Добавление условного доступа к потокам пользователей в Azure Active Directory B2C

Прежде чем начать, используйте селектор типа политики в верхней части этой страницы, чтобы выбрать тип политики, которую вы настроите. Azure Active Directory B2C предлагает два метода определения способа взаимодействия пользователей с вашими приложениями: с помощью предопределенных потоков пользователей или полностью настраиваемых пользовательских политик. Действия, которые необходимо выполнить, отличаются для каждого метода.

Условный доступ можно добавить в потоки пользователей Azure Active Directory B2C (Azure AD B2C) или пользовательские политики для управления рискованными входами в приложения. Инструмент условного доступа Microsoft Entra используется в Azure AD B2C, чтобы объединять сигналы, принимать решения и исполнять политики организации. Автоматизация оценки рисков с условиями политики означает, что рискованные входы определяются немедленно, а затем исправляются или блокируются.

Обзор сервиса

Azure AD B2C оценивает каждое событие входа и гарантирует, что все требования политики выполнены перед предоставлением пользователю доступа. На этом этапе оценки служба условного доступа оценивает сигналы, собранные обнаружением рисков защиты идентификации во время входа. Результатом этого процесса оценки является набор утверждений, указывающих, следует ли предоставлять или блокировать вход. Политика Azure AD B2C использует эти утверждения для действия в потоке пользователя. Примером является блокировка доступа или запрос к пользователю с определенной мерой, например, многофакторной аутентификацией (MFA). Параметр "Блокировать доступ" переопределяет все остальные параметры.

<TechnicalProfile Id="ConditionalAccessEvaluation">
  <DisplayName>Conditional Access Provider</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ConditionalAccessProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="OperationType">Evaluation</Item>
  </Metadata>
  ...
</TechnicalProfile>

На следующем этапе устранения пользователю предъявляется запрос на MFA. После завершения Azure AD B2C сообщает Службе защиты идентификации, что обнаруженная угроза входа была исправлена и с помощью какого метода. В этом примере Azure AD B2C сообщает, что пользователь успешно выполнил задачу многофакторной проверки подлинности. Исправление также может произойти через другие каналы. Например, при сбросе пароля учетной записи администратором или пользователем. Вы можете проверить состояние риска пользователя в отчете о рискованных пользователях.

<TechnicalProfile Id="ConditionalAccessRemediation">
  <DisplayName>Conditional Access Remediation</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ConditionalAccessProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
  <Metadata>
    <Item Key="OperationType">Remediation</Item>
  </Metadata>
  ...
</TechnicalProfile>

Компоненты решения

Это компоненты, которые обеспечивают условный доступ в Azure AD B2C:

• Поток пользователя или пользовательская политика , которая направляет пользователя через процесс входа и регистрации.
• Политика условного доступа , которая объединяет сигналы для принятия решений и применения политик организации. Когда пользователь входит в приложение с помощью политики Azure AD B2C, политика условного доступа использует сигналы защиты идентификаторов Microsoft Entra для выявления рискованных входов и предоставления соответствующего действия по исправлению.
• Зарегистрированное приложение, которое направляет пользователей в соответствующий поток пользователя или пользовательскую политику Azure AD B2C.
• ToR Browser для имитации рискованного входа.

Ограничения службы и рекомендации

При использовании условного доступа Microsoft Entra рассмотрите следующее:

• Защита личных данных доступна как для локальных, так и для социальных учетных записей, таких как Google или Facebook. Для социальных идентичностей необходимо вручную активировать условный доступ. Обнаружение ограничено, так как учетные данные социальных сетей администрируются внешним поставщиком удостоверений.
• В клиентах Azure AD B2C доступны только подмножество политик условного доступа Microsoft Entra .

Предпосылки

• Выполните действия, описанные в статье "Начало работы с настраиваемыми политиками в Active Directory B2C". В этом руководстве описано, как обновить пользовательские файлы политики для использования конфигурации клиента Azure AD B2C.
• Если вы еще не зарегистрировали веб-приложение, зарегистрируйте его, выполнив действия, описанные в регистрации веб-приложения.

