Allgemeine Richtlinie für bedingten Zugriff: Schützen der Registrierung von Sicherheitsinformationen

Mit Benutzeraktionen in der Richtlinie für bedingten Zugriff kann sichergestellt werden, wann und wie sich Benutzer für Azure AD Multi-Factor Authentication registrieren, und auch die Self-Service-Kennwortzurücksetzung ist möglich. Dieses Feature ist für Organisationen verfügbar, die die kombinierte Registrierung aktiviert haben. Diese Funktion ermöglicht es Organisationen, den Registrierungsprozess wie jede beliebige Anwendung in einer Richtlinie für bedingten Zugriff zu behandeln und die volle Leistungsfähigkeit bedingter Zugriffe zu nutzen, um die Funktionalität zu schützen. Benutzer, die sich bei der Microsoft Authenticator-App anmelden oder die kennwortlose Anmeldung per Telefon aktivieren, unterliegen dieser Richtlinie.

Einige Organisationen haben in der Vergangenheit möglicherweise vertrauenswürdige Netzwerkadressen oder Gerätekonformität zum Schützen der Registrierung verwendet. Durch das Hinzufügen eines befristeten Zugriffspasses in Azure AD können Administratoren zeitlich begrenzte Anmeldeinformationen für Benutzer bereitstellen, damit diese sich an jedem Gerät oder Standort registrieren können. Die Anmeldeinformationen eines befristeten Zugriffspasses erfüllen die Anforderungen für bedingten Zugriff für Multi-Faktor-Authentifizierung.

Bereitstellung von Vorlagen

Organisationen können diese Richtlinie mithilfe der unten beschriebenen Schritte oder mithilfe der Vorlagen für bedingten Zugriff (Vorschau) bereitstellen.

Erstellen einer Richtlinie für eine sichere Registrierung

Die folgende Richtlinie wird auf die ausgewählten Benutzer angewendet, die versuchen, sich mit der kombinierten Registrierung anzumelden. Die Richtlinie setzt voraus, dass sich Benutzer an einem vertrauenswürdigen Netzwerkstandort befinden, Multi-Faktor-Authentifizierung durchführen oder einen befristeten Zugriffspass als Anmeldeinformationen verwenden.

  1. Navigieren Sie im Azure-Portal zu Azure Active DirectorySicherheitBedingter Zugriff.
  2. Wählen Sie Neue Richtlinie.
  3. Geben Sie unter „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen mit TAP.
  4. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.

      Warnung

      Benutzer müssen für die kombinierte Registrierung aktiviert sein.

    2. Führen Sie unter Ausschließen die folgenden Schritte aus.

      1. Wählen Sie Alle Gastbenutzer und externen Benutzer aus.

      2. Wählen Sie Verzeichnisrollen und dann Globaler Administrator aus

        Hinweis

        Der befristete Zugriffspass funktioniert nicht für Gastbenutzer.

      3. Wählen Sie Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.

  5. Wählen Sie unter Cloud-Apps oder -aktionen die Option Benutzeraktionen aus, und aktivieren Sie Sicherheitsinformationen registrieren.
  6. Unter BedingungenStandorte:
    1. Legen Sie Konfigurieren auf Ja fest.
      1. Schließen Sie Alle Standorte ein.
      2. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  7. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff gewähren > Multi-Faktor-Authentifizierung erfordern aus.
    2. Wählen Sie Auswählen.
  8. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  9. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mit dem Modus Nur Bericht bestätigt haben, kann ein Administrator den Schalter Richtlinie aktivieren von Nur Bericht auf Ein setzen.

Administratoren müssen jetzt Anmeldeinformationen für befristete Zugriffspässe für neue Benutzer ausstellen, damit die Anforderungen für die Multi-Faktor-Authentifizierung bei der Registrierung erfüllt werden können. Die Schritte zum Ausführen dieser Aufgabe finden Sie im Abschnitt zum Erstellen eines befristeten Zugriffspasses im Azure AD-Portal.

Organisationen können mit oder anstelle der Multi-Faktor-Authentifizierung in Schritt 6b weitere erforderliche Steuerelemente für die Erteilung von Berechtigungen festlegen. Bei Auswahl mehrerer Steuerelemente muss der entsprechende Optionsumschalter aktiviert werden, um festzulegen, ob bei dieser Änderung alle oder ein ausgewähltes Steuerelement erforderlich ist.

Gastbenutzerregistrierung

Für Gastbenutzer, die sich für die Multi-Faktor-Authentifizierung im Verzeichnis registrieren müssen, können Sie die Registrierung von nicht vertrauenswürdigen Netzwerkadressen wie nachstehend beschrieben blockieren.

  1. Navigieren Sie im Azure-Portal zu Azure Active DirectorySicherheitBedingter Zugriff.
  2. Wählen Sie Neue Richtlinie.
  3. Geben Sie unter „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen in vertrauenswürdigen Netzwerken.
  4. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Alle Gastbenutzer und externen Benutzer aus.
  5. Wählen Sie unter Cloud-Apps oder -aktionen die Option Benutzeraktionen aus, und aktivieren Sie Sicherheitsinformationen registrieren.
  6. Unter BedingungenStandorte:
    1. Konfigurieren Sie Ja.
    2. Schließen Sie Alle Standorte ein.
    3. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  7. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff blockieren aus.
    2. Klicken Sie dann auf Auswählen.
  8. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  9. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mit dem Modus Nur Bericht bestätigt haben, kann ein Administrator den Schalter Richtlinie aktivieren von Nur Bericht auf Ein setzen.

Nächste Schritte

Allgemeine Richtlinien für bedingten Zugriff

Bestimmen der Auswirkung durch Verwendung des reinen Berichtsmodus des bedingten Zugriffs

Simulieren des Anmeldeverhaltens mit dem Was-wäre-wenn-Tool für den bedingten Zugriff

Benutzer müssen Authentifizierungsinformationen erneut bestätigen