Criteri di accesso condizionale comuni: Richiedere L'autenticazione a più fattori per tutti gli utenti

Come Alex Weinert, directory di Identity Security in Microsoft, cita nel suo post di blog Il tuo pa$$word non importa:

La password non importa, ma MFA fa! In base ai nostri studi, il tuo account è più del 99,9% meno probabile che venga compromesso se usi MFA.

Le linee guida contenute in questo articolo consentono all'organizzazione di creare criteri MFA per l'ambiente.

Esclusioni di utenti

I criteri di accesso condizionale sono potenti strumenti, è consigliabile escludere gli account seguenti dai criteri:

  • Gli account di accesso di emergenza o critici per impedire il blocco degli account a livello di tenant. Nello scenario improbabile che tutti gli amministratori siano bloccati dal tenant, è possibile usare l'account amministrativo di accesso di emergenza per accedere al tenant per eseguire i passaggi per ripristinare l'accesso.
  • Gli account del servizio e le entità servizio, ad esempio l'account di sincronizzazione di Azure AD Connect. Gli account del servizio sono account non interattivi che non sono associati a alcun utente specifico. In genere vengono usati dai servizi back-end che consentono l'accesso a livello di codice alle applicazioni, ma vengono usati anche per accedere ai sistemi per scopi amministrativi. Gli account del servizio di questo tipo dovrebbero essere esclusi poiché l'autenticazione a più fattori non può essere eseguita a livello di codice. Le chiamate effettuate dalle entità servizio non vengono bloccate dall'accesso condizionale.
    • Se l'organizzazione usa questi account negli script o nel codice, è consigliabile sostituirli con identità gestite. Come soluzione alternativa temporanea, è possibile escludere questi account specifici dai criteri di base.

Esclusioni dell'applicazione

Le organizzazioni possono avere molte applicazioni cloud in uso. Non tutte queste applicazioni possono richiedere la stessa sicurezza. Ad esempio, le applicazioni di pagamento e partecipazione possono richiedere MFA, ma la caffetteria probabilmente non è. Gli amministratori possono scegliere di escludere applicazioni specifiche dai criteri.

Attivazione dell'abbonamento

Le organizzazioni che usano l'attivazione della sottoscrizione per consentire agli utenti di "eseguire il passaggio" da una versione di Windows a un'altra, potrebbero voler escludere le API del servizio universal Store e l'applicazione Web, AppID 45a330b1-b1ec-4cc1-9161-9f0392a49f da tutti gli utenti tutti i criteri MFA delle app cloud.

Distribuzione del modello

Le organizzazioni possono scegliere di distribuire questo criterio usando i passaggi descritti di seguito o usando i modelli di accesso condizionale (anteprima).

Creare criteri di accesso condizionale

La procedura seguente consente di creare criteri di accesso condizionale per richiedere a tutti gli utenti l'autenticazione a più fattori.

  1. Accedere alla portale di Azure come amministratore di accesso condizionale, amministratore della sicurezza o amministratore globale.
  2. Passare ad Azure Active Directory>Sicurezza>Accesso condizionale.
  3. Selezionare Nuovi criteri.
  4. Assegnare un nome ai criteri. È consigliabile che le organizzazioni creino uno standard descrittivo per i nomi dei criteri.
  5. In Assegnazioni selezionare Utenti o identità del carico di lavoro.
    1. In Includi selezionare Tutti gli utenti
    2. In Escludi selezionare Utenti e gruppi e scegliere gli account di accesso di emergenza o gli account critici dell'organizzazione.
  6. In Applicazioni cloud o azioni>Includi selezionare Tutte le app cloud.
    1. In Escludi selezionare tutte le applicazioni che non richiedono l'autenticazione a più fattori.
  7. In Controlli>di accesso Concedere l'accesso selezionareConcediaccesso, Richiedi autenticazione a più fattori e selezionare Seleziona.
  8. Confermare le impostazioni e impostare Attiva criterio su Solo report.
  9. Selezionare Crea per creare e abilitare il criterio.

Dopo aver confermato le impostazioni usando la modalità di solo report, un amministratore può spostare l'opzione Abilita criterio solo da Report a Attiva.

Posizioni specifiche

Le organizzazioni possono scegliere di incorporare percorsi di rete noti noti come percorsi denominati ai criteri di accesso condizionale. Queste posizioni denominate possono includere reti IPv4 attendibili come quelle per una posizione principale dell'ufficio. Per altre informazioni sulla configurazione dei percorsi denominati, vedere l'articolo Qual è la condizione di posizione in Accesso condizionale di Azure Active Directory?

Nel criterio di esempio precedente, un'organizzazione può scegliere di non richiedere l'autenticazione a più fattori se si accede a un'app cloud dalla rete aziendale. In questo caso, è possibile aggiungere la configurazione seguente al criterio:

  1. In Assegnazioni selezionarePosizionicondizioni>.
    1. Configurare .
    2. Includere Tutte le località.
    3. Escludere Tutte le posizioni attendibili.
    4. Selezionare Fine.
  2. Selezionare Fine.
  3. Salvare le modifiche dei criteri.

Passaggi successivi

Criteri comuni di accesso condizionale

Simulare il comportamento di accesso usando lo strumento What If per l'accesso condizionale