Ценовая категория

Azure AD B2C Premium P2 требуется для создания политик рискованного входа. Клиенты Premium P1 могут создавать политику, основанную на расположении, приложениях, пользователях или групповых политиках. Дополнительные сведения см. в разделе "Изменение ценовой категории Azure AD B2C"

Подготовка клиента Azure AD B2C

Чтобы добавить политику условного доступа, отключите параметры безопасности по умолчанию:

1. Войдите на портал Azure.

2. Если у вас есть доступ к нескольким клиентам, щелкните значок Настройки в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню Каталоги и подписки.

3. В службах Azure выберите идентификатор Microsoft Entra. Или используйте поле поиска, чтобы найти и выбрать идентификатор Microsoft Entra.

4. Выберите "Свойства", а затем выберите "Управление безопасностью" по умолчанию.

   

5. В разделе "Включить безопасность" по умолчанию нажмите кнопку "Нет".

   

Добавление политики условного доступа

Политика условного доступа — это оператор условного выражения с назначениями и управлениями доступом. Политика условного доступа объединяет сигналы для принятия решений и применения политик организации.

Логический оператор между присваиваниями — And. Оператор в каждом назначении — ИЛИ.

Чтобы добавить политику условного доступа, выполните следующие действия.

1. В портале Azure найдите и выберите Azure AD B2C.

2. В разделе Безопасность выберите Условный доступ. Откроется страница "Политики условного доступа ".

3. Щелкните + Создать политику.

4. Введите имя политики, например блокировка рискованного входа.

5. В разделе "Назначения" выберите "Пользователи и группы", а затем выберите одну из следующих поддерживаемых конфигураций:

   Включить	Лицензия	Примечания.
   Все пользователи	P1, P2	Эта политика влияет на всех пользователей. Чтобы не заблокировать себя, исключите учетную запись администратора, выбрав "Исключить", выберите роли каталога и выберите глобального администратора в списке. Вы также можете выбрать пользователей и группы , а затем выбрать учетную запись в списке "Выбор исключенных пользователей ".

6. Выберите облачные приложения или действия, а затем выберите приложения. Перейдите к приложению проверяющей стороны.

7. Выберите условия и выберите из следующих условий. Например, выберите "Риск входа" и "Высокий", " Средний" и "Низкий уровень риска".

   Состояние	Лицензия	Примечания.
   Риск пользователя	P2	Риск для пользователя представляет вероятность компрометации данного удостоверения или учетной записи.
   Риск при входе	P2	Риск при входе представляет вероятность того, что данный запрос аутентификации отправлен не владельцем удостоверения.
   Платформы устройств	Не поддерживается	Характеризуется операционной системой, работающей на устройстве. Дополнительную информацию см. в разделе Платформы устройств.
   Расположения	P1, P2	Именованные локации могут включать информацию о общедоступной сети IPv4, страну или регион, или неизвестные области, которые не соответствуют определённым странам или регионам. Дополнительные сведения см. в разделе Расположения.

8. В разделе Элементы управления доступом выберите Разрешить. Затем выберите, следует ли блокировать или предоставлять доступ:

   Вариант	Лицензия	Примечания.
   Заблокировать доступ	P1, P2	Запрещает доступ на основе условий, указанных в этой политике условного доступа.
   Предоставить доступ с требованием многофакторной аутентификации	P1, P2	В зависимости от условий, указанных в этой политике условного доступа, пользователю требуется пройти многофакторную проверку подлинности Azure AD B2C.

9. В разделе "Включить политику" выберите один из следующих вариантов:

   Вариант	Лицензия	Примечания.
   Только отчет	P1, P2	Режим только для отчетов позволяет администраторам оценивать влияние политик условного доступа перед их включением в рабочей среде. Мы рекомендуем проверить политику с этим состоянием и определить влияние на конечных пользователей, не требуя многофакторной проверки подлинности или блокировки пользователей. Дополнительные сведения см. в разделе "Просмотр результатов условного доступа" в отчете аудита
   Вкл	P1, P2	Политика доступа оценивается и не применяется.
   Выкл.	P1, P2	Политика доступа не активируется и не влияет на пользователей.

