Konfigurera och aktivera riskprinciper

  • Artikel

Som vi har lärt oss i artikeln Riskbaserade åtkomstprinciper finns det två typer av riskprinciper i Microsoft Entra Villkorlig åtkomst som du kan konfigurera. Du kan använda dessa principer för att automatisera svaret på risker som gör det möjligt för användare att självreparera när risker upptäcks:

  • Princip för inloggningsrisk
  • Princip för användarrisk

Skärmbild av en princip för villkorsstyrd åtkomst som visar risk som villkor.

Välja godtagbara risknivåer

Organisationer måste bestämma vilken risknivå de vill kräva åtkomstkontroll för att balansera användarupplevelsen och säkerhetsstatusen.

Om du väljer att använda åtkomstkontroll på hög risknivå minskar antalet gånger en princip utlöses och minskar friktionen för användarna. Den utesluter dock små och medelstora risker från principen, vilket kanske inte blockerar en angripare från att utnyttja en komprometterad identitet. Om du väljer en låg risknivå för att kräva åtkomstkontroll introduceras fler användaravbrott.

Konfigurerade betrodda nätverksplatser används av Identity Protection i vissa riskidentifieringar för att minska falska positiva identifieringar.

De principkonfigurationer som följer inkluderar sessionskontrollen för inloggningsfrekvens som kräver en omautentisering för riskfyllda användare och inloggningar.

Microsofts rekommendation

Microsoft rekommenderar följande riskprincipkonfigurationer för att skydda din organisation:

  • Princip för användarrisk
    • Kräv en säker lösenordsändring när användarrisknivån är hög. Microsoft Entra multifaktorautentisering krävs innan användaren kan skapa ett nytt lösenord med tillbakaskrivning av lösenord för att åtgärda risken.
  • Inloggningsriskprincip
    • Kräv Microsoft Entra multifaktorautentisering när inloggningsrisknivån är medelhög eller hög, så att användarna kan bevisa att det är dem genom att använda någon av deras registrerade autentiseringsmetoder, vilket åtgärdar inloggningsrisken.

Att kräva åtkomstkontroll när risknivån är låg medför mer friktion och användaren avbryter än medel eller hög. Om du väljer att blockera åtkomst i stället för att tillåta självreparationsalternativ, till exempel säker lösenordsändring och multifaktorautentisering, påverkas användarna och administratörerna ännu mer. Väg de här valen när du konfigurerar dina principer.

Riskreparation

Organisationer kan välja att blockera åtkomst när risker identifieras. Blockering hindrar ibland legitima användare från att göra det de behöver. En bättre lösning är att tillåta självreparation med hjälp av Microsoft Entra multifaktorautentisering och säker lösenordsändring.

Varning

Användare måste registrera sig för Microsoft Entra multifaktorautentisering innan de ställs inför en situation som kräver reparation. För hybridanvändare som synkroniseras från lokalt till molnet måste tillbakaskrivning av lösenord ha aktiverats på dem. Användare som inte är registrerade blockeras och kräver administratörsintervention.

Lösenordsändring (jag känner till mitt lösenord och vill ändra det till något nytt) utanför det riskfyllda åtgärdsflödet för användarprinciper uppfyller inte kravet på säker lösenordsändring.

Migrera riskprinciper till villkorlig åtkomst

Om du har äldre riskprinciper aktiverade i Microsoft Entra ID Protection bör du planera att migrera dem till villkorlig åtkomst:

Varning

De äldre riskprinciperna som konfigurerats i Microsoft Entra ID Protection dras tillbaka den 1 oktober 2026.

Migrera till villkorlig åtkomst

  1. Skapa en motsvarandeanvändarriskbaserad och inloggningsriskbaserad princip i villkorsstyrd åtkomst i rapportläge. Du kan skapa en princip med föregående steg eller använda mallar för villkorsstyrd åtkomst baserat på Microsofts rekommendationer och organisationens krav.
    1. När administratörerna har bekräftat inställningarna med läget endast rapport kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.
  2. Inaktivera de gamla riskprinciperna i ID Protection.
    1. Bläddra till Skydd>identitetsskydd> Välj principen Användarrisk eller Inloggningsrisk.
    2. Ange Framtvinga princip till Inaktiverad.
  3. Skapa andra riskprinciper om det behövs i villkorsstyrd åtkomst.

