Criteri di accesso condizionale comuni: Richiedere L'autenticazione a più fattori per tutti gli utenti
Come Alex Weinert, la Directory of Identity Security at Microsoft, cita nel suo post di blog Il tuo pa$$word non importa:
La password non importa, ma MFA fa! In base ai nostri studi, il tuo account è più del 99,9% meno probabile che venga compromesso se usi MFA.
Le indicazioni contenute in questo articolo consentono all'organizzazione di creare criteri MFA per l'ambiente.
Esclusioni di utenti
I criteri di accesso condizionale sono potenti strumenti, è consigliabile escludere gli account seguenti dai criteri:
- Gli account di accesso di emergenza o critici per impedire il blocco degli account a livello di tenant. Nello scenario improbabile che tutti gli amministratori siano bloccati dal tenant, è possibile usare l'account amministrativo di accesso di emergenza per accedere al tenant per eseguire i passaggi per ripristinare l'accesso.
- Altre informazioni sono disponibili nell'articolo Gestire gli account di accesso di emergenza in Azure AD.
- Gli account del servizio e le entità servizio, ad esempio l'account di sincronizzazione di Azure AD Connect. Gli account del servizio sono account non interattivi che non sono associati a alcun utente specifico. In genere vengono usati dai servizi back-end che consentono l'accesso a livello di codice alle applicazioni, ma vengono usati anche per accedere ai sistemi per scopi amministrativi. Gli account del servizio di questo tipo dovrebbero essere esclusi poiché l'autenticazione a più fattori non può essere eseguita a livello di codice. Le chiamate effettuate dalle entità servizio non verranno bloccate dai criteri di accesso condizionale con ambito agli utenti. Usare l'accesso condizionale per le identità del carico di lavoro per definire criteri destinati alle entità servizio.
- Se l'organizzazione usa questi account negli script o nel codice, è consigliabile sostituirli con identità gestite. Come soluzione alternativa temporanea, è possibile escludere questi account specifici dai criteri di base.
Esclusioni dell'applicazione
Le organizzazioni possono avere molte applicazioni cloud in uso. Non tutte queste applicazioni possono richiedere la stessa sicurezza. Ad esempio, le applicazioni di pagamento e partecipazione possono richiedere MFA, ma la caffetteria probabilmente non è. Gli amministratori possono scegliere di escludere applicazioni specifiche dai criteri.
Attivazione dell'abbonamento
Le organizzazioni che usano l'attivazione della sottoscrizione per consentire agli utenti di "eseguire il passaggio" da una versione di Windows a un'altra, potrebbero voler escludere le API del servizio universal Store e l'applicazione Web, AppID 45a330b1-b1ec-4cc1-9161-9f0392a49f da tutti gli utenti tutti i criteri MFA delle app cloud.
Distribuzione del modello
Le organizzazioni possono scegliere di distribuire questo criterio usando i passaggi descritti di seguito o usando i modelli di accesso condizionale.
Creare criteri di accesso condizionale
La procedura seguente consente di creare criteri di accesso condizionale per richiedere l'autenticazione a più fattori.
- Accedere all'interfaccia di amministrazione Microsoft Entra come almeno un amministratore di accesso condizionale.
- Passare a Protezione>accesso condizionale.
- Selezionare Crea nuovi criteri.
- Assegnare un nome ai criteri. È consigliabile che le organizzazioni creino uno standard descrittivo per i nomi dei criteri.
- In Assegnazioni selezionare Utenti o identità del carico di lavoro.
- In Includi selezionare Tutti gli utenti
- In Escludi selezionare Utenti e gruppi e scegliere gli account di accesso di emergenza o gli account critici dell'organizzazione.
- In Risorse di destinazione>> App cloudIncludi selezionare Tutte le app cloud.
- In Escludi selezionare tutte le applicazioni che non richiedono l'autenticazione a più fattori.
- In Controlli>di accesso Concedere l'accesso selezionareConcediaccesso, Richiedi autenticazione a più fattori e selezionare Seleziona.
- Confermare le impostazioni e impostare Attiva criterio su Solo report.
- Selezionare Crea per creare e abilitare il criterio.
Dopo che gli amministratori confermano le impostazioni usando la modalità solo report, è possibile spostare l'opzione Abilita criterio solo da Report a Attiva.
Posizioni specifiche
Le organizzazioni possono scegliere di incorporare percorsi di rete noti noti come percorsi denominati ai criteri di accesso condizionale. Queste posizioni denominate possono includere reti IPv4 attendibili come quelle per una posizione principale dell'ufficio. Per altre informazioni sulla configurazione dei percorsi denominati, vedere l'articolo Qual è la condizione di posizione in Microsoft Entra l'accesso condizionale?
Nei criteri di esempio precedenti, un'organizzazione può scegliere di non richiedere l'autenticazione a più fattori se si accede a un'app cloud dalla rete aziendale. In questo caso, è possibile aggiungere la configurazione seguente al criterio:
- In Assegnazioni selezionarePosizionicondizioni>.
- Configurare Sì.
- Includere Tutte le località.
- Escludere Tutte le posizioni attendibili.
- Selezionare Fine.
- Selezionare Fine.
- Salvare le modifiche dei criteri.