Verwalten von Risiken mit bedingter Zugriffssteuerung

• Schlüsselkonzepte– bedingte Zugriffssteuerung in AD FS

• Verwalten von Risiken mit bedingter Zugriffssteuerung

Schlüsselkonzepte – bedingte Zugriffssteuerung in AD FS

Die allgemeine Funktion von AD FS besteht darin, ein Zugriffstoken auszustellen, das eine Gruppe von Ansprüchen enthält. Die Entscheidung darüber, welche Ansprüche AD FS akzeptiert und ausstellt, wird von Anspruchsregeln bestimmt.

Die Zugriffssteuerung in AD FS wird mit Ausstellungsautorisierungsanspruchsregeln implementiert, die zum Ausgeben einer Genehmigung oder Ablehnung von Ansprüchen verwendet werden, die bestimmen, ob ein Benutzer oder eine Gruppe von Benutzern auf AD FS-gesicherte Ressourcen zugreifen darf oder nicht. Autorisierungsregeln können nur für Vertrauensstellungen der vertrauenden Seite festgelegt werden.

Weitere Informationen zu diesen Regeloptionen und -logik finden Sie unter Verwendung einer Autorisierungsanspruchsregel.

In AD FS in Windows Server 2012 R2 wird die Zugriffssteuerung um mehrere Faktoren erweitert, einschließlich Benutzer-, Geräte-, Standort- und Authentifizierungsdaten. Dies wird durch eine größere Vielfalt von Anspruchstypen ermöglicht, die für die Autorisierungsanspruchsregeln verfügbar sind. Mit anderen Worten: In AD FS unter Windows Server 2012 R2 können Sie bedingte Zugriffssteuerung auf der Grundlage von Benutzeridentität oder Gruppenmitgliedschaft, Netzwerkadresse, Gerät und Authentifizierungsstatus erzwingen. Bei Verwendung der Geräteoption muss das Gerät mit dem Arbeitsplatz verbunden sein. (Weitere Informationen finden Sie unter Verbinden mit einem Arbeitsplatz von einem beliebigen Gerät für SSO und nahtlose zweistufige Authentifizierung bei allen Unternehmensanwendungen.) Die Verwendung der Authentifizierungsstatusoption setzt voraus, dass die Multi-Faktor-Authentifizierung (Multi-Factor Authentication, MFA) ausgeführt wurde.

Die bedingte Zugriffssteuerung in AD FS in Windows Server 2012 R2 bietet die folgenden Vorteile:

• Flexible und ausdrucksstarke Autorisierungsrichtlinien pro Anwendung, mit denen Sie den Zugriff basierend auf Benutzer, Gerät, Netzwerkstandort und Authentifizierungsstatus zulassen oder verweigern können

• Erstellen von Ausstellungsautorisierungsregeln für Anwendungen der vertrauenden Seite

• Umfassende Ui-Erfahrung für die gängigen Szenarien für die bedingte Zugriffssteuerung

• Umfassende Anspruchssprache und Windows PowerShell-Unterstützung für erweiterte Szenarien für die bedingte Zugriffssteuerung

• Benutzerdefinierte Meldungen (pro Anwendung der vertrauenden Seite) des Typs „Zugriff verweigert“. Weitere Informationen finden Sie unter Anpassen der AD FS-Anmeldeseiten. Da diese Meldungen angepasst werden können, können Sie erläutern, warum einem Benutzer der Zugriff verweigert wird und außerdem die eigenständige Wartung dort vereinfachen, wo es möglich ist. Fordern Sie beispielsweise Benutzer dazu auf, eine Verbindung zwischen ihren Geräten und dem Arbeitsplatz herzustellen. Weitere Informationen finden Sie unter „Verbinden Sie sich mit Workplace von jedem Gerät aus für SSO und nahtlose Zwei-Faktor-Authentifizierung in Unternehmensanwendungen“.

Die folgende Tabelle enthält alle Anspruchstypen, die in AD FS in Windows Server 2012 R2 zur Implementierung der Bedingten Zugriffssteuerung verfügbar sind.

Verwalten von Risiken mit bedingter Zugriffssteuerung

Mithilfe der verfügbaren Einstellungen gibt es viele Möglichkeiten, risiken zu verwalten, indem Sie die bedingte Zugriffssteuerung implementieren.

Allgemeine Szenarien

Ein einfaches Szenario ist beispielsweise die Implementierung der bedingten Zugriffssteuerung auf Grundlage der Gruppenmitgliedschaftsdaten eines Benutzers für eine bestimmte Anwendung (Vertrauensstellung der vertrauenden Seite). Mit anderen Worten, Sie können eine Ausstellungsautorisierungsregel auf Ihrem Verbundserver einrichten, um Benutzern, die einer bestimmten Gruppe in Ihrer AD-Domäne angehören, zugriff auf eine bestimmte Anwendung zu ermöglichen, die durch AD FS gesichert ist. Die detaillierten Anleitungsschritte zur Implementierung dieses Szenarios (Verwendung der Benutzeroberfläche und von Windows PowerShell) werden im Leitfaden behandelt: Verwalten von Risiken mit bedingter Zugriffssteuerung. Um die Schritte in dieser exemplarischen Vorgehensweise auszuführen, müssen Sie eine Lab-Umgebung einrichten und die Schritte in der Einrichtung der Lab-Umgebung für AD FS in Windows Server 2012 R2 ausführen.

Erweiterte Szenarien

Weitere Beispiele für die Implementierung der Bedingten Zugriffssteuerung in AD FS in Windows Server 2012 R2:

• Zugriff auf eine von AD FS gesicherte Anwendung nur zulassen, wenn die Identität dieses Benutzers mit MFA überprüft wurde

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessWithMFA"
  c:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Lassen Sie den Zugriff auf eine durch AD FS gesicherte Anwendung nur zu, wenn die Zugriffsanforderung von einem mit dem Arbeitsplatz verbundenen Gerät stammt, das für den Benutzer registriert ist.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessFromRegisteredWorkplaceJoinedDevice"
  c:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Lassen Sie den Zugriff auf eine durch AD FS gesicherte Anwendung nur zu, wenn die Zugriffsanforderung von einem mit dem Arbeitsplatz verbundenen Gerät stammt, das für einen Benutzer registriert ist, dessen Identität mit der MFA bestätigt wurde.

  Sie können den folgenden Code verwenden.

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Zulassen des Extranetzugriffs auf eine von AD FS gesicherte Anwendung nur, wenn die Zugriffsanforderung von einem Benutzer stammt, dessen Identität mit MFA überprüft wurde.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAForExtranetAccess"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value =~ "^(?i)false$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

Siehe auch

Exemplarische Vorgehensweise: Bewältigen von Risiken mithilfe der bedingten ZugriffssteuerungEinrichten der Lab-Umgebung für AD FS unter Windows Server 2012 R2