Поделиться через

Требовать фишинговую многофакторную проверку подлинности для администраторов

  • Статья

Учетные записи, которым назначены привилегированные административные роли, являются частыми целями злоумышленников. Требование фишингобезопасной многофакторной проверки подлинности (MFA) на этих учетных записях является простым способом снижения риска компрометации этих учетных записей.

Внимание

Прежде чем создавать политику, требующую фишинговую многофакторную проверку подлинности, убедитесь, что администраторы зарегистрированы соответствующие методы. Если эта политика включена, не выполняя этот шаг, вы рискуете заблокировать себя из вашего клиента. Администраторы могут настроить временный проход доступа для регистрации методов проверки подлинности без пароля или выполнить действия, описанные в разделе "Регистрация ключа доступа( FIDO2)".

Корпорация Майкрософт рекомендует использовать многофакторную проверку подлинности, устойчивую к фишингу, как минимум, для следующих ролей:

  • глобальный администратор
  • Администратор приложений
  • Администратор проверки подлинности
  • администратора выставления счетов;
  • Администратор облачных приложений
  • Администратор условного доступа
  • Администратор Exchange
  • Администратор службы технической поддержки
  • Администратор паролей
  • Привилегированный администратор проверки подлинности
  • Администратор привилегированных ролей
  • Администратор безопасности
  • Администратор SharePoint
  • Администратор пользователей

Организации могут включать или исключать роли в соответствии с собственными требованиями.

Организации могут использовать эту политику в сочетании с такими функциями, как управление привилегированными пользователями (PIM) и его способность требовать многофакторную проверку подлинности для активации ролей.

Надежность проверки подлинности

Руководство, приведенное в этой статье, помогает вашей организации создать политику MFA для вашей среды с помощью сильных сторон проверки подлинности. Идентификатор Microsoft Entra предоставляет три встроенных преимущества проверки подлинности:

  • Уровень многофакторной проверки подлинности (менее строгий)
  • Сила MFA без пароля
  • Устойчивость к фишингу MFA (наиболее ограничивающая) рекомендуется в этой статье

Вы можете использовать одну из встроенных сильных сторон или создать настраиваемую силу проверки подлинности на основе необходимых методов проверки подлинности.

В сценариях внешнего пользователя методы проверки подлинности MFA, которые клиент ресурсов может принимать, зависят от того, выполняет ли пользователь MFA в своем домашнем клиенте или в клиенте ресурса. Дополнительные сведения см. в разделе "Надежность проверки подлинности для внешних пользователей".

Пользовательские исключения

Политики условного доступа являются мощными средствами, мы рекомендуем исключить следующие учетные записи из политик:

  • Аварийный доступ или учетные записи с разрывом, чтобы предотвратить блокировку из-за неправильной настройки политики. В маловероятном сценарии, когда все администраторы заблокированы, ваша учетная запись администратора для аварийного доступа может использоваться для входа и выполнения действий по восстановлению доступа.
  • Учетные записи служб и субъекты-службы, такие как учетная запись синхронизации Microsoft Entra Connect. Учетные записи служб представляют собой автономные учетные записи, которые не привязаны к какому-либо конкретному пользователю. Они обычно используются службами сервера для предоставления программного доступа к приложениям, но также могут применяться для входа в системы в целях администрирования. Вызовы, сделанные субъектами-службами, не будут блокироваться политиками условного доступа, применяемыми к пользователям. Используйте условный доступ для удостоверений рабочей нагрузки, чтобы определить политики, нацеленные на субъекты-службы.

Развертывание шаблона

Организации могут развернуть эту политику с помощью описанных ниже шагов или шаблонов условного доступа.

Создание политики условного доступа

Предупреждение

Если вы используете внешние методы проверки подлинности, они в настоящее время несовместимы с силой проверки подлинности и следует использовать элемент управления "Требовать многофакторную проверку подлинности".

  1. Войдите в Центр администрирования Microsoft Entra в качестве администратора условного доступа.
  2. Перейдите к политикам условного доступа>.
  3. Выберите Новая политика.
  4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
  5. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.

    1. В разделе "Включить" выберите роли каталога и выберите по крайней мере ранее перечисленные роли.

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются к ролям других типов, включая роли административных единиц или пользовательские роли.

    2. В разделе Исключить выберите Пользователи и группы, а затем выберите учетные записи для аварийного доступа или для обхода стандартной системы контроля доступа в вашей организации.

  6. В разделе >> все ресурсы (ранее — "Все облачные приложения").
  7. В разделе Управление доступом>Предоставить разрешение выберите Предоставить доступ.
    1. Выберите "Требовать степень проверки подлинности", а затем выберите из списка устойчивость к фишингу.
    2. Выберите Выбрать.
  8. Подтвердите параметры и задайте для параметра Включить политику значение Только отчет.
  9. Нажмите Создать, чтобы создать и включить политику.

После подтверждения параметров в режиме "только отчет" администратор может перевести переключатель Включить политику из положения Только отчет в положение Вкл.

Связанный контент