Condividi tramite

Risolvere i problemi relativi ai criteri di accesso condizionale con lo strumento What If

Lo strumento What If dei criteri di accesso condizionale ti aiuta a comprendere il risultato dei criteri di accesso condizionale nel tuo ambiente. Può essere utile quando si simulano scenari non comuni, consentendo di progettare criteri di sicurezza più completi. Invece di testare manualmente i criteri con più accessi, questo strumento ti aiuta a simulare un accesso per un utente o un principale servizio. La simulazione stima il modo in cui i tuoi criteri influiscono sull'accesso e genera un report.

Lo strumento e le APIWhat If consentono di determinare rapidamente i criteri applicabili a un utente specifico o a un'entità servizio a tenant singolo. Usare queste informazioni per risolvere i problemi, comprendere quali criteri si applicano a condizioni di accesso specifiche e testare scenari di accesso complessi.

Funzionamento

Lo strumento What If per l'accesso condizionale è basato sull'API di valutazione What If. Per usare lo strumento, iniziare configurando le condizioni dello scenario di accesso da simulare. La configurazione deve includere:

  • Il principale di servizio utente o tenant singolo che si vuole testare.
  • Le app cloud, l'azione che l'utente tenta di eseguire o i dati sensibili che sono protetti dal contesto di autenticazione a cui tentano di accedere.
  • Condizioni di accesso in base alle quali viene eseguito il tentativo di accesso.

Importante

Lo strumento What If non verifica le dipendenze del servizio di accesso condizionale. Ad esempio, se si usa What If per testare un criterio di accesso condizionale per Microsoft Teams, il risultato non considera i criteri applicabili a Office 365 Exchange Online, una dipendenza del servizio di accesso condizionale per Microsoft Teams.

Avviare quindi un'esecuzione di simulazione che valuta le impostazioni. Solo le politiche abilitate o in modalità di sola segnalazione sono incluse in un'esecuzione di valutazione.

Al termine della valutazione, lo strumento genera un report dei criteri interessati. Per raccogliere ulteriori informazioni su una politica di accesso condizionale, utilizzare il reporting per-policy sull'accesso condizionale o il workbook di rapporti e approfondimenti sull'accesso condizionale per dettagli sui criteri in modalità solo report o attualmente abilitati.

Eseguire lo strumento What If

È possibile trovare lo strumento What If nell'interfaccia di >ID>Criteri> diaccesso> condizionaleWhat If.

Screenshot della pagina Criteri di accesso condizionale con lo strumento What If evidenziato nella barra degli strumenti.

Per eseguire la valutazione 'Cosa succede se', specificare le condizioni da valutare.

Condizioni

Sono necessarie le condizioni seguenti: identità, risorsa di destinazione, piattaforma del dispositivo e app client. Tutte le altre condizioni sono facoltative e si presuppone che vengano impostate su nessuno per impostazione predefinita se non viene specificato alcun valore. Per le definizioni di queste condizioni, vedere l'articolo Creazione di criteri di accesso condizionale.

Screenshot della pagina What If che mostra i campi per l'immissione delle condizioni.

Valutazione

Avviare una valutazione facendo clic su What If. Al termine della valutazione, viene generato un report contenente gli elementi seguenti:

  • Indicatore che indica se i criteri classici esistono nell'ambiente in uso.
  • Criteri che si applicano all'identità dell'utente o del carico di lavoro.
  • Policy che non si applicano all'identità dell'utente o all'identità di carico di lavoro.

Screenshot di un esempio della valutazione dei criteri nello strumento What If che mostra i criteri che verrebbero applicati.

L'elenco dei criteri applicabili include anche i controlli di concessione e i controlli di sessione che devono essere soddisfatti.

L'elenco dei criteri che non si applica includono i motivi per cui questi criteri non si applicano. Per ogni criterio elencato, il motivo rappresenta la prima condizione che non è stata soddisfatta.

Ha un filtro indica se la politica ha filtri dell'app che usano attributi di sicurezza personalizzati.

Differenze principali tra l'API di valutazione What If e l'esperienza legacy

L'API What If Evaluation è un'API Microsoft Graph chiamata dall'esperienza Conditional Access. Lo strumento What If basato sull'API What If Evaluation è attualmente disponibile in anteprima pubblica. L'API è diversa dalla valutazione What If legacy in alcuni modi:

  1. L'API "What-if" è un'API pubblica e completamente supportata (una volta che l'API è generalmente disponibile). L'API può essere usata tramite l'esperienza utente di accesso condizionale e l'API Microsoft Graph.
  2. La logica è allineata alla logica di autenticazione usata durante l'accesso per fornire una valutazione più accurata dei criteri.
  3. L'API What-if richiede che tutti i parametri di accesso siano definiti affinché la valutazione offra i risultati più precisi. Se il tenant ha criteri con condizioni specifiche e i dettagli di accesso per tali condizioni non vengono forniti, l'API What If non riesce a valutare tali condizioni.

Annotazioni

Per specificare l'applicazione, specificare l'ID app. I gruppi di app, ad esempio Office 365 o i portali di amministrazione Microsoft, non generano una corrispondenza.

Esempi

In questo esempio vengono evidenziate le differenze principali:

Si supponga di avere un criterio di accesso condizionale con la configurazione seguente:

  • Utente: tutti gli utenti
  • Risorsa: Office 365
  • Località: Stati Uniti
  • Rischio di accesso: alto
Esempio Parametri Risultato basato sulla valutazione What If legacy Risultato basato sulla nuova API di valutazione What If
1 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb" Si applica Non applicabile
2 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-000000000000" 		Si applica Non applicabile
3 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-000000000000"
Location = "US"		 Si applica Si applica
4 UserId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
ApplicationId = "00000003-0000-0ff1-ce00-000000000000"
 Location = "US"
 Rischio di accesso = "Alto"
Si applica Si applica

Contenuto correlato