nástrojů, jako je PowerShell, musí přijmout architekturu zabezpečeného aplikačního modelu pro integraci s cloudovými službami Microsoftu. Pokud to neuděláte, může dojít k přerušení kvůli nasazení vícefaktorového ověřování.

   Následující zdroje informací poskytují přehled a pokyny k přijetí modelu.

   • Přehled zabezpečeného aplikačního modelu
   • Partnerské centrum: Průvodce zabezpečeným aplikačním modelem
   • Partneři v programu CSP: Ukázkový kód .NET pro povolení zabezpečeného aplikačního modelu
   • Dokument pro ověřování v Partnerském centru
   • Dokument vícefaktorového ověřování PowerShellu v Partnerském centru

   Pokud používáte ovládací panely týkající se přijetí architektury Zabezpečeného aplikačního modelu, obraťte se na dodavatele.

   Dodavatelé ovládacích panelů se vyžadují k onboardingu do Partnerského centra jako dodavatelé ovládacích panelů a k okamžitému zahájení implementace tohoto požadavku. Projděte si Partnerské centrum: Architektura zabezpečeného aplikačního modelu.

   Dodavatelé ovládacích panelů musí místo přihlašovacích údajů přijmout a spravovat souhlas partnerů CSP a vyprázdnit všechny přihlašovací údaje stávajících partnerů CSP.

Vícefaktorové ověřování je bezpečnostní mechanismus pro ověřování jednotlivců pomocí více než jednoho požadovaného postupu zabezpečení a ověření. Funguje tak, že vyžaduje dvě nebo více následujících metod ověřování:

• Něco, co znáte (obvykle heslo)
• Něco, co máte (důvěryhodné zařízení, které se nedá snadno duplikovat, třeba telefon)
• Něco, co jste (biometrické údaje)

Microsoft poskytuje vícefaktorové ověřování bez poplatků prostřednictvím implementace výchozích hodnot zabezpečení Microsoft Entra. Jedinou možností ověřování, která je k dispozici pomocí této verze vícefaktorového ověřování, je ověřovací aplikace.

• Pokud se vyžaduje telefonní hovor nebo SMS zpráva, musíte si koupit licenci Microsoft Entra P1 nebo P2 .
• Alternativně můžete využít řešení třetí strany k poskytování vícefaktorového ověřování pro každého uživatele ve vašem partnerském tenantovi. V takovém případě je vaší zodpovědností zajistit, aby se vaše řešení vícefaktorového ověřování vynucuje a že dodržujete předpisy.

Uživatelé v partnerském tenantovi se musí při přístupu ke komerčním cloudovým službám Microsoftu ověřovat pomocí vícefaktorového ověřování. Řešení třetích stran je možné použít ke splnění těchto požadavků. Microsoft už neposkytuje ověřovací testování nezávislým zprostředkovatelům identit kvůli kompatibilitě s ID Microsoft Entra. Informace o otestování interoperability vašeho produktu najdete v dokumentaci k kompatibilitě zprostředkovatele identity Microsoft Entra.

Ano. Pro každého tenanta Microsoft Entra přidruženého k programu CSP nebo programu Advisor musíte vynutit vícefaktorové ověřování. Pokud chcete koupit licenci Microsoft Entra ID P1 nebo P2, musíte zakoupit licenci Microsoft Entra ID pro uživatele v každém tenantovi Microsoft Entra.

Ano. Každý uživatel musí mít vynucené vícefaktorové ověřování. Pokud ale používáte výchozí nastavení zabezpečení Microsoft Entra, nevyžaduje se žádná další akce, protože tato funkce vynucuje vícefaktorové ověřování pro všechny uživatelské účty. Povolenívýchozích

Partneři Cloud Solution Provider s přímým vyúčtováním musí vynutit vícefaktorové ověřování pro každého uživatele v partnerském tenantovi.

Ano. Všichni nepřímí prodejci musí vynutit vícefaktorové ověřování pro každého uživatele v partnerském tenantovi. Nepřímý prodejce musí povolit vícefaktorové ověřování.

Ano. Tento požadavek na zabezpečení platí pro všechny uživatele, včetně uživatelů správců partnerů a koncových uživatelů v partnerském tenantovi.