10. Включите тестовую политику условного доступа, нажав кнопку "Создать".

Шаблон 1. Условный доступ на основе рисков входа

Большинство пользователей имеют обычное поведение, которое можно отследить, а когда оно выходит за пределы этой нормы, может быть рискованно позволять им войти в систему. Вы можете заблокировать этого пользователя или, возможно, просто попросите их выполнить многофакторную проверку подлинности, чтобы доказать, что они действительно те, кто они говорят, что они. Риск при входе представляет вероятность того, что данный запрос проверки подлинности отправлен не владельцем удостоверения. Клиенты Azure AD B2C с лицензиями P2 могут создавать политики условного доступа, включающие обнаружение рисков защиты идентификаторов Microsoft Entra.

Обратите внимание на ограничения обнаружения защиты идентификации для B2C. Если обнаружен риск, пользователи могут выполнять многофакторную проверку подлинности для самостоятельного исправления и закрыть событие входа в систему, чтобы предотвратить ненужный шум для администраторов.

Настройте условный доступ через портал Azure или API Microsoft Graph, чтобы включить политику условного доступа на основе риска для входа, требующую многофакторной проверки подлинности, если риск входа является средним или высоким.

1. В разделе Включить выберите Все пользователи.
2. В разделе Исключить выберите Пользователи и группы и укажите учетные записи аварийного доступа или обходные учетные записи вашей организации.
3. Нажмите кнопку Готово.
4. В разделе "Облачные приложения" или "Включить"> выберите "Все облачные приложения".
5. В разделе Условия>Риск при входе задайте для параметра Настроить значение Да. В пункте "Выберите уровень риска входа для применения политики"
   1. Выберите "Высокий" и "Средний".
   2. Нажмите кнопку Готово.
6. В разделе "Управление доступом>Предоставление" выберите "Предоставить доступ", "Требовать многофакторную аутентификацию" и нажмите "Выбрать".
7. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
8. Нажмите Создать, чтобы создать и включить политику.

Включение шаблона 1 с помощью API условного доступа (необязательно)

Создайте политику условного доступа на основе рисков при входе с помощью API MS Graph. Дополнительные сведения см. в API условного доступа. Следующий шаблон можно использовать для создания политики условного доступа с отображаемым именем "Шаблон 1: Требовать многофакторную проверку подлинности для среднего и высокого риска входа" в режиме только для отчета.

{
    "displayName": "Template 1: Require MFA for medium+ sign-in risk",
    "state": "enabledForReportingButNotEnforced",
    "conditions": {
        "signInRiskLevels": [ "high" ,
            "medium"
        ],
        "applications": {
            "includeApplications": [
                "All"
            ]
        },
        "users": {
            "includeUsers": [
                "All"
            ],
            "excludeUsers": [
                "f753047e-de31-4c74-a6fb-c38589047723"
            ]
        }
    },
    "grantControls": {
        "operator": "OR",
        "builtInControls": [
            "mfa"
        ]
    }
}

Шаблон 2. Условный доступ на основе рисков пользователей

Защита идентификации вычисляет, какое поведение пользователя можно считать нормальным, и на основе этой оценки принимает решения о рисках. Пользовательский риск — это расчет вероятности того, что личность была скомпрометирована. Клиенты B2C с лицензиями P2 могут создавать политики условного доступа, включающие риск пользователя. Когда пользователь обнаруживается как находящийся под угрозой, вы можете требовать, чтобы он надежно изменил свой пароль, чтобы устранить угрозу и получить доступ к своей учетной записи. Мы настоятельно рекомендуем настроить политику риска пользователей, чтобы требовать безопасного изменения пароля, чтобы пользователи могли самостоятельно исправить.

Узнайте больше о рисках пользователей в службе защиты идентификации, учитывая ограничения обнаружения защиты идентификации для B2C.

