Teilen über

Allgemeine Richtlinie für bedingten Zugriff: Schützen der Registrierung von Sicherheitsinformationen

  • Artikel

Mit Benutzeraktionen in einer Richtlinie für bedingten Zugriff kann sichergestellt werden, wann und wie sich Benutzer*innen für die Multi-Faktor-Authentifizierung und die Self-Service-Kennwortzurücksetzung in Microsoft Entra registrieren. Dieses Feature ist für Organisationen verfügbar, welche die kombinierte Registrierung aktivieren. Diese Funktion ermöglicht es Organisationen, den Registrierungsprozess wie jede beliebige Anwendung in einer Richtlinie für bedingten Zugriff zu behandeln und die volle Leistungsfähigkeit bedingter Zugriffe zu nutzen, um die Funktionalität zu schützen. Benutzer, die sich bei der Microsoft Authenticator-App anmelden oder die kennwortlose Anmeldung per Telefon aktivieren, unterliegen dieser Richtlinie.

Einige Organisationen haben in der Vergangenheit möglicherweise vertrauenswürdige Netzwerkadressen oder Gerätekonformität zum Schützen der Registrierung verwendet. Durch das Hinzufügen eines befristeten Zugriffspasses in Microsoft Entra ID können Administrator*innen zeitlich begrenzte Anmeldeinformationen für Benutzer*inne bereitstellen, damit diese sich an jedem Gerät oder Standort registrieren können. Die Anmeldeinformationen eines befristeten Zugriffspasses erfüllen die Anforderungen für bedingten Zugriff für Multi-Faktor-Authentifizierung.

Ausschluss von Benutzern

Richtlinien für bedingten Zugriff sind leistungsstarke Tools, daher wird empfohlen, die folgenden Konten von Ihren Richtlinien auszuschließen:

  • Notfallzugriffs- oder Break-Glass-Konten, um eine mandantenweite Kontosperrung zu vermeiden. In dem unwahrscheinlichen Fall, dass alle Administrator*innen aus dem Mandanten ausgeschlossen sind, können Sie sich mit Ihrem Administratorkonto für den Notfallzugriff beim Mandanten anmelden und Maßnahmen ergreifen, um den Zugriff wiederherzustellen.
  • Dienstkonten und Dienstprinzipale, z. B. das Konto für die Microsoft Entra Connect-Synchronisierung. Dienstkonten sind nicht interaktive Konten, die nicht an einen bestimmten Benutzer gebunden sind. Sie werden normalerweise von Back-End-Diensten verwendet, die den programmatischen Zugriff auf Anwendungen ermöglichen, aber auch für die Anmeldung bei Systemen zu Verwaltungszwecken. Derartige Dienstkonten sollten ausgeschlossen werden, weil die MFA nicht programmgesteuert abgeschlossen werden kann. Aufrufe, die von Dienstprinzipalen getätigt werden, werden nicht durch Richtlinien für den bedingten Zugriff blockiert, die für Benutzer gelten. Verwenden Sie den bedingten Zugriff für Workload-Identitäten, um Richtlinien für Dienstprinzipale zu definieren.
    • Wenn Ihre Organisation diese Konten in Skripts oder Code verwendet, sollten Sie in Betracht ziehen, diese durch verwaltete Identitäten zu ersetzen. Als vorübergehende Problemumgehung können Sie diese spezifischen Konten aus der Basisrichtlinie ausschließen.

Bereitstellung von Vorlagen

Unternehmen können diese Richtlinie entweder mit den unten beschriebenen Schritten oder mit den Vorlagen für bedingten Zugriff einrichten.

Erstellen einer Richtlinie für eine sichere Registrierung

Die folgende Richtlinie wird auf die ausgewählten Benutzer angewendet, die versuchen, sich mit der kombinierten Registrierung anzumelden. Die Richtlinie setzt voraus, dass sich Benutzer an einem vertrauenswürdigen Netzwerkstandort befinden und Multi-Faktor-Authentifizierung durchführen oder einen befristeten Zugriffspass als Anmeldeinformationen verwenden.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Schutz>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie unter „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen mit TAP.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.

    1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.

      Warnung

      Benutzer müssen für die kombinierte Registrierung aktiviert sein.

    2. Führen Sie unter Ausschließen die folgenden Schritte aus.

      1. Wählen Sie Alle Gastbenutzer und externen Benutzer aus.

        Hinweis

        Der befristete Zugriffspass funktioniert nicht für Gastbenutzer.

      2. Wählen Sie Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.

  6. Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
  7. Unter Bedingungen>Standorte:
    1. Legen Sie Konfigurieren auf Ja fest.
      1. Schließen Sie Alle Standorte ein.
      2. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff gewähren > Multi-Faktor-Authentifizierung erfordern aus.
    2. Wählen Sie Auswählen.
  9. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Wenn ein Administrator die Einstellungen mit dem reinen Berichtsmodus bestätigt hat, kann er den Schalter Richtlinie aktivieren von Nur Bericht auf Ein festlegen.

Administratoren müssen Anmeldeinformationen für befristete Zugriffspässe für neue Benutzer ausstellen, damit die Anforderungen für die Multi-Faktor-Authentifizierung bei der Registrierung erfüllt werden können. Die Schritte zum Ausführen dieser Aufgabe finden Sie im Abschnitt Erstellen eines befristeten Zugriffspasses im Microsoft Entra Admin Center.

Organisationen können mit oder anstelle der Multi-Faktor-Authentifizierung in Schritt 8a weitere erforderliche Steuerelemente für die Erteilung von Berechtigungen festlegen. Bei Auswahl mehrerer Steuerelemente muss der entsprechende Optionsumschalter aktiviert werden, um festzulegen, ob bei dieser Änderung alle oder ein ausgewähltes Steuerelement erforderlich ist.

Gastbenutzerregistrierung

Für Gastbenutzer, die sich für die Multi-Faktor-Authentifizierung im Verzeichnis registrieren müssen, können Sie die Registrierung von nicht vertrauenswürdigen Netzwerkadressen wie nachstehend beschrieben blockieren.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Schutz>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie unter Name einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen in vertrauenswürdigen Netzwerken.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Alle Gastbenutzer und externen Benutzer aus.
  6. Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
  7. Unter Bedingungen>Standorte:
    1. Konfigurieren Sie Ja.
    2. Schließen Sie Alle Standorte ein.
    3. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff blockieren aus.
    2. Klicken Sie anschließend auf Auswählen.
  9. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Wenn ein Administrator die Einstellungen mit dem reinen Berichtsmodus bestätigt hat, kann er den Schalter Richtlinie aktivieren von Nur Bericht auf Ein festlegen.

Zugehöriger Inhalt