Při kontrole dodavatelů a řešení vícefaktorového ověřování musíte zajistit, aby zvolené řešení bylo kompatibilní s ID Microsoft Entra.

Microsoft už neposkytuje ověřovací testování nezávislým zprostředkovatelům identit kvůli kompatibilitě s ID Microsoft Entra. Pokud chcete otestovat svůj produkt pro interoperabilitu, projděte si dokumentaci k kompatibilitě zprostředkovatele identity Microsoft Entra.

Další informace naleznete v seznamu kompatibility federace Microsoft Entra.

Měla by být povolena funkce výchozích hodnot zabezpečení Microsoft Entra. Alternativně můžete použít řešení třetí strany, které používá federaci.

Ne. Plnění těchto požadavků na zabezpečení nebude mít vliv na to, jak spravujete své zákazníky. Vaše schopnost provádět delegované operace správy nebude přerušena.

Ne. Vícefaktorové ověřování nemusíte vynucovat pro každého uživatele v tenantech Microsoft Entra zákazníka. Doporučujeme ale spolupracovat s každým zákazníkem a určit, jak nejlépe chránit uživatele.

Ne. Každý uživatel ve vašem partnerském tenantovi, včetně účtů služeb, se musí ověřit pomocí vícefaktorového ověřování.

Ano. To znamená, že musíte implementovat příslušné řešení vícefaktorového ověřování pro uživatele v tenantovi sandboxu integrace. Doporučujeme implementovat výchozí nastavení zabezpečení Microsoft Entra pro poskytování vícefaktorového ověřování.

Osvědčeným postupem je vytvořit jeden nebo dva účty pro nouzový přístup, aby se zabránilo neúmyslným uzamčení vašeho tenanta Microsoft Entra. Pokud jde o požadavky na zabezpečení partnerů, vyžaduje se, aby se každý uživatel ověřil pomocí vícefaktorového ověřování. Tento požadavek znamená, že potřebujete upravit definici účtu pro nouzový přístup. Může se jednat o účet, který používá řešení třetí strany pro vícefaktorové ověřování.

Ne. Pokud používáte řešení třetí strany, není nutné mít službu Active Directory Federation Service (ADFS). Doporučujeme, abyste spolupracovali s dodavatelem řešení a zjistili, jaké jsou požadavky na jejich řešení.

Ne.

Ano. Podmíněný přístup můžete použít k vynucení vícefaktorového ověřování pro každého uživatele, včetně účtů služeb, ve vašem partnerském tenantovi. Vzhledem k vysoce privilegované povaze partnera ale musíme zajistit, aby každý uživatel měl výzvu vícefaktorového ověřování pro každé ověřování. To znamená, že nemůžete použít funkci podmíněného přístupu, která obchází požadavek na vícefaktorové ověřování.

Ne. Účet služby používaný službou Microsoft Entra Connect nebude ovlivněn požadavky na zabezpečení partnera. Pokud v důsledku vynucování vícefaktorového ověřování dojde k problému s Microsoft Entra Connect, otevřete žádost o technickou podporu s podporou Microsoftu.

Microsoft zavedl zabezpečenou škálovatelnou architekturu pro ověřování partnerů CSP (Cloud Solution Provider) a dodavatelů Ovládací panely (CPV), která používá vícefaktorové ověřování. Další informace najdete v průvodci zabezpečeným aplikačním modelem. Všichni partneři, kteří vyvinuli vlastní integraci pomocí libovolného rozhraní API (jako je Azure Resource Manager, Microsoft Graph, Rozhraní API partnerského centra atd.), nebo implementují vlastní automatizaci pomocí nástrojů, jako je PowerShell, budou muset přijmout architekturu zabezpečeného aplikačního modelu pro integraci s cloudovými službami Microsoftu.

Microsoft zavádí zabezpečenou škálovatelnou architekturu pro ověřování partnerů CSP (Cloud Solution Provider) a Ovládací panely Vendors (CPV), která používá vícefaktorové ověřování. Další informace najdete v průvodci zabezpečeným aplikačním modelem.

