Защита облачных ресурсов с помощью многофакторной проверки подлинности Microsoft Entra и AD FS
Если ваша организация федеративна с идентификатором Microsoft Entra, используйте многофакторную проверку подлинности Microsoft Entra или службы федерации Active Directory (AD FS) (AD FS) для защиты ресурсов, к которым обращается идентификатор Microsoft Entra. Используйте следующие процедуры для защиты ресурсов Microsoft Entra с помощью многофакторной проверки подлинности Microsoft Entra или службы федерации Active Directory (AD FS).
Примечание.
Задайте для параметра домена federatedIdpMfaBehavior значение enforceMfaByFederatedIdp (рекомендуется) или для параметра домена SupportsMFA значение $True. Параметр federatedIdpMfaBehavior переопределяет параметр SupportsMFA, если установлены оба.
Защита ресурсов Microsoft Entra с помощью AD FS
Чтобы защитить облачный ресурс, настройте правило утверждений, чтобы при выполнении пользователем двухфакторной проверки подлинности службы федерации Active Directory выдавали утверждение multipleauthn. Это утверждение передается в идентификатор Microsoft Entra. Для этого следуйте такой процедуре:
Откройте оснастку управления AD FS.
В левой части выберите Отношения доверия проверяющей стороны.
Щелкните правой кнопкой мыши Платформа удостоверений Microsoft Office 365 и выберите Изменить правила утверждений.
На вкладке "Правила преобразования выдачи" выберите Добавить правило.
В мастере добавления правила преобразования утверждения выберите Проход через входящее утверждение или его фильтрация в раскрывающемся списке и нажмите кнопку Далее.
Укажите имя правила.
Выберите Ссылки на методы проверки подлинности в качестве типа входящего утверждения.
Выберите Передавать все значения требования.
Нажмите кнопку Готово. Закройте консоль управления AD FS.
Доверенные IP-адреса для федеративных пользователей
Надежные IP-адреса позволяют администраторам обойти двухфакторную проверку подлинности для конкретных IP-адресов или для федеративных пользователей, запросы от которых формируются в их собственной интрасети. В следующих разделах описывается настройка обхода с помощью надежных IP-адресов. Для этого необходимо настроить транзит в службе федерации Active Directory или отфильтровывать входящие шаблоны утверждения с типом утверждения в корпоративной сети.
В этом примере для доверенных отношений с проверяющей стороной используется Microsoft 365.
Настройка правил утверждений AD FS
Первое, что необходимо сделать, — настроить утверждения AD FS. Создайте два правила утверждений: одно для типа утверждений в корпоративной сети и второе для пользователей, выполнивших вход.
Откройте оснастку управления AD FS.
В левой части выберите Отношения доверия проверяющей стороны.
Щелкните правой кнопкой мыши Microsoft Office 365 Identity Platform (Платформа удостоверений Microsoft Office 365) и выберите Edit Claim Rules (Изменить правила утверждений).
На вкладке "Правила преобразования выдачи" выберите Добавить правило.
В мастере добавления правила преобразования утверждения выберите Проход через входящее утверждение или его фильтрация в раскрывающемся списке и нажмите кнопку Далее.
В поле рядом с именем правила утверждения укажите имя правила. Пример: InsideCorpNet.
В раскрывающемся списке "Тип входящего утверждения" выберите В корпоративной сети.
Нажмите кнопку Готово.
На вкладке "Правила преобразования выдачи" выберите Добавить правило.
В мастере добавления правила преобразования утверждения выберите Отправка утверждений с помощью настраиваемого правила в раскрывающемся списке и нажмите кнопку Далее.
В поле "Имя правила утверждения" введите Не затрагивать пользователей, вошедших в систему.
В поле "Настраиваемое правило " введите следующее:
c:[Type == "https://schemas.microsoft.com/2014/03/psso"] => issue(claim = c);
Нажмите кнопку Готово.
Щелкните Применить.
Нажмите кнопку ОК.
Откройте оснастку управления AD FS.
Настройка доверенных IP-адресов многофакторной проверки подлинности Microsoft Entra с федеративными пользователями
Совет
Действия, описанные в этой статье, могут немного отличаться на портале, с который вы начинаете работу.
Теперь, когда утверждения добавлены, можно настроить надежные IP-адреса.
Войдите в Центр администрирования Microsoft Entra как минимум политику проверки подлинности Администратор istrator.
Перейдите к именованным расположениям условного доступа>.
В колонке Условный доступ — именованные расположения выберите Настроить надежные IP-адреса MFA
На странице Параметры службы в разделе доверенных IP-адресов выберите "Пропустить многофакторную проверку подлинности" для запросов от федеративных пользователей в моей интрасети.
Щелкните Сохранить.
Вот и все! Теперь федеративные пользователи Microsoft 365 должны использовать MFA только в том случае, если утверждение сформировано за пределами корпоративной сети.