Allgemeine Richtlinie für bedingten Zugriff: Multi-Faktor-Authentifizierung für Risikoanmeldungen

Die meisten Benutzer weisen ein normales Verhalten auf, das nachverfolgt werden kann. Wenn sie sich aber außerhalb dieser Norm bewegen, ist es ggf. riskant, ihnen das Anmelden ohne Weiteres zu erlauben. Es kann ratsam sein, die entsprechenden Benutzenden zu blockieren oder ggf. einfach zur Durchführung der Multi-Faktor-Authentifizierung aufzufordern. So kann bewiesen werden, ob es sich auch wirklich um die vorgegebene Person handelt.

Ein Anmelderisiko stellt die Wahrscheinlichkeit dar, dass eine bestimmte Authentifizierungsanforderung nicht der Identitätsbesitzerin oder dem Identitätsbesitzer stammt. Organisationen mit Microsoft Entra P2-Lizenzen können Richtlinien für bedingten Zugriff erstellen, die Risikoerkennung für Anmeldungen mit Microsoft Entra ID Protection beinhalten.

Die risikobasierte Anmelderichtlinie schützt Benutzer vor der Registrierung von MFA in riskanten Sitzungen. Wenn die Benutzer nicht für MFA registriert sind, werden ihre Risikoanmeldung blockiert, und ein Fehler vom Typ „AADSTS53004“ wird angezeigt.

Bereitstellung von Vorlagen

Organisationen können diese Richtlinie anhand der unten beschriebenen Schritte oder mithilfe der Vorlagen für bedingten Zugriff bereitstellen.

Aktivieren mit einer Richtlinie für bedingten Zugriff

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Browsen Sie zu Schutz>Bedingter Zugriff.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Unternehmen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.
    2. Wählen Sie unter Ausschließen die Option Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.
    3. Wählen Sie Fertigaus.
  6. Wählen Sie unter Cloud-Apps oder -aktionen>Einschließen die Option Alle Cloud-Apps aus.
  7. Legen Sie unter Bedingungen>Anmelderisiko die Option Konfigurieren auf Ja fest.
    1. Wählen Sie unter Hiermit wählen Sie die Anmelderisikostufe aus, auf die diese Richtlinie angewendet werden soll die Optionen Hoch und Mittel aus. Dieser Leitfaden basiert auf Microsoft-Empfehlungen. Die Ausführung weicht je nach Organisation möglicherweise ab.
    2. Wählen Sie Fertig aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff gewähren > Multi-Faktor-Authentifizierung erfordern aus.
    2. Wählen Sie Auswählen.
  9. Unter Sitzung.
    1. Wählen Sie die Anmeldehäufigkeit .
    2. Vergewissern Sie sich, dass Jedes Mal ausgewählt ist.
    3. Wählen Sie Auswählen.
  10. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  11. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Wenn ein Administrator die Einstellungen mit dem reinen Berichtsmodus bestätigt hat, kann er den Schalter Richtlinie aktivieren von Nur Bericht auf Ein festlegen.