Všichni partneři, kteří vyvinuli vlastní integraci pomocí libovolného rozhraní API (jako je Azure Resource Manager, Microsoft Graph, rozhraní API partnerského centra atd.), nebo implementují vlastní automatizaci pomocí nástrojů, jako je PowerShell, musí přijmout architekturu zabezpečeného aplikačního modelu pro integraci s cloudovými službami Microsoftu. Pokud to neuděláte, může dojít k přerušení kvůli nasazení vícefaktorového ověřování.

Následující zdroje informací poskytují přehled a pokyny týkající se přijetí modelu:

• Přehled zabezpečeného aplikačního modelu
• Partnerské centrum: Průvodce zabezpečeným aplikačním modelem
• Partneři v programu CSP: Ukázkový kód .NET pro povolení zabezpečeného aplikačního modelu
• Dokument pro ověřování v Partnerském centru
• Dokument vícefaktorového ověřování PowerShellu v Partnerském centru

Pokud používáte ovládací panel, musíte se obrátit na dodavatele ohledně přijetí architektury Zabezpečeného aplikačního modelu.

Dodavatelé ovládacích panelů jsou povinni připojit se k Partnerskému centru jako dodavateli ovládacích panelů a okamžitě začít implementovat tento požadavek.

Projděte si Partnerské centrum: Architektura zabezpečeného aplikačního modelu. Dodavatelé ovládacích panelů musí místo přihlašovacích údajů přijmout a spravovat souhlas partnerů CSP a vyprázdnit všechny přihlašovací údaje stávajících partnerů CSP.

Vynucením vícefaktorového ověřování pro všechny uživatelské účty je ovlivněna jakákoli automatizace nebo integrace, která je určená ke spuštění neinteraktivně. I když požadavky na zabezpečení partnerů vyžadují povolení zabezpečeného aplikačního modelu pro rozhraní API Partnerského centra, můžete ho použít k řešení potřeby druhého faktoru ověřování pomocí automatizace a integrace.

Model zabezpečené aplikace musíte implementovat, pokud vaše automatizace běží neinteraktivně a spoléhá na přihlašovací údaje uživatele pro ověřování. Viz Model zabezpečené aplikace | Pokyny k implementaci této architektury najdete v PowerShellu v Partnerském centru.

Doporučujeme použít účet služby, který má přiřazená nejméně privilegovaná oprávnění. Pokud jde o rozhraní API Partnerského centra, měli byste použít účet, který je přiřazený k roli agenta prodeje nebo agenta správce.

Osvědčeným postupem je použít nejméně privilegovanou identitu, protože tím se snižuje riziko. Nedoporučuje se používat účet s oprávněními globálního správce, protože poskytuje více oprávnění, než je potřeba.

Pro partnery, kteří k převodu v programu Cloud Solution Provider (CSP) používají řešení Ovládací panely Vendor (CPV), je vaší zodpovědností poradit se svým protokolem CPV.

Dodavatel ovládacích panelů je nezávislý dodavatel softwaru, který vyvíjí aplikace, které partneři CSP používají k integraci s rozhraními API Partnerského centra. Dodavatel ovládacích panelů není partner CSP s přímým přístupem k Partnerskému centru ani rozhraním API. Podrobný popis je k dispozici v Partnerském centru: Průvodce modelem zabezpečených aplikací.

Pokud chcete zaregistrovat jako dodavatele ovládacího panelu (CPV), postupujte podle pokynů v části Zaregistrovat jako Ovládací panely Dodavatel a pomozte integrovat partnerské systémy CSP s rozhraními API Partnerského centra.

Po registraci do Partnerského centra a registraci aplikací budete mít přístup k rozhraním API Partnerského centra. Informace o sandboxu obdržíte v oznámení v Partnerském centru, pokud jste nový protokol CPV. Po dokončení registrace jako protokolu CPV Od Microsoftu a přijetí smlouvy CPV můžete:

• Správa víceklientských aplikací (přidání aplikací na web Azure Portal a registrace a zrušení registrace aplikací v Partnerském centru)

  Poznámka:

  Partneři CPV musí své aplikace zaregistrovat v Partnerském centru, aby získaly oprávnění pro rozhraní API Partnerského centra. Přidání aplikací na samotný web Azure Portal neověřuje aplikace CPV pro rozhraní API Partnerského centra.

