Einrichten dynamischer Filter für DAS SIP-Gateway

In diesem Artikel wird erläutert, wie Sie sip Gateway von der Richtlinie für bedingten Zugriff ausschließen. Dies ist ein Feature, mit dem Sie den Zugriff auf die Ressourcen Ihrer organization basierend auf bestimmten Bedingungen steuern können. Sie können das SIP-Gateway vom bedingten Zugriff ausschließen, wenn Sie es für VoIP verwenden und keine zusätzlichen Sicherheitsanforderungen für diese Benutzer erzwingen möchten. In diesem Artikel finden Sie die Schritte zum Erstellen einer Ausschlussgruppe und zum Zuweisen dieser Gruppe zur Richtlinie zusammen mit den Voraussetzungen.

Die in diesem Artikel erwähnten SIP-Gatewayressourcen können nicht direkt von Richtlinien für bedingten Zugriff ausgeschlossen werden. Daher wird der dynamische App-Filteransatz zum Ausschließen von SIP-Gateway-Apps beschrieben. Durch das einfache Ausschließen von SIP-Gateway-Apps wird die Lücke nicht geschlossen, da SIP Gateway-Apps keine eigenen Bereiche besitzen und für die erforderlichen Bereiche von der Teams-App abhängig sind.

Voraussetzungen

Zum Hinzufügen oder Deaktivieren benutzerdefinierter Sicherheitsattributedefinitionen benötigen Sie Folgendes:

• Attributzuweisungsadministrator
• Attributdefinitionsadministrator
• Microsoft Graph-Modul bei Verwendung von Microsoft Graph PowerShell

Wichtig

Standardmäßig verfügen der globale Administrator und andere Administratorrollen nicht über berechtigungen zum Lesen, Definieren oder Zuweisen benutzerdefinierter Sicherheitsattribute.

Schritt 1: Hinzufügen eines Attributsatzes

1. Melden Sie sich beim Microsoft Entra Admin Center als Attributdefinitionsadministrator an.

2. Navigieren Sie zu Schutz>Benutzerdefinierte Sicherheitsattribute.

3. Wählen Sie Attributsatz hinzufügen aus, um einen neuen Attributsatz hinzuzufügen.

   Hinweis

   Wenn Attributsatz hinzufügen deaktiviert ist, stellen Sie sicher, dass Ihnen die Rolle Attributdefinitionsadministrator zugewiesen ist. Weitere Informationen finden Sie unter Problembehandlung für benutzerdefinierte Sicherheitsattribute.

4. Geben Sie einen Namen, eine Beschreibung und eine maximale Anzahl von Attributen ein.

   Tipp

   Ein Attributsatzname kann 32 Zeichen ohne Leerzeichen oder Sonderzeichen umfassen. Nachdem Sie einen Namen angegeben haben, können Sie ihn nicht umbenennen. Weitere Informationen finden Sie unter Grenzwerte und Einschränkungen.

5. Wenn Sie fertig sind, wählen Sie Hinzufügen aus.

6. Der neue Attributsatz wird in der Liste der Attributsätze angezeigt.

Schritt 2: Hinzufügen einer benutzerdefinierten Sicherheitsattributedefinition

1. Melden Sie sich beim Microsoft Entra Admin Center als Attributdefinitionsadministrator an.

2. Navigieren Sie zu Schutz>Benutzerdefinierte Sicherheitsattribute.

3. Wählen Sie auf der Seite Benutzerdefinierte Sicherheitsattribute einen vorhandenen Attributsatz aus, oder wählen Sie Attributsatz hinzufügen aus, um einen neuen Attributsatz hinzuzufügen. Alle benutzerdefinierten Sicherheitsattributedefinitionen müssen Teil eines Attributsatzes sein.

4. Wählen Sie diese Option aus, um den ausgewählten Attributsatz zu öffnen.

5. Wählen Sie Attribut hinzufügen aus, um dem Attributsatz ein neues benutzerdefiniertes Sicherheitsattribute hinzuzufügen.

6. Geben Sie im Feld Attributname den Namen eines benutzerdefinierten Sicherheitsattributes ein.

   Tipp

   Ein Attributsatzname kann 32 Zeichen ohne Leerzeichen oder Sonderzeichen umfassen. Nachdem Sie einen Namen angegeben haben, können Sie ihn nicht umbenennen. Weitere Informationen finden Sie unter Grenzwerte und Einschränkungen.

