Feltételes hozzáférés: Alkalmazások szűrése
Jelenleg a feltételes hozzáférési szabályzatok az összes alkalmazásra vagy az egyes alkalmazásokra alkalmazhatók. A nagy számú alkalmazással rendelkező szervezetek nehezen kezelhetik ezt a folyamatot több feltételes hozzáférési szabályzatban.
A feltételes hozzáférés alkalmazásszűrői lehetővé teszik a szervezetek számára a szolgáltatásnevek egyéni attribútumokkal való címkézését. Ezek az egyéni attribútumok ezután hozzáadódnak a feltételes hozzáférési szabályzatokhoz. Az alkalmazások szűrőinek kiértékelése a jogkivonat-kiállítási futtatókörnyezetben történik, gyakori kérdés, hogy az alkalmazások futásidőben vagy konfigurációs időben vannak-e hozzárendelve.
Ebben a dokumentumban létrehoz egy egyéni attribútumkészletet, hozzárendel egy egyéni biztonsági attribútumot az alkalmazáshoz, és létrehoz egy feltételes hozzáférési szabályzatot az alkalmazás védelméhez.
Szerepkörök hozzárendelése
Az egyéni biztonsági attribútumok biztonsági szempontból érzékenyek, és csak delegált felhasználók kezelhetik őket. Még a globális Rendszergazda istratorok sem rendelkeznek alapértelmezett engedélyekkel az egyéni biztonsági attribútumokhoz. Az alábbi szerepkörök közül legalább egyet ki kell osztani az attribútumokat kezelő vagy jelentéskészítő felhasználókhoz.
| Szerepkör neve | Leírás |
|---|---|
| Attribútum-hozzárendelési Rendszergazda istrator | Rendeljen hozzá egyéni biztonsági attribútumkulcsokat és értékeket a támogatott Microsoft Entra-objektumokhoz. |
| Attribútum-hozzárendelés-olvasó | Olvassa el a támogatott Microsoft Entra-objektumok egyéni biztonsági attribútumkulcsait és értékeit. |
| Attribútumdefiníciós Rendszergazda istrator | Egyéni biztonsági attribútumok definíciójának meghatározása és kezelése. |
| Attribútumdefiníció-olvasó | Olvassa el az egyéni biztonsági attribútumok definícióját. |
Rendelje hozzá a megfelelő szerepkört azokhoz a felhasználókhoz, akik a címtár hatókörében kezelik vagy jelentik ezeket az attribútumokat. A részletes lépésekért lásd : Szerepkör hozzárendelése.
Egyéni biztonsági attribútumok létrehozása
Kövesse a cikkben található utasításokat, egyéni biztonsági attribútumok hozzáadása vagy inaktiválása a Microsoft Entra-azonosítóban a következő attribútumkészlet és új attribútumok hozzáadásához.
- Hozzon létre egy ConditionalAccessTest nevű attribútumkészletet.
- Új, policyRequirement nevű attribútumok létrehozása, amelyek lehetővé teszik több érték hozzárendelését, és csak az előre definiált értékek hozzárendelését teszik lehetővé. A következő előre definiált értékeket adjuk hozzá:
- legacyAuthAllowed
- blockGuestUsers
- requireMFA
- requireCompliantDevice
- requireHybridJoinedDevice
- requireCompliantApp
Feljegyzés
Az alkalmazások feltételes hozzáférési szűrői csak "sztring" típusú egyéni biztonsági attribútumokkal működnek. Az egyéni biztonsági attribútumok támogatják a logikai adattípus létrehozását, de a feltételes hozzáférési szabályzat csak a "sztringet" támogatja.
Feltételes hozzáférési házirend létrehozása
- Jelentkezzen be a Microsoft Entra felügyeleti központba legalább feltételes hozzáférési Rendszergazda istratorként és attribútumdefiníció-olvasóként.
- Keresse meg a védelmi>feltételes hozzáférést.
- Válassza az Új szabályzat lehetőséget.
- Adjon nevet a házirendnek. Javasoljuk, hogy a szervezetek hozzanak létre egy értelmes szabványt a szabályzataik nevének megfelelően.
- A Hozzárendelések csoportban válassza ki a Felhasználók vagy a számítási feladat identitásait.
