Bloquear Autenticação de Maquinas fora do Dominio

Question

Olá,

Estou configurando uma politica de acesso condicional para bloquear usuários logarem através de maquinas fora do dominio.

O objetivo é que seja restringido a autenticação através da VPN em maquinas fora do dominio, realizado a seguinte configuração.

Registro do FortiGate SSL VPN como aplicação empresarial para autenticação SALM, após a configuração do aplicativo, foi feito a criação da politica de acesso condicional, com as condições da imagem a baixo configurado

A politica está aplicada para um usuário de teste, porem ao logar em uma maquina fora do dominio e em uma maquina no dominio, o bloqueio não é feito.

A politica aparece como não aplicada, mesmo o dispositivo sendo não compatível e não gerido

Preciso confirmar se a configuração está correta. Obrigado pela paciência em responder meus questionamentos.

Answer 1

Olá

Bem vindo à Comunidade Microsoft Azure

O comportamento indica que o Microsoft Entra ID não está reconhecendo o estado do dispositivo (no domínio ou não), pois o FortiGate SSL VPN não envia informações de conformidade durante a autenticação SAML. Assim, a política é marcada como “não aplicada”.

Verifique:

Configuração SAML: confirme que o FortiGate usa o Entra ID como IdP (guia oficial).

Condições da política: usuário, aplicativo e condição “Somente dispositivos híbridos ou compatíveis”.

Estado do dispositivo: execute dsregcmd /status e valide AzureAdJoined e DomainJoined.

Logs de login: em Microsoft Entra ID > Entradas de login, veja por que a política não foi aplicada.

Para garantir aplicação consistente, use Entra ID Join ou Intune para registrar e gerenciar os dispositivos.