Dela via

Kräv multifaktorautentiseringsstyrka för externa användare

Autentiseringsstyrka är en kontroll för villkorsstyrd åtkomst som gör att du kan definiera en specifik kombination av MFA-metoder (multifaktorautentisering) som en extern användare måste slutföra för att få åtkomst till dina resurser. Den här kontrollen är särskilt användbar för att begränsa extern åtkomst till känsliga appar i din organisation. Du kan till exempel skapa en princip för villkorsstyrd åtkomst, kräva en nätfiskebeständig autentiseringsstyrka i principen och tilldela den till gäster och externa användare.

Microsoft Entra ID har tre inbyggda autentiseringsstyrkor:

  • Multifaktorautentiseringsstyrka (mindre restriktiv) rekommenderas i den här artikeln
  • Styrka för lösenordslös MFA
  • Nätfiskebeständig MFA-styrka (mest restriktiv)

Du kan använda en av de inbyggda styrkorna eller skapa en anpassad autentiseringsstyrka baserat på de autentiseringsmetoder som du vill kräva.

I externa användarscenarier varierar MFA-autentiseringsmetoderna som en resursklient kan acceptera beroende på om användaren slutför MFA i sin hemklient eller i resursklientorganisationen. Mer information finns i Autentiseringsstyrka för externa användare.

Anteckning

För närvarande kan du bara tillämpa autentiseringsprinciper för externa användare som autentiserar med Microsoft Entra-ID. För engångslösenord för e-post, SAML/WS-Fed och Google-federationsanvändare använder du MFA-beviljandekontrollen för att kräva MFA.

Konfigurera åtkomstinställningar mellan klientorganisationer för att lita på MFA

Principer för autentiseringsstyrka fungerar tillsammans med MFA-förtroendeinställningar i inställningarna för åtkomst mellan klientorganisationer för att avgöra var och hur den externa användaren måste utföra MFA. En Microsoft Entra-användare autentiserar först med sitt eget konto i sin hemklientorganisation. När den här användaren sedan försöker komma åt din resurs tillämpar Microsoft Entra-ID principen för villkorsstyrd åtkomst för autentiseringsstyrka och kontrollerar om du har aktiverat MFA-förtroende.

  • Om MFA-förtroende är aktiverat kontrollerar Microsoft Entra-ID användarens autentiseringssession för ett anspråk som anger att MFA har uppfyllts i användarens hemklientorganisation.
  • Om MFA-förtroende är inaktiverat ger resursklienten användaren en utmaning att slutföra MFA i resursklientorganisationen med hjälp av en acceptabel autentiseringsmetod.

De autentiseringsmetoder som externa användare kan använda för att uppfylla MFA-kraven skiljer sig beroende på om användaren slutför MFA i sin hemklient eller resursklientorganisation. Se tabellen i autentiseringsstyrkan för villkorsstyrd åtkomst.

Viktigt!

Innan du skapar principen för villkorsstyrd åtkomst kontrollerar du inställningarna för åtkomst mellan klientorganisationer för att se till att dina inställningar för inkommande MFA-förtroende har konfigurerats som avsett.

Användarundantag

Principer för villkorlig åtkomst är kraftfulla verktyg. Vi rekommenderar att du undantar följande konton från dina principer:

  • Nödåtkomst eller break-glass-konton för att förhindra utelåsning på grund av felkonfiguration av principer. I det osannolika fallet att alla administratörer är utelåsta, kan ditt nödinloggningskonto användas för att logga in och vidta åtgärder för att återställa åtkomsten.
  • Tjänstkonton och tjänstens huvudnamn, till exempel Microsoft Entra Connect Sync-kontot. Tjänstkonton är icke-interaktiva konton som inte är knutna till någon viss användare. De används normalt av serverdelstjänster som tillåter programmatisk åtkomst till program, men används även för att logga in på system i administrativa syften. Anrop som görs av tjänstens huvudprincipaler blockeras inte av principer för villkorsstyrd åtkomst som gäller för användare. Använd villkorsstyrd åtkomst för arbetsbelastningsidentiteter för att definiera principer som riktar sig till tjänsthuvuden.
    • Om din organisation har dessa konton som används i skript eller kod kan du överväga att ersätta dem med hanterade identiteter.

Skapa en princip för villkorsstyrd åtkomst

Använd följande steg för att skapa en princip för villkorsstyrd åtkomst som tillämpar en autentiseringsstyrka för externa användare.

Varning

Om du använder externa autentiseringsmetoder är dessa för närvarande inte kompatibla med autentiseringsstyrkan och du bör använda beviljandekontrollen Kräv multifaktorautentisering .

  1. Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
  2. Bläddra till Entra ID>Villkorsstyrd åtkomst>Principer.
  3. Välj Ny princip.
  4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
  5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
    1. Under Inkludera väljer du Välj användare och grupper och sedan Gästanvändare eller externa användare.
      1. Välj de typer av gästanvändare eller externa användare som du vill tillämpa principen på.
    2. Under Exkludera väljer du Användare och grupper och markerar organisationens konton för nödåtkomst eller akuta åtgärder.
  6. Under Målresurser>Resurser (tidigare molnappar), under Inkludera eller Exkludera, väljer du alla program som du vill inkludera i eller exkludera från kraven på autentiseringsstyrka.
  7. Under Åtkomstkontroller>Bevilja väljer du Bevilja åtkomst.
    1. Välj Kräv autentiseringsstyrka och välj sedan lämplig inbyggd eller anpassad autentiseringsstyrka i listan.
    2. Välj Välj.
  8. Bekräfta inställningarna och ställ in Aktivera policy på Endast rapport.
  9. Välj Skapa för att skapa för att aktivera principen.

När administratörerna har utvärderat principinställningarna med hjälp av princippåverkan eller rapportläge kan de flytta växlingsknappen Aktivera princip från Endast rapport till På.

Relaterat innehåll