Delen via

Meervoudige verificatiesterkte vereisen voor externe gebruikers

  • Artikel

Verificatiesterkte is een besturingselement voor voorwaardelijke toegang waarmee u een specifieke combinatie van meervoudige verificatiemethoden (MFA) kunt definiëren die een externe gebruiker moet voltooien voor toegang tot uw resources. Dit besturingselement is vooral handig voor het beperken van externe toegang tot gevoelige apps in uw organisatie. U kunt bijvoorbeeld een beleid voor voorwaardelijke toegang maken, een phishingbestendige verificatiesterkte in het beleid vereisen en deze toewijzen aan gasten en externe gebruikers.

Microsoft Entra ID biedt drie ingebouwde verificatiesterkten:

  • Meervoudige verificatiesterkte (minder beperkend) aanbevolen in dit artikel
  • MFA-sterkte zonder wachtwoord
  • Phishingbestendige MFA-sterkte (meest beperkend)

U kunt een van de ingebouwde sterke punten gebruiken of een aangepaste verificatiesterkte maken op basis van de verificatiemethoden die u wilt vereisen.

In externe gebruikersscenario's kunnen de MFA-verificatiemethoden die een resourcetenant accepteert, variëren, afhankelijk van of de gebruiker MFA in de thuistenant of in de resourcetenant voltooit. Zie Verificatiesterkte voor externe gebruikers voor meer informatie.

Notitie

Op dit moment kunt u alleen beleidsregels voor verificatiesterkte toepassen op externe gebruikers die zich verifiëren met Microsoft Entra-id. Gebruik voor eenmalige wachtwoordcode voor e-mail, SAML/WS-Fed en Google-federatiegebruikers de MFA-toekenningsbeheer om MFA te vereisen.

Toegangsinstellingen voor meerdere tenants configureren om MFA te vertrouwen

Beleidsregels voor verificatiesterkte werken samen met MFA-vertrouwensinstellingen in uw instellingen voor toegang tussen tenants om te bepalen waar en hoe de externe gebruiker MFA moet uitvoeren. Een Microsoft Entra-gebruiker wordt eerst geverifieerd met een eigen account in hun eigen tenant. Wanneer deze gebruiker vervolgens toegang probeert te krijgen tot uw resource, past Microsoft Entra ID het beleid voor voorwaardelijke toegang van de verificatiesterkte toe en controleert of u MFA-vertrouwensrelatie hebt ingeschakeld.

  • Als MFA-vertrouwensrelatie is ingeschakeld, controleert Microsoft Entra-id de verificatiesessie van de gebruiker op een claim die aangeeft dat MFA is voldaan in de basistenant van de gebruiker.
  • Als de MFA-vertrouwensrelatie is uitgeschakeld, biedt de resourcetenant de gebruiker een uitdaging om MFA in de resourcetenant te voltooien met behulp van een acceptabele verificatiemethode.

De verificatiemethoden die externe gebruikers kunnen gebruiken om aan MFA-vereisten te voldoen, zijn verschillend, afhankelijk van of de gebruiker MFA in hun thuistenant of de resourcetenant voltooit. Zie de tabel in de sterkte van de verificatie voor voorwaardelijke toegang.

Belangrijk

Voordat u het beleid voor voorwaardelijke toegang maakt, controleert u de instellingen voor toegang tussen tenants om ervoor te zorgen dat uw binnenkomende MFA-vertrouwensinstellingen zijn geconfigureerd zoals bedoeld.

Uitsluitingen van gebruikers

Beleid voor voorwaardelijke toegang zijn krachtige hulpprogramma's. Het is raadzaam om de volgende accounts uit uw beleid uit te sluiten:

  • Accounts voor noodtoegang of break-glass om vergrendeling te voorkomen vanwege onjuiste configuratie van beleid. In het onwaarschijnlijke scenario zijn alle beheerders vergrendeld, kan uw beheerdersaccount voor noodtoegang worden gebruikt om u aan te melden en stappen uit te voeren om de toegang te herstellen.
  • Serviceaccounts en service-principals, zoals het Microsoft Entra Connect-synchronisatieaccount. Serviceaccounts zijn niet-interactieve accounts die niet zijn gebonden aan een bepaalde gebruiker. Ze worden normaal gebruikt door back-end services die programmatische toegang tot toepassingen mogelijk maken, maar worden ook gebruikt om in te loggen op systemen voor administratieve doeleinden. Oproepen van service-principals worden niet geblokkeerd door beleid voor voorwaardelijke toegang dat is gericht op gebruikers. Gebruik Voorwaardelijke toegang voor workload-identiteiten om beleidsregels te definiëren die gericht zijn op service-principals.
    • Als uw organisatie deze accounts in scripts of code gebruikt, kunt u overwegen om deze te vervangen door beheerde identiteiten.

Beleid voor voorwaardelijke toegang maken

Gebruik de volgende stappen om een beleid voor voorwaardelijke toegang te maken dat een verificatiesterkte toepast op externe gebruikers.

Waarschuwing

Als u externe verificatiemethoden gebruikt, zijn deze momenteel niet compatibel met de verificatiesterkte en moet u het besturingselement Meervoudige verificatie verlenen vereisen gebruiken.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als Beheerder voor voorwaardelijke toegang.
  2. Blader naar het beleid voor voorwaardelijke toegang>beveiligen.>
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleidsregels.
  5. Onder Toewijzingen selecteert u Gebruikers- of workload-identiteiten.
    1. Kies onder Opnemen de optie Gebruikers en groepen selecteren en selecteer vervolgens Gast- of externe gebruikers.
      1. Selecteer de typen gast- of externe gebruikers waarop u het beleid wilt toepassen.
    2. Selecteer bij Uitsluiten de optie Gebruikers en groepen en selecteer de accounts voor toegang bij noodgevallen van uw organisatie.
  6. Selecteer onder Doelresources>Cloud-apps onder Opnemen of Uitsluiten alle toepassingen die u wilt opnemen in of uitsluiten van de vereisten voor verificatiesterkte.
  7. Selecteer bijToegangsbeheer>Verlenen de optie Toegang verlenen.
    1. Selecteer Verificatiesterkte vereisen en selecteer vervolgens de juiste ingebouwde of aangepaste verificatiesterkte in de lijst.
    2. Selecteer Selecteren.
  8. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  9. Selecteer Maken om het beleid te kunnen inschakelen.

Nadat u uw instellingen hebt bevestigd met de modus Alleen-rapport, kan een beheerder de wisselknop Beleid inschakelen van alleen rapport naar Aan verplaatsen.

Gerelateerde inhoud