• Zobrazte a spravujte svůj profil CPV.

• Umožňuje zobrazit a spravovat uživatele, kteří potřebují přístup k možnostem CPV. CPV může mít jenom roli globálního správce.

Ne. Musíte postupovat podle pokynů v průvodci zabezpečeným aplikačním modelem.

Ano. Obnovovací token je možné vygenerovat pomocí účtu, který nemá vynucené vícefaktorové ověřování. Měli byste se tomu ale vyhnout. Jakýkoli token vygenerovaný pomocí účtu, který nemá povolené vícefaktorové ověřování, nebude mít přístup k prostředkům kvůli požadavku na vícefaktorové ověřování.

Postupujte podle průvodce zabezpečeným aplikačním modelem, který poskytuje podrobné informace o tom, jak to udělat, a zároveň dodržovat nové požadavky na zabezpečení. Vzorový kód .NET najdete v ukázkách DotNet v Partnerském centru – Model zabezpečené aplikace a vzorový kód v Javě v Partnerském centru.

CPV musí vytvořit aplikaci Microsoft Entra v tenantovi přidruženém k registraci jako CPV.

Ověřování jen pro aplikaci nemá vliv, protože přihlašovací údaje uživatele se nepoužívají k vyžádání přístupového tokenu. Pokud jsou sdíleny přihlašovací údaje uživatele, musí dodavatelé ovládacích panelů (CPV) přijmout architekturu zabezpečeného aplikačního modelu a vyprázdnit všechny stávající přihlašovací údaje partnera, které mají.

Ne. Ovládací panely partneři dodavatelů nemůžou použít styl ověřování jen pro aplikaci k vyžádání přístupových tokenů jménem partnera. Měli by implementovat zabezpečený aplikační model, který využívá styl ověřování aplikací a uživatelů.

Všichni partneři, kteří se účastní programu Cloud Solution Provider (CSP), Ovládací panely Dodavatelé (CPV) a Poradci by měli implementovat povinné požadavky na zabezpečení, aby zůstali v souladu.

Společnost Microsoft zahájila aktivaci bezpečnostních opatření, která partnerům pomáhají zabezpečit tenanty a zákazníky tím, že zakážou vícefaktorové ověřování (MFA), aby se zabránilo neoprávněnému přístupu.

Úspěšně jsme dokončili aktivaci funkcí AOBO (admin-on-behalf-of) pro všechny partnerské tenanty. Abychom dále pomohli chránit partnery a zákazníky, zahájíme aktivaci transakcí v Partnerském centru v programu CSP, abychom partnerům pomohli chránit své firmy a zákazníky před incidenty souvisejícími s krádeží identity.

Další informace najdete v tématu Mandating Multifactor Authentication (MFA) pro vaši stránku partnerského tenanta .

Abychom ověřili, že přístup k prostředkům účtu byl vyzván pro vícefaktorové ověřování, zkontrolujeme deklaraci identity metody ověřování, abychom zjistili, jestli je uvedeno vícefaktorové ověřování. Některá řešení třetích stran nevytáčí tuto deklaraci identity nebo nezahrnují hodnotu vícefaktorového ověřování. Pokud deklarace identity chybí nebo pokud není uvedená hodnota vícefaktorového ověřování, neexistuje způsob, jak zjistit, jestli byl ověřený účet vyzván pro vícefaktorové ověřování. Budete muset spolupracovat s dodavatelem vašeho řešení třetí strany, abyste zjistili, které akce se mají provést, aby řešení vytáčily referenční deklaraci metody ověřování.

Pokud si nejste jistí, jestli vaše řešení třetí strany vydává očekávanou deklaraci identity nebo ne, přečtěte si téma Testování požadavků na zabezpečení partnera.

Technické vynucování požadavků na zabezpečení partnera se kontroluje, pokud byl ověřený účet vyzván k vícefaktorovým ověřováním. Pokud účet není zaškrtnutý, budete přesměrováni na přihlašovací stránku a zobrazí se výzva k opětovnému ověření.

