Freigeben über

Schützen der Registrierung von Sicherheitsinformationen mit einer Richtlinie für bedingten Zugriff

Mit Benutzeraktionen in einer Richtlinie für bedingten Zugriff kann sichergestellt werden, wann und wie sich Benutzer*innen für die Multi-Faktor-Authentifizierung und die Self-Service-Kennwortzurücksetzung in Microsoft Entra registrieren. Dieses Feature ist für Organisationen verfügbar, welche die kombinierte Registrierung aktivieren. Diese Funktion ermöglicht es Organisationen, den Registrierungsprozess wie jede beliebige Anwendung in einer Richtlinie für bedingten Zugriff zu behandeln und die volle Leistungsfähigkeit bedingter Zugriffe zu nutzen, um die Funktionalität zu schützen. Benutzer, die sich bei der Microsoft Authenticator-App anmelden oder die kennwortlose Anmeldung per Telefon aktivieren, unterliegen dieser Richtlinie.

Einige Organisationen haben in der Vergangenheit möglicherweise vertrauenswürdige Netzwerkadressen oder Gerätekonformität zum Schützen der Registrierung verwendet. Durch das Hinzufügen eines befristeten Zugriffspasses in Microsoft Entra ID können Administrator*innen zeitlich begrenzte Anmeldeinformationen für Benutzer*inne bereitstellen, damit diese sich an jedem Gerät oder Standort registrieren können. Die Anmeldeinformationen eines befristeten Zugriffspasses erfüllen die Anforderungen für bedingten Zugriff für Multi-Faktor-Authentifizierung.

Ausschluss von Benutzern

Richtlinien für bedingten Zugriff sind leistungsstarke Tools. Es wird empfohlen, die folgenden Konten aus Ihren Richtlinien auszuschließen:

  • Notfallzugriffskonten oder Notfallkonten zum Verhindern einer Sperrung aufgrund von falsch konfigurierten Richtlinien. In dem unwahrscheinlichen Szenario, in dem alle Administratoren gesperrt sind, kann Ihr Administratorkonto für den Notfallzugriff verwendet werden, um sich anzumelden und den Zugriff wiederherzustellen.
  • Dienstkonten und Dienstprinzipale, z. B. das Konto für die Microsoft Entra Connect-Synchronisierung. Dienstkonten sind nichtinteraktive Konten, die nicht an einen bestimmten Benutzer gebunden sind. Sie werden in der Regel von Back-End-Diensten verwendet, um programmgesteuerten Zugriff auf Anwendungen zu ermöglichen, aber sie werden auch verwendet, um sich für administrative Zwecke bei Systemen anzumelden. Aufrufe von Dienstprinzipalen werden nicht durch Richtlinien für bedingten Zugriff blockiert, die für Benutzer gelten. Verwenden Sie bedingten Zugriff für Arbeitsauslastungsidentitäten, um Richtlinien zu definieren, die auf Dienstprinzipale abzielen.
    • Wenn Ihre Organisation diese Konten in Skripts oder Code verwendet, ersetzen Sie sie durch verwaltete Identitäten.

Vorlagenbereitstellung

Organisationen können diese Richtlinie bereitstellen, indem Sie die unten beschriebenen Schritte ausführen oder die Vorlagen für bedingten Zugriff verwenden.

Erstellen einer Richtlinie für eine sichere Registrierung

Die folgende Richtlinie wird auf die ausgewählten Benutzer angewendet, die versuchen, sich mit der kombinierten Registrierung anzumelden. Die Richtlinie erfordert, dass Benutzer, die sich nicht in einem vertrauenswürdigen Netzwerk befinden, die mehrstufige Authentifizierung ausführen. Benutzer aus vertrauenswürdigen Netzwerken werden von dieser Richtlinie ausgeschlossen.

Warnung

Wenn Sie externe Authentifizierungsmethoden verwenden, sind diese derzeit nicht mit der Authentifizierungsstärke kompatibel, und Sie sollten die Steuerung der mehrstufigen Authentifizierungserteilung verwenden.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie im Feld „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen mit TAP.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.

    1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.

      Warnung

      Benutzer müssen für die kombinierte Registrierung aktiviert sein.

    2. Unter Ausschließen.

      1. Wählen Sie Alle Gastbenutzer und externen Benutzer aus.

        Hinweis

        Der befristete Zugriffspass funktioniert nicht für Gastbenutzer.

      2. Wählen Sie Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.

  6. Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
  7. Unter Bedingungen>Standorte:
    1. Legen Sie Konfigurieren auf Ja fest.
      1. Schließen Sie Alle Standorte ein.
      2. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  8. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff gewähren aus.
    1. Wählen Sie Authentifizierungsstärke erfordern aus, und wählen Sie dann in der Liste die geeignete integrierte oder benutzerdefinierte Authentifizierungsstärke aus.
    2. Wählen Sie Auswählen.
  9. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Berichterstattung fest.
  10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Administratoren müssen befristete Zugriffspass-Anmeldeinformationen für neue Benutzer ausstellen, damit die Anforderungen für die Multi-Faktor-Authentifizierung bei der Registrierung erfüllt werden können. Die Schritte zum Ausführen dieser Aufgabe finden Sie im Abschnitt Erstellen eines befristeten Zugriffspasses im Microsoft Entra Admin Center.

Organisationen können mit oder anstelle der Multi-Faktor-Authentifizierung in Schritt 8a weitere erforderliche Steuerelemente für die Erteilung von Berechtigungen festlegen. Bei Auswahl mehrerer Steuerelemente muss der entsprechende Optionsumschalter aktiviert werden, um festzulegen, ob bei dieser Änderung alle oder ein ausgewähltes Steuerelement erforderlich ist.

Gastbenutzerregistrierung

Für Gastbenutzer, die sich für die Multi-Faktor-Authentifizierung im Verzeichnis registrieren müssen, können Sie die Registrierung von nicht vertrauenswürdigen Netzwerkadressen wie nachstehend beschrieben blockieren.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie im Feld „Name“ einen Namen für diese Richtlinie ein. Beispiel: Kombinierte Registrierung mit Sicherheitsinformationen in vertrauenswürdigen Netzwerken.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Alle Gastbenutzer und externen Benutzer aus.
  6. Aktivieren Sie unter Zielressourcen>Benutzeraktionen das Kontrollkästchen Sicherheitsinformationen registrieren.
  7. Unter Bedingungen>Standorte:
    1. Konfigurieren Sie Ja.
    2. Schließen Sie Alle Standorte ein.
    3. Schließen Sie Alle vertrauenswürdigen Standorte aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff blockieren aus.
    2. Klicken Sie anschließend auf Auswählen.
  9. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Berichterstattung fest.
  10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Zugehöriger Inhalt

  • Last updated on