   

7. Geben Sie im Feld Beschreibung eine optionale Beschreibung ein.

   Tipp

   Eine Beschreibung kann 128 Zeichen lang sein. Bei Bedarf können Sie die Beschreibung später ändern.

8. Wählen Sie in der Liste Datentyp den Datentyp für das benutzerdefinierte Sicherheitsattribute aus.

   • Datentyp: Eine Beschreibung.
   • Boolean: Ein boolescher Wert, der true oder false sein kann.
   • Integer: Eine 32-Bit-Ganzzahl.
   • Zeichenfolge: Eine Zeichenfolge, die X Zeichen lang sein kann.

9. Wählen Sie für Zuweisung mehrerer Werte zulassen die Option Ja oder Nein aus.

   • Wählen Sie Ja aus, um zuzulassen, dass diesem benutzerdefinierten Sicherheitsattribute mehrere Werte zugewiesen werden.
   • Wählen Sie Nein aus, um zuzulassen, dass diesem benutzerdefinierten Sicherheitsattribute nur ein einzelner Wert zugewiesen wird.

10. Wählen Sie für Nur die Zuweisung vordefinierter Werte zulassen die Option Ja oder Nein aus.

    • Wählen Sie Ja aus, wenn benutzerdefinierte Sicherheitsattribute Aus einer vordefinierten Werteliste Werte zugewiesen werden können.
    • Wählen Sie Nein aus, um zuzulassen, dass diesem benutzerdefinierten Sicherheitsattribute benutzerdefinierte Werte oder potenziell vordefinierte Werte zugewiesen werden.

11. Wenn Nur die Zuweisung vordefinierter Werte zulassen auf Ja festgelegt ist, wählen Sie Wert hinzufügen aus, um vordefinierte Werte hinzuzufügen. Ein aktiver Wert ist für die Zuweisung von Objekten verfügbar. Ein Wert, der nicht aktiv ist, ist definiert, aber noch nicht für die Zuweisung verfügbar.

12. Wenn Sie fertig sind, wählen Sie Speichern aus.

13. Das neue benutzerdefinierte Sicherheitsattribute wird in der Liste der benutzerdefinierten Sicherheitsattribute angezeigt.

Schritt 3: Hinzufügen von SIP-Gatewaydienstprinzipalen zu Ihrem Mandanten

Verwenden des Azure Active Directory-Moduls:

1. Öffnen Sie ein neues PowerShell-Fenster mit erhöhten Rechten.

2. Führen Sie aus Install-Module AzureAD.

3. Führen Sie aus Import-Module AzureAD.

4. Führen Sie aus Connect-AzureRmAccount.

5. Melden Sie sich mit dem Administratorkonto an.

6. Führen Sie das folgende Cmdlet aus:

   Get-AzureADServicePrincipal -Filter "AppId eq '582b2e88-6cca-4418-83d2-2451801e1d26'"
   

   Wenn Sie keine Ausgabe erhalten, führen Sie Folgendes aus:

   New-AzureADServicePrincipal -AppId "582b2e88-6cca-4418-83d2-2451801e1d26"
   

7. Führen Sie das folgende Cmdlet aus:

   Get-AzureADServicePrincipal -Filter "AppId eq '0ab9de21-b802-4d77-b279-1ad41ca233b4'"
   

   Wenn Sie keine Ausgabe erhalten, führen Sie Folgendes aus:

   New-AzureADServicePrincipal -AppId "0ab9de21-b802-4d77-b279-1ad41ca233b4"
   

Verwenden des MS Graph-Moduls:

1. Führen Sie die folgenden Cmdlets aus:

   ## SIP Gateway API:
   Get-MgServicePrincipal -Filter "AppId eq '0ab9de21-b802-4d77-b279-1ad41ca233b4'"
   New-MgServicePrincipal -AppId "0ab9de21-b802-4d77-b279-1ad41ca233b4"
   

   ## SIP Gateway UserApp:
   Get-MgServicePrincipal -Filter "AppId eq '582b2e88-6cca-4418-83d2-2451801e1d26'"
   New-MgServicePrincipal -AppId "582b2e88-6cca-4418-83d2-2451801e1d26"
   