Další zkušenosti a pokyny najdete v tématu Mandating Multifactor Authentication (MFA) pro vašeho partnerského tenanta.

Ve scénáři, ve kterém vaše doména není federovaná, se po úspěšném ověření zobrazí výzva k nastavení vícefaktorového ověřování. Po dokončení budete moct spravovat své zákazníky pomocí AOBO. Ve scénáři, ve kterém je vaše doména federovaná, budete muset zajistit, aby byl účet vyzván pro vícefaktorové ověřování.

Microsoft Entra ID "základní" zásady se odeberou a nahradí "výchozími hodnotami zabezpečení", a to komplexnější sadou zásad ochrany pro vás a vaše zákazníky. Výchozí nastavení zabezpečení může pomoct chránit vaši organizaci před útoky na krádež identity související se zabezpečením.

Vaše implementace vícefaktorového ověřování (MFA) se odebere z důvodu vyřazení standardních zásad, pokud jste nepřevedli ze zásad standardních hodnot na výchozí zásady zabezpečení nebo jiné možnosti implementace vícefaktorového ověřování. Všichni uživatelé ve vašich partnerských tenantech provádějících operace ochrany vícefaktorového ověřování budou požádáni o dokončení ověření vícefaktorového ověřování. Podrobnější pokyny najdete v tématu Mandating multifactor authentication for your partner tenant.

Pokud chcete zajistit dodržování předpisů a minimalizovat přerušení, postupujte následovně:

• Přechod na výchozí hodnoty zabezpečení
  • Zásady výchozích hodnot zabezpečení jsou jednou z možností, které partneři můžou implementovat vícefaktorové ověřování. Nabízí základní úroveň zabezpečení povolenou bez dalších poplatků.
  • Přečtěte si, jak povolit vícefaktorové ověřování pro vaši organizaci pomocí ID Microsoft Entra a projít si klíčové aspekty výchozích hodnot zabezpečení.
  • Povolte zásady výchozích hodnot zabezpečení, pokud vyhovují vašim obchodním potřebám.
• Přechod na podmíněný přístup
  • Pokud zásady výchozích hodnot zabezpečení nevyhovují vašim potřebám, povolte podmíněný přístup. Další informace najdete v dokumentaci k podmíněnému přístupu společnosti Microsoft Entra.

• Zobrazení požadavků na zabezpečení partnerů: podrobný průvodce.
• Nasměrujte své dotazy a zpětnou vazbu na skupinu pokynů k zabezpečení v Partnerském centru.
• Zúčastněte se nadcházejících partnerských hodin a webinářů. Podívejte se na podrobný plán a zdroje informací na stránce Komunity partnerů.

• Přehled zabezpečeného aplikačního modelu
• Partnerské centrum: Průvodce zabezpečeným aplikačním modelem
• Partneři v programu CSP: Ukázkový kód .NET pro povolení zabezpečeného aplikačního modelu
• Dokument pro ověřování v Partnerském centru
• Dokument vícefaktorového ověřování PowerShellu v Partnerském centru

Prostředky podpory pro splnění požadavků na zabezpečení:

• Pokud máte rozšířenou podporu pro partnery (ASfP), obraťte se na svého správce účtů služeb.
• Pokud potřebujete smlouvu Premier Support for Partners (PSfP), obraťte se na správce účtů služeb a správce technických účtů.

Možnosti technické podpory pro Microsoft Entra ID jsou dostupné prostřednictvím výhod programu Microsoft AI Cloud Partner Program. Partneři s přístupem k aktivnímu předplatnému ASfP nebo PSfP můžou spolupracovat s přidruženým správcem účtů (SAM/TAM), aby porozuměli nejlepším dostupným možnostem.

Pokud ztratíte přístup kvůli problému s vícefaktorovou ověřováním, obraťte se na správce zabezpečení pro vašeho tenanta. Interní ODDĚLENÍ IT vám může sdělit, kdo je správce zabezpečení.

Pokud jste zapomněli heslo, nápovědu najdete v tématu Nejde se přihlásit .

Informace týkající se běžných technickýchproblémůch