Modelli di accesso condizionale (anteprima)
I modelli di accesso condizionale offrono un metodo pratico per distribuire nuovi criteri allineati alle raccomandazioni Microsoft. Questi modelli sono progettati per fornire la protezione massima allineata ai criteri comunemente usati in vari tipi e posizioni dei clienti.
Esistono 14 modelli di criteri di accesso condizionale, filtrati in base a cinque scenari diversi:
- Proteggere le basi
- Zero Trust
- Lavoro remoto
- Proteggere gli amministratori
- Minacce emergenti
- Tutti
Trovare i modelli nel portale di Azure> Ascrittura accessocondizionale>di Sicurezza>di Azure Active Directory>Nuovo criterio dal modello (anteprima). Selezionare Mostra altro per visualizzare tutti i modelli di criteri in ogni scenario.
Importante
I criteri del modello di accesso condizionale escluderanno solo l'utente che crea il criterio dal modello. Se l'organizzazione deve escludere altri account, sarà possibile modificare i criteri dopo la creazione. Passare semplicemente a portale di Azure> Criterio diaccesso> condizionaledi Sicurezza>di Azure Active Directory>, selezionare i criteri per aprire l'editor e modificare gli utenti e i gruppi esclusi per selezionare gli account da escludere.
Per impostazione predefinita, ogni criterio viene creato in modalità solo report, si consiglia alle organizzazioni di testare e monitorare l'utilizzo, per garantire il risultato previsto, prima di attivare ogni criterio.
Le organizzazioni possono selezionare singoli modelli di criteri e:
- Visualizzare un riepilogo delle impostazioni dei criteri.
- Modificare per personalizzare in base alle esigenze dell'organizzazione.
- Esportare la definizione JSON da usare nei flussi di lavoro a livello di codice.
- Queste definizioni JSON possono essere modificate e quindi importate nella pagina principale dei criteri di accesso condizionale usando l'opzione Importa file di criteri .
Criteri dei modelli di accesso condizionale
- Bloccare l'autenticazione legacy*
- Richiedere l'autenticazione a più fattori per gli amministratori*
- Richiedere l'autenticazione a più fattori per tutti gli utenti*
- Richiedere l'autenticazione a più fattori per la gestione di Azure*
* Questi quattro criteri, se configurati insieme, forniscono funzionalità simili abilitate dalle impostazioni predefinite di sicurezza.
- Bloccare l'accesso per la piattaforma dei dispositivi sconosciuta o non supportata
- Nessuna sessione del browser persistente
- Richiedi app client approvate o protezione delle app
- Richiedere l'autenticazione a più fattori o un dispositivo aggiunto ad Azure AD conforme o ibrido per tutti gli utenti
- Richiedere un dispositivo aggiunto ad Azure AD conforme o ibrido per gli amministratori
- Richiedere l'autenticazione a più fattori per l'accesso a rischioRichiede Azure AD Premium P2
- Richiedere l'autenticazione a più fattori per l'accesso guest
- Richiedi la modifica della password per gli utenti ad alto rischioRichiede Azure AD Premium P2
- Protezione della registrazione delle informazioni di sicurezza
- Usa le restrizioni imposte dall'applicazione per i dispositivi non gestiti
Altre politiche comuni
Esclusioni di utenti
I criteri di accesso condizionale sono strumenti avanzati, è consigliabile escludere gli account seguenti dai criteri:
- Gli account di accesso di emergenza o critici per impedire il blocco degli account a livello di tenant. Nello scenario improbabile che tutti gli amministratori siano bloccati dal tenant, l'account amministrativo per l'accesso di emergenza può essere usato per accedere al tenant per eseguire le operazioni necessarie per ripristinare l'accesso.
- Altre informazioni sono disponibili nell'articolo Gestire gli account di accesso di emergenza in Azure AD.
- Gli account del servizio e le entità servizio, ad esempio l'account di sincronizzazione di Azure AD Connect. Gli account del servizio sono account non interattivi che non sono associati a un determinato utente. Vengono in genere usati dai servizi back-end che consentono l'accesso a livello di codice alle applicazioni, ma vengono usati anche per accedere ai sistemi per scopi amministrativi. Gli account del servizio di questo tipo dovrebbero essere esclusi poiché l'autenticazione a più fattori non può essere eseguita a livello di codice. Le chiamate effettuate dalle entità servizio non verranno bloccate dai criteri di accesso condizionale con ambito agli utenti. Usare l'accesso condizionale per le identità del carico di lavoro per definire criteri destinati alle entità servizio.
- Se l'organizzazione usa questi account negli script o nel codice, è consigliabile sostituirli con identità gestite. Come soluzione alternativa temporanea, è possibile escludere questi account specifici dai criteri di base.