Настройте условный доступ через портал Azure или API Microsoft Graph, чтобы включить политику условного доступа на основе рисков пользователя, требующую многофакторной проверки подлинности (MFA) и изменения пароля, если риск пользователя является средним ИЛИ высоким.

Чтобы настроить условный доступ, основанный на пользователях, следуйте этим шагам.

1. Войдите на портал Azure.
2. Перейдите к Azure AD B2C>Security>условному доступу.
3. Выберите Новая политика.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе Назначения выберите Пользователи и группы.
   1. В разделе Включить выберите Все пользователи.
   2. В разделе Исключить выберите Пользователи и группы и укажите учетные записи аварийного доступа или обходные учетные записи вашей организации.
   3. Нажмите кнопку Готово.
6. В разделе "Облачные приложения" или "Включить"> выберите "Все облачные приложения".
7. В разделе Условия>Риск пользователя задайте для параметра Настроить значение Да. В разделе "Настройка уровней риска пользователей", необходимых для применения политики
   1. Выберите "Высокий" и "Средний".
   2. Нажмите кнопку Готово.
8. В разделе "Управление доступом">"Предоставление", выберите "Предоставить доступ", "Требовать изменение пароля", и выберите "Выбрать". По умолчанию также требуется многофакторная проверка подлинности.
9. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
10. Нажмите Создать, чтобы создать и включить политику.

Включение шаблона 2 с помощью API условного доступа (необязательно)

Чтобы создать политику условного доступа на основе рисков пользователей с помощью API условного доступа, см. документацию по API условного доступа.

Следующий шаблон можно использовать для создания политики условного доступа с именем "Шаблон 2: Требовать безопасное изменение пароля для пользователя с риском средней и выше" в режиме только отчета.

{
    "displayName": "Template 2: Require secure password change for medium+ user risk",
    "state": "enabledForReportingButNotEnforced",
    "conditions": {
        "userRiskLevels": [ "high" ,
            "medium"
        ],
        "applications": {
            "includeApplications": [
                "All"
            ]
        },
        "users": {
            "includeUsers": [
                "All"
            ],
            "excludeUsers": [
                "f753047e-de31-4c74-a6fb-c38589047723"
            ]
        }
    },
    "grantControls": {
        "operator": "AND",
        "builtInControls": [
            "mfa",
            "passwordChange"
        ]
    }
}

Шаблон 3. Блокировка расположений с условным доступом

Условие расположения при использовании условного доступа позволяет управлять доступом к облачным приложениям на основе расположения пользователя в сети. Настройте условный доступ через портал Azure или API Microsoft Graph, чтобы включить политику условного доступа, блокируя доступ к определенным расположениям. Дополнительные сведения см. в разделе "Использование условия расположения" в политике условного доступа

Определение расположений

1. Войдите на портал Azure.
2. Перейдите к Azure AD B2C>безопасности>условному доступу>именованным расположениям.
3. Выбор расположения стран или диапазонов IP-адресов
4. Присвойте расположению имя.
5. Укажите диапазоны IP-адресов или выберите страны или регионы для указанного расположения. Если выбраны страны или регионы, можно дополнительно включить неизвестные области.
6. Нажмите кнопку Сохранить.

Чтобы включить политику условного доступа, выполните следующие действия.

1. Войдите на портал Azure.
2. Перейдите к Azure AD B2C>Безопасность>Условный доступ.
3. Выберите Новая политика.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе Назначения выберите Пользователи и группы.
   1. В разделе Включить выберите Все пользователи.
   2. В разделе Исключить выберите Пользователи и группы и укажите учетные записи аварийного доступа или обходные учетные записи вашей организации.
   3. Нажмите кнопку Готово.
6. В разделе "Облачные приложения" или "Включить"> выберите "Все облачные приложения".
7. В условиях>местоположения
   1. Задайте для параметра Настроить значение Да.
   2. В области "Включить" выберите выбранные местоположения
   3. Выберите созданное вами именованное местоположение.
   4. Нажмите кнопку "Выбрать"
8. В разделе "Элементы управления доступом> " выберите "Блокировать доступ" и нажмите кнопку "Выбрать".
9. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
10. Нажмите Создать, чтобы создать и включить политику.