- A Belefoglalás csoportban válassza a Minden felhasználó lehetőséget.
- A Kizárás területen válassza ki a Felhasználók és csoportok lehetőséget, és válassza ki a szervezet vészhelyzeti hozzáférését vagy törés-üvegfiókját.
- Válassza a Kész lehetőséget.
- A Célerőforrások csoportban válassza a következő beállításokat:
- Válassza ki, hogy ez a szabályzat mire vonatkozik a felhőalkalmazásokra.
- Adja meg a Select apps (Alkalmazások kijelölése) lehetőséget.
- Válassza a Szűrő szerkesztése lehetőséget.
- Állítsa be a konfigurálást igen értékre.
- Válassza ki a korábban létrehozott, policyRequirement nevű attribútumot.
- Állítsa az operátort a Contains (Tartalmaz) értékre.
- Állítsa be az Érték értékét az MFA megkövetelésére.
- Válassza a Kész lehetőséget.
- A Hozzáférés-vezérlések>megadása csoportban válassza a Hozzáférés megadása, a Többtényezős hitelesítés megkövetelése, majd a Kiválasztás lehetőséget.
- Erősítse meg a beállításokat, és állítsa a Házirendengedélyezése csak jelentésre beállítást.
- Válassza a Létrehozás lehetőséget a szabályzat engedélyezéséhez.
Miután a rendszergazdák megerősítették a beállításokat a csak jelentéskészítési móddal, a házirend engedélyezése kapcsolót áthelyezhetik a Csak jelentés módról a Be értékre.
Egyéni attribútumok konfigurálása
1. lépés: Mintaalkalmazás beállítása
Ha már rendelkezik egy szolgáltatásnevet használó tesztalkalmazással, kihagyhatja ezt a lépést.
Állítson be egy mintaalkalmazást, amely bemutatja, hogyan futtathat egy feladat vagy egy Windows-szolgáltatás egy alkalmazásidentitást a felhasználó identitása helyett. Kövesse a rövid útmutatóban található utasításokat: Jogkivonat beszerzése és a Microsoft Graph API meghívása egy konzolalkalmazás identitásával az alkalmazás létrehozásához.
2. lépés: Egyéni biztonsági attribútum hozzárendelése egy alkalmazáshoz
Ha nem szerepel a bérlőben egy szolgáltatásnév, az nem célozható meg. Az Office 365 csomag egy példa egy ilyen szolgáltatásnévre.
- Jelentkezzen be a Microsoft Entra felügyeleti központba legalább feltételes hozzáférési Rendszergazda istratorként és attribútum-hozzárendelési Rendszergazda istratorként.
- Keresse meg az Identity>Applications>Enterprise-alkalmazásokat.
- Válassza ki azt a szolgáltatásnevet, amelyhez egyéni biztonsági attribútumot szeretne alkalmazni.
- Az Egyéni biztonsági attribútumok kezelése>csoportban válassza a Hozzárendelés hozzáadása lehetőséget.
- Az Attribútumkészlet csoportban válassza a ConditionalAccessTest lehetőséget.
- Az Attribútum neve területen válassza a policyRequirement lehetőséget.
- A Hozzárendelt értékek csoportban válassza az Értékek hozzáadása lehetőséget, válassza a requireMFA lehetőséget a listából, majd válassza a Kész lehetőséget.
- Válassza a Mentés lehetőséget.
3. lépés: A szabályzat tesztelése
Jelentkezzen be olyan felhasználóként, akire a szabályzat vonatkozna, és tesztelje, hogy az alkalmazás elérésekor szükség van-e az MFA-ra.
Egyéb forgatókönyvek
- Az örökölt hitelesítés letiltása
- Alkalmazások külső elérésének letiltása
- Megfelelő eszköz- vagy Intune-alkalmazásvédelmi szabályzatok megkövetelése
- Bejelentkezési gyakoriság-vezérlők kényszerítése adott alkalmazásokhoz
- Emelt szintű hozzáférési munkaállomás megkövetelése adott alkalmazásokhoz
- Munkamenet-vezérlők megkövetelése magas kockázatú felhasználókhoz és adott alkalmazásokhoz
Kapcsolódó tartalom
Feltételes hozzáférési sablonok
Az effektus meghatározása csak feltételes hozzáférési móddal