Aktivera principer

Organisationer kan välja att distribuera riskbaserade principer i villkorsstyrd åtkomst med hjälp av följande steg eller använda mallar för villkorsstyrd åtkomst.

Innan organisationer aktiverar dessa principer bör de vidta åtgärder för att undersöka och åtgärda eventuella aktiva risker.

Principundantag

Principer för villkorlig åtkomst är kraftfulla verktyg. Vi rekommenderar att du undantar följande konton från dina principer:

  • Nödåtkomst eller break-glass-konton för att förhindra kontoutelåsning i hela klientorganisationen. I det osannolika scenariot är alla administratörer utelåst från din klientorganisation, och ditt administrationskonto för nödåtkomst kan användas för att logga in på klientorganisationen för att vidta åtgärder för att återställa åtkomsten.
  • Tjänstkonton och tjänstens huvudnamn, till exempel Microsoft Entra Anslut Sync-konto. Tjänstkonton är icke-interaktiva konton som inte är knutna till någon viss användare. De används normalt av serverdelstjänster som tillåter programmatisk åtkomst till program, men används även för att logga in på system i administrativa syften. Tjänstkonton som dessa bör undantas eftersom MFA inte kan slutföras programmatiskt. Anrop som görs av tjänstens huvudnamn blockeras inte av principer för villkorsstyrd åtkomst som begränsas till användare. Använd villkorsstyrd åtkomst för arbetsbelastningsidentiteter för att definiera principer som riktar sig till tjänstens huvudnamn.
    • Om din organisation har dessa konton som används i skript eller kod kan du överväga att ersätta dem med hanterade identiteter. Som en tillfällig lösning kan du exkludera dessa specifika konton från baslinjeprincipen.

Användarriskprincip i villkorsstyrd åtkomst

  1. Logga in på Microsoft Entra admincenter som administratör för villkorsstyrd åtkomst.
  2. Bläddra till Villkorlig åtkomst för skydd>.
  3. Välj Ny princip.
  4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
  5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
    1. Under Inkludera väljer du Alla användare.
    2. Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
    3. Välj Klar.
  6. Under Molnappar eller åtgärder>Inkludera väljer du Alla molnappar.
  7. Under Villkor>Användarrisk anger du Konfigurera till Ja.
    1. Under Konfigurera de användarrisknivåer som krävs för att principen ska tillämpas väljer du Hög. Den här vägledningen baseras på Microsofts rekommendationer och kan vara olika för varje organisation
    2. Välj Klar.
  8. Under Åtkomstkontroller>Bevilja.
    1. Välj Bevilja åtkomst, Kräv multifaktorautentisering och Kräv lösenordsändring.
    2. Välj Välj.
  9. Under Session.
    1. Välj Inloggningsfrekvens.
    2. Se till att Varje gång har valts.
    3. Välj Välj.
  10. Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
  11. Välj Skapa för att skapa för att aktivera principen.

När administratörerna har bekräftat inställningarna med läget endast rapport kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.

Inloggningsriskprincip i villkorsstyrd åtkomst

  1. Logga in på Microsoft Entra admincenter som administratör för villkorsstyrd åtkomst.
  2. Bläddra till Villkorlig åtkomst för skydd>.
  3. Välj Ny princip.
  4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
  5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
    1. Under Inkludera väljer du Alla användare.
    2. Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
    3. Välj Klar.
  6. Under Molnappar eller åtgärder>Inkludera väljer du Alla molnappar.
  7. Under Villkor>Inloggningsrisk anger du Konfigurera till Ja.
    1. Under Välj den risknivå för inloggning som den här principen ska tillämpas på väljer du Hög och Medel. Den här vägledningen baseras på Microsofts rekommendationer och kan vara olika för varje organisation
    2. Välj Klar.
  8. Under Åtkomstkontroller>Bevilja.
    1. Välj Bevilja åtkomst, Kräv multifaktorautentisering.
    2. Välj Välj.
  9. Under Session.
    1. Välj Inloggningsfrekvens.
    2. Se till att Varje gång har valts.
    3. Välj Välj.
  10. Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
  11. Välj Skapa för att skapa för att aktivera principen.

När administratörerna har bekräftat inställningarna med läget endast rapport kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.

Relaterat innehåll