Compartir vía


Crear una nueva directiva de acceso condicional

Como se explica en el artículo ¿Qué es el acceso condicional?, una directiva de acceso condicional es una instrucción if-then de asignaciones y controles de acceso. Una directiva de acceso condicional combina señales para tomar decisiones y aplicar directivas organizativas.

¿Cómo crea una organización estas directivas? ¿Qué es necesario? ¿Cómo se aplican?

Diagrama que muestra el concepto de señales de acceso condicional más la decisión de aplicar la directiva de la organización.

Varias directivas de acceso condicional se pueden aplicar a un usuario individual en cualquier momento. En este caso, se deben cumplir todas las directivas aplicables. Por ejemplo, si una directiva requiere autenticación multifactor y otra requiere un dispositivo compatible, debe completar MFA y usar un dispositivo compatible. Todas las asignaciones se combinan lógicamente mediante AND. Si tiene más de una asignación configurada, se deben satisfacer todas las asignaciones para desencadenar una directiva.

Si se selecciona una directiva con "Requerir uno de los controles seleccionados", aparecerán mensajes en el orden definido. Una vez que se cumplen los requisitos de directiva, se concede acceso.

Todas las directivas se aplican en dos fases:

Asignaciones

La sección asignaciones define quién, qué y dónde para la directiva de acceso condicional.

Usuarios y grupos

Los usuarios y grupos asignan quién incluye o excluye la directiva cuando se aplica. Esta asignación puede incluir todos los usuarios, grupos específicos de usuarios, roles de directorio o usuarios invitados externos. Las organizaciones con licencias de identificador de carga de trabajo de Microsoft Entra también pueden tener como destino identidades de carga de trabajo .

Las directivas destinadas a roles o grupos solo se evalúan cuando se emite un token. Esto significa lo siguiente:

  • Los usuarios recién agregados a un rol o grupo no están sujetos a la directiva hasta que obtienen un nuevo token.
  • Si un usuario ya tiene un token válido antes de agregarse al rol o grupo, la directiva no se aplica retroactivamente.

El procedimiento recomendado es desencadenar la evaluación del acceso condicional durante la activación de roles o la activación de pertenencia a grupos mediante Microsoft Entra Privileged Identity Management.

Recursos de destino

Los recursos de destino pueden incluir o excluir aplicaciones en la nube, acciones de usuario o contextos de autenticación que están sujetos a la directiva.

Red

La red contiene direcciones IP, zonas geográficas y la red compatible de Global Secure Access para las decisiones de política de acceso condicional. Los administradores pueden definir ubicaciones y marcar algunas como de confianza, como las ubicaciones de red principales de su organización.

Condiciones

Una directiva puede contener varias condiciones.

Riesgo de inicio de sesión

En el caso de las organizaciones con Microsoft Entra ID Protection, las detecciones de riesgo generadas allí pueden influir en las directivas de acceso condicional.

Plataformas de dispositivo

Las organizaciones con varias plataformas de sistema operativo de dispositivos pueden aplicar directivas específicas en distintas plataformas.

La información que se usa para determinar que la plataforma del dispositivo procede de orígenes no comprobados, como cadenas de agente de usuario que se pueden cambiar.

Aplicaciones cliente

El software que emplea el usuario para acceder a la aplicación en la nube. Por ejemplo, "Explorador" y "Aplicaciones móviles y clientes de escritorio". De forma predeterminada, todas las directivas de acceso condicional recién creadas se aplican a todos los tipos de aplicaciones cliente, incluso si la condición de las aplicaciones cliente no está configurada.

Filtro para dispositivos

Este control permite dirigirse a dispositivos específicos en función de sus atributos en una directiva.

Controles de acceso

La parte de controles de acceso de la directiva de acceso condicional controla cómo se aplica una directiva.

Concesión

Grant proporciona a los administradores un medio de aplicación de directivas donde pueden bloquear o conceder acceso.

Bloquear el acceso

Bloquear el acceso bloquea el acceso en las asignaciones especificadas. Este control es eficaz y requiere conocimientos adecuados para usar de forma eficaz.

Conceder acceso

El control grant desencadena la aplicación de uno o varios controles.

  • Requiere autenticación multifactor
  • Requerir intensidad de autenticación
  • Requerir que el dispositivo esté marcado como compatible (Intune)
  • Requerir un dispositivo híbrido unido a Microsoft Entra
  • Requerir aplicación cliente aprobada
  • Requerir la directiva de protección de aplicaciones
  • Requerir cambio de contraseña
  • Requerir condiciones de uso

Los administradores eligen requerir uno de los controles anteriores o todos los controles seleccionados mediante las siguientes opciones. De forma predeterminada, varios controles requieren todos.

  • Requerir todos los controles seleccionados (control y control)
  • Requerir uno de los controles seleccionados (control o control)

Sesión

Los controles de sesión pueden limitar la experiencia de los usuarios.

  • Usar restricciones impuestas por la aplicación:
    • Solo funciona con Exchange Online y SharePoint Online.
    • Pasa la información del dispositivo para controlar la experiencia, concediéndole acceso completo o limitado.
  • Usar el control de acceso condicional de aplicaciones:
    • Usa señales de Microsoft Defender for Cloud Apps para hacer cosas como:
      • Bloquear la descarga, cortar, copiar e imprimir documentos confidenciales.
      • Monitorear el comportamiento arriesgado de las sesiones.
      • Requerir el etiquetado de archivos confidenciales.
  • Frecuencia de inicio de sesión:
    • Capacidad de cambiar la frecuencia de inicio de sesión predeterminada para la autenticación moderna.
  • Sesión persistente del explorador:
    • Permite a los usuarios permanecer conectados después de cerrar y volver a abrir su ventana del explorador.
  • Personalice la evaluación continua del acceso.
  • Deshabilite los valores predeterminados de resistencia.

Directivas sencillas

Una directiva de acceso condicional debe incluir al menos lo siguiente para que se aplique:

  • Nombre de la directiva
  • Asignaciones
    • Usuarios o grupos a los que aplicar la directiva
    • Recursos de destino para aplicar la directiva a
  • Controles de acceso
    • Conceder o bloquear controles

Directiva de acceso condicional en blanco

En el artículo Directivas de acceso condicional comunes se incluyen directivas que pueden resultar útiles para la mayoría de las organizaciones.