Konfigurera och aktivera riskprinciper
Som vi lärde oss i föregående artikel, Riskbaserade åtkomstprinciper, finns det två typer av riskprinciper i Microsoft Entra Villkorlig åtkomst som du kan konfigurera. Du kan använda dessa principer för att automatisera svaret på risker som gör det möjligt för användare att självreparera när risker upptäcks:
- Princip för inloggningsrisk
- Princip för användarrisk
Välja godtagbara risknivåer
Organisationer måste bestämma vilken risknivå de vill kräva åtkomstkontroll för att balansera användarupplevelsen och säkerhetsstatusen.
Om du väljer att använda åtkomstkontroll på hög risknivå minskar antalet gånger en princip utlöses och minskar friktionen för användarna. Den utesluter dock små och medelstora risker från principen, vilket kanske inte blockerar en angripare från att utnyttja en komprometterad identitet. Om du väljer en låg risknivå för att kräva åtkomstkontroll introduceras fler användaravbrott.
Konfigurerade betrodda nätverksplatser används av Identity Protection i vissa riskidentifieringar för att minska falska positiva identifieringar.
De principkonfigurationer som följer inkluderar sessionskontrollen för inloggningsfrekvens som kräver en omautentisering för riskfyllda användare och inloggningar.
Riskreparation
Organisationer kan välja att blockera åtkomst när risker identifieras. Blockering hindrar ibland legitima användare från att göra det de behöver. En bättre lösning är att tillåta självreparation med hjälp av Microsoft Entra multifaktorautentisering och säker lösenordsändring.
Varning
Användare måste registrera sig för Microsoft Entra multifaktorautentisering innan de ställs inför en situation som kräver reparation. För hybridanvändare som synkroniseras från lokalt till molnet måste tillbakaskrivning av lösenord ha aktiverats på dem. Användare som inte är registrerade blockeras och kräver administratörsintervention.
Lösenordsändring (jag känner till mitt lösenord och vill ändra det till något nytt) utanför det riskfyllda åtgärdsflödet för användarprinciper uppfyller inte kravet på säker lösenordsändring.
Microsofts rekommendation
Microsoft rekommenderar följande riskprincipkonfigurationer för att skydda din organisation:
- Princip för användarrisk
- Kräv en säker lösenordsändring när användarrisknivån är hög. Microsoft Entra multifaktorautentisering krävs innan användaren kan skapa ett nytt lösenord med tillbakaskrivning av lösenord för att åtgärda risken.
- Inloggningsriskprincip
- Kräv Microsoft Entra multifaktorautentisering när inloggningsrisknivån är medelhög eller hög, så att användarna kan bevisa att det är dem genom att använda någon av deras registrerade autentiseringsmetoder, vilket åtgärdar inloggningsrisken.
Att kräva åtkomstkontroll när risknivån är låg medför mer friktion och användaren avbryter än medel eller hög. Om du väljer att blockera åtkomst i stället för att tillåta självreparationsalternativ, till exempel säker lösenordsändring och multifaktorautentisering, påverkas användarna och administratörerna ännu mer. Väg de här valen när du konfigurerar dina principer.
Exkluderingar
Principer gör det möjligt att exkludera användare, till exempel dina administratörskonton för nödfall eller break-glass-administratörskonton. Organisationer kan behöva undanta andra konton från specifika principer baserat på hur kontona används. Undantag bör granskas regelbundet för att se om de fortfarande är tillämpliga.
Aktivera principer
Organisationer kan välja att distribuera riskbaserade principer i villkorsstyrd åtkomst med hjälp av följande steg eller med hjälp av mallar för villkorsstyrd åtkomst.
Innan organisationer aktiverar reparationsprinciper bör de undersöka och åtgärda eventuella aktiva risker.
Användarriskprincip i villkorsstyrd åtkomst
- Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
- Bläddra till Villkorlig åtkomst för skydd>.
- Välj Ny princip.
- Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
- Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
- Under Inkludera väljer du Alla användare.
- Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
- Välj Klar.
- Under Molnappar eller åtgärder>Inkludera väljer du Alla molnappar.
- Under Villkor>Användarrisk anger du Konfigurera till Ja.
- Under Konfigurera de användarrisknivåer som krävs för att principen ska tillämpas väljer du Hög. (Den här vägledningen baseras på Microsofts rekommendationer och kan vara olika för varje organisation)
- Välj Klar.
- Under Åtkomstkontroller>Bevilja.
- Välj Bevilja åtkomst, Kräv multifaktorautentisering och Kräv lösenordsändring.
- Välj Välj.
- Under Session.
- Välj Inloggningsfrekvens.
- Se till att Varje gång har valts.
- Välj Välj.
- Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
- Välj Skapa för att skapa för att aktivera principen.
När administratörerna har bekräftat inställningarna med läget endast rapport kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.
Inloggningsriskprincip i villkorsstyrd åtkomst
- Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
- Bläddra till Villkorlig åtkomst för skydd>.
- Välj Ny princip.
- Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
- Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
- Under Inkludera väljer du Alla användare.
- Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
- Välj Klar.
- Under Molnappar eller åtgärder>Inkludera väljer du Alla molnappar.
- Under Villkor>Inloggningsrisk anger du Konfigurera till Ja. Under Välj den risknivå för inloggning som den här principen gäller för. (Den här vägledningen baseras på Microsofts rekommendationer och kan vara olika för varje organisation)
- Välj Hög och Medel.
- Välj Klar.
- Under Åtkomstkontroller>Bevilja.
- Välj Bevilja åtkomst, Kräv multifaktorautentisering.
- Välj Välj.
- Under Session.
- Välj Inloggningsfrekvens.
- Se till att Varje gång har valts.
- Välj Välj.
- Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
- Välj Skapa för att skapa för att aktivera principen.
När administratörerna har bekräftat inställningarna med läget endast rapport kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.
Migrera riskprinciper till villkorlig åtkomst
Varning
De äldre riskprinciperna som konfigurerats i Microsoft Entra ID Protection dras tillbaka den 1 oktober 2026.
Om du har aktiverat riskprinciper i Microsoft Entra-ID bör du planera att migrera dem till villkorlig åtkomst:
Migrera till villkorlig åtkomst
- Skapa en motsvarandeanvändarriskbaserad och inloggningsriskbaserad princip i villkorsstyrd åtkomst i rapportläge. Du kan skapa en princip med föregående steg eller använda mallar för villkorsstyrd åtkomst baserat på Microsofts rekommendationer och organisationens krav.
- Se till att den nya riskprincipen för villkorsstyrd åtkomst fungerar som förväntat genom att testa den i rapportläge.
- Aktivera den nya riskprincipen för villkorsstyrd åtkomst. Du kan välja att båda principerna ska köras sida vid sida för att bekräfta att de nya principerna fungerar som förväntat innan du inaktiverar riskprinciperna för ID Protection.
- Bläddra tillbaka till Villkorlig åtkomst för skydd>.
- Välj den här nya principen om du vill redigera den.
- Ange Aktivera princip till På för att aktivera principen
- Inaktivera de gamla riskprinciperna i ID Protection.
- Bläddra till Skydd>identitetsskydd> Välj principen Användarrisk eller Inloggningsrisk.
- Ange Framtvinga princip till Inaktiverad
- Skapa andra riskprinciper om det behövs i villkorsstyrd åtkomst.