Allgemeine Richtlinie für bedingten Zugriff: Schützen der Registrierung von Sicherheitsinformationen
Mit Benutzeraktionen in einer Richtlinie für bedingten Zugriff kann sichergestellt werden, wann und wie sich Benutzer*innen für die Multi-Faktor-Authentifizierung und die Self-Service-Kennwortzurücksetzung in Microsoft Entra registrieren. Dieses Feature ist für Organisationen verfügbar, die die kombinierte Registrierung aktiviert haben. Diese Funktion ermöglicht es Organisationen, den Registrierungsprozess wie jede beliebige Anwendung in einer Richtlinie für bedingten Zugriff zu behandeln und die volle Leistungsfähigkeit bedingter Zugriffe zu nutzen, um die Funktionalität zu schützen. Benutzer, die sich bei der Microsoft Authenticator-App anmelden oder die kennwortlose Anmeldung per Telefon aktivieren, unterliegen dieser Richtlinie.
Einige Organisationen haben in der Vergangenheit möglicherweise vertrauenswürdige Netzwerkadressen oder Gerätekonformität zum Schützen der Registrierung verwendet. Durch das Hinzufügen eines befristeten Zugriffspasses in Microsoft Entra ID können Administrator*innen zeitlich begrenzte Anmeldeinformationen für Benutzer*inne bereitstellen, damit diese sich an jedem Gerät oder Standort registrieren können. Die Anmeldeinformationen eines befristeten Zugriffspasses erfüllen die Anforderungen für bedingten Zugriff für Multi-Faktor-Authentifizierung.
Bereitstellung von Vorlagen
Unternehmen können diese Richtlinie entweder mit den unten beschriebenen Schritten oder mit den Vorlagen für bedingten Zugriff einrichten.
Erstellen einer Richtlinie für eine sichere Registrierung
Die folgende Richtlinie wird auf die ausgewählten Benutzer angewendet, die versuchen, sich mit der kombinierten Registrierung anzumelden. Die Richtlinie setzt voraus, dass sich Benutzer an einem vertrauenswürdigen Netzwerkstandort befinden, Multi-Faktor-Authentifizierung durchführen oder einen befristeten Zugriffspass als Anmeldeinformationen verwenden.
- Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
- Browsen Sie zu Schutz>Bedingter Zugriff.
- Wählen Sie Neue Richtlinie erstellen aus.
- Geben Sie unter „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen mit TAP.
- Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
Wählen Sie unter Einschließen die Option Alle Benutzer aus.
Warnung
Benutzer müssen für die kombinierte Registrierung aktiviert sein.
Führen Sie unter Ausschließen die folgenden Schritte aus.
Wählen Sie Alle Gastbenutzer und externen Benutzer aus.
Wählen Sie Verzeichnisrollen und dann Globaler Administrator aus
Hinweis
Der befristete Zugriffspass funktioniert nicht für Gastbenutzer.
Wählen Sie Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.
- Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
- Unter Bedingungen>Standorte:
- Legen Sie Konfigurieren auf Ja fest.
- Schließen Sie Alle Standorte ein.
- Schließen Sie Alle vertrauenswürdigen Standorte aus.
- Legen Sie Konfigurieren auf Ja fest.
- Unter Zugriffssteuerungen>Erteilen:
- Wählen Sie Zugriff gewähren > Multi-Faktor-Authentifizierung erfordern aus.
- Wählen Sie Auswählen.
- Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
- Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.
Wenn ein Administrator die Einstellungen mit dem reinen Berichtsmodus bestätigt hat, kann er den Schalter Richtlinie aktivieren von Nur Bericht auf Ein festlegen.
Administratoren müssen jetzt Anmeldeinformationen für befristete Zugriffspässe für neue Benutzer ausstellen, damit die Anforderungen für die Multi-Faktor-Authentifizierung bei der Registrierung erfüllt werden können. Die Schritte zum Ausführen dieser Aufgabe finden Sie im Abschnitt zum Erstellen eines befristeten Zugriffspasses im Microsoft Entra Admin Center.
Organisationen können mit oder anstelle der Multi-Faktor-Authentifizierung in Schritt 8a weitere erforderliche Steuerelemente für die Erteilung von Berechtigungen festlegen. Bei Auswahl mehrerer Steuerelemente muss der entsprechende Optionsumschalter aktiviert werden, um festzulegen, ob bei dieser Änderung alle oder ein ausgewähltes Steuerelement erforderlich ist.
Gastbenutzerregistrierung
Für Gastbenutzer, die sich für die Multi-Faktor-Authentifizierung im Verzeichnis registrieren müssen, können Sie die Registrierung von nicht vertrauenswürdigen Netzwerkadressen wie nachstehend beschrieben blockieren.
- Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
- Browsen Sie zu Schutz>Bedingter Zugriff.
- Wählen Sie Neue Richtlinie erstellen aus.
- Geben Sie unter „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen in vertrauenswürdigen Netzwerken.
- Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
- Wählen Sie unter Einschließen die Option Alle Gastbenutzer und externen Benutzer aus.
- Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
- Unter Bedingungen>Standorte:
- Konfigurieren Sie Ja.
- Schließen Sie Alle Standorte ein.
- Schließen Sie Alle vertrauenswürdigen Standorte aus.
- Unter Zugriffssteuerungen>Erteilen:
- Wählen Sie Zugriff blockieren aus.
- Klicken Sie dann auf Auswählen.
- Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
- Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.
Wenn ein Administrator die Einstellungen mit dem reinen Berichtsmodus bestätigt hat, kann er den Schalter Richtlinie aktivieren von Nur Bericht auf Ein festlegen.
Nächste Schritte
Vorlagen für bedingten Zugriff
Bestimmen der Auswirkung mit dem reinen Berichtsmodus des bedingten Zugriffs
Benutzer müssen Authentifizierungsinformationen erneut bestätigen