2. Nachdem Sie diese Cmdlets ausgeführt haben, sollten Sie die folgende Ausgabe erhalten, um fortzufahren:

   

Massenanmeldung von Geräten

Wenn Sie Massen-Sigin für Ihre Geräte verwenden, müssen Sie auch dieses zusätzliche Dienstprinzipal Teams SIP Gateway hinzufügen:

##Using AzureAd Module:
Get-AzureADServicePrincipal -Filter "AppId eq '61c8fd69-c13e-4ee6-aaa6-24ff71c09bca

Wenn Sie keine Ausgabe erhalten, führen Sie Folgendes aus:

New-AzureADServicePrincipal -AppId "61c8fd69-c13e-4ee6-aaa6-24ff71c09bca"

## Using MS Graph Module:
Get-AzureADServicePrincipal -Filter "AppId eq '61c8fd69-c13e-4ee6-aaa6-24ff71c09bca
New-MgServicePrincipal -AppId "61c8fd69-c13e-4ee6-aaa6-24ff71c09bca" 

Schritt 4: Zuweisen eines benutzerdefinierten Sicherheitsattributes zum SIP-Gateway

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.

2. Navigieren Sie zu Identitätsanwendungen>>Unternehmensanwendungen.

3. Löschen Sie alle Filter.

4. Suchen Sie nach SIP Gateway-API (0ab9de21-b802-4d77-b279-1ad41ca233b4), und wählen Sie sie aus.

5. Wählen Sie unterBenutzerdefinierte Sicherheitsattributeverwalten> die Option Zuweisung hinzufügen aus.

6. Wählen Sie unter Attributsatz den Attributsatz aus, den Sie in Schritt 1 erstellt haben.

7. Wählen Sie unter Attributname den Attributnamen aus, den Sie in Schritt 2 erstellt haben.

8. Wählen Sie unter Zugewiesene Werte die Option Werte hinzufügen aus, wählen Sie den Wert aus der Liste aus (in diesem Beispiel requireMFA), und wählen Sie dann Fertig aus.

   

9. Klicken Sie auf Speichern.

10. Führen Sie die gleichen Schritte für SIP Gateway UserApp (582b2e88-6cca-4418-83d2-2451801e1d26) aus.

11. Führen Sie die gleichen Schritte für Teams SIP Gateway (61c8fd69-c13e-4ee6-aaa6-24ff71c09bca) aus, falls Sie die Massenanmeldung für Ihre Geräte verwenden.

Schritt 5: Ausschließen dieses Attributs aus Ihrer Richtlinie für bedingten Zugriff

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.

2. Navigieren Sie zu Schutz>bedingter Zugriff.

3. Wählen Sie die Richtlinie aus, die Sie ändern möchten.

4. Wählen Sie unter Zielressourcen die folgenden Optionen aus, um dieses Feld automatisch ausfüllen zu können:

   • Wählen Sie in der Liste Wählen Sie aus, für was diese Richtlinie gilt die Option Cloud-Apps aus.
   • Wählen Sie auf der Registerkarte Einschließen die Option Alle Apps aus.
   • Wechseln Sie zur Registerkarte Ausschließen , suchen Sie unter Ausgeschlossene Cloud-Apps auswählen nach Microsoft Teams-Dienste , und klicken Sie auf Auswählen.

5. Wählen Sie Filter bearbeiten aus.

6. Legen Sie auf der Seite Filter bearbeitendie Option Konfigurieren auf Ja fest.

7. Wählen Sie das zuvor erstellte Attribut aus (in diesem Fall "exclAttrAllowMultiple").

8. Legen Sie Operator auf Contains fest.

9. Legen Sie Wert auf den Wert fest, der SIP-Gateway-Apps in Schritt 4 zugewiesen wurde (in diesem Fall requireMFA).

   

10. Wählen Sie Fertig aus.

11. Überprüfen und bestätigen Sie Ihre Einstellungen.

    

12. Wählen Sie Speichern aus, um Ihre Richtlinie zu aktivieren.

Verwandte Artikel

• Konfigurieren des SIP-Gateways
• Planen des SIP-Gateways