Включение шаблона 3 с помощью API условного доступа (необязательно)

Чтобы создать политику условного доступа, основанную на местоположении, с помощью API условного доступа, ознакомьтесь с документацией по API условного доступа. Чтобы настроить именованные расположения, ознакомьтесь с документацией по именованным расположениям.

Следующий шаблон можно использовать для создания политики условного доступа с отображаемым именем "Шаблон 3: блокировать неразрешенные расположения" в режиме только для отчетов.

{
    "displayName": "Template 3: Block unallowed locations",
    "state": "enabledForReportingButNotEnforced",
    "conditions": {
        "applications": {
            "includeApplications": [
                "All"
            ]
        },
        "users": {
            "includeUsers": [
                "All"
            ],
            "excludeUsers": [
                "f753047e-de31-4c74-a6fb-c38589047723"
            ]
        },
        "locations": {
            "includeLocations": [
                "b5c47916-b835-4c77-bd91-807ec08bf2a3"
          ]
        }
    },
    "grantControls": {
        "operator": "OR",
        "builtInControls": [
            "block"
        ]
    }
}

Добавление условного доступа к пользовательскому потоку

После добавления политики условного доступа Microsoft Entra, включите условный доступ в пользовательском сценарии или индивидуальной политике. Если включить условный доступ, вам не нужно указывать имя политики. Несколько политик условного доступа могут применяться к отдельному пользователю в любое время. В этом случае самая строгая политика управления доступом имеет приоритет. Например, если для одной политики требуется многофакторная проверка подлинности, а другие блокируют доступ, пользователь блокируется.

Включение многофакторной проверки подлинности (необязательно)

При добавлении условного доступа к потоку пользователя рекомендуется использовать многофакторную проверку подлинности (MFA). Пользователи могут использовать одноразовый код через SMS или голос, одноразовый пароль по электронной почте или код на основе времени (TOTP) через приложение authenticator для многофакторной проверки подлинности. Параметры MFA настраиваются отдельно от параметров условного доступа. Вы можете выбрать один из следующих вариантов MFA:

• Отключено — MFA никогда не применяется во время входа, и пользователям не предлагается зарегистрироваться в MFA во время регистрации или входа.
• Always on - требуется многофакторная проверка подлинности независимо от настройки условного доступа. Во время регистрации пользователям предлагается зарегистрировать в MFA. Во время входа, если пользователи еще не зарегистрированы в MFA, им будет предложено зарегистрировать.
• Условный — во время регистрации и входа пользователям предлагается зарегистрировать в MFA (как новых пользователей, так и существующих пользователей, которые не зарегистрированы в MFA). Во время входа MFA применяется только в том случае, если требуется активная оценка политики условного доступа:
  • Если результатом является запрос MFA при отсутствии риска, MFA применяется. Если пользователь еще не зарегистрирован в MFA, им будет предложено зарегистрировать.
  • Если результатом является проблема MFA из-за риска , и пользователь не зарегистрирован в MFA, вход блокируется.

  Примечание.

  Благодаря общедоступной доступности условного доступа в Azure AD B2C пользователям теперь предлагается зарегистрировать метод MFA во время регистрации. Все потоки пользователей регистрации, созданные до общей доступности, не будут автоматически отражать это новое поведение, но вы можете включить это поведение, создав новые потоки пользователей.

 <ClaimsTransformation Id="IsMfaRegisteredCT" TransformationMethod="DoesClaimExist">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="strongAuthenticationEmailAddress" TransformationClaimType="inputClaim" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="IsMfaRegistered" TransformationClaimType="outputClaim" />
  </OutputClaims>
 </ClaimsTransformation>

Просмотр результатов условного доступа в отчете аудита

Чтобы просмотреть результат события условного доступа, выполните следующие действия.

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, щелкните значок Настройки в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню Каталоги и подписки.
3. В разделе "Службы Azure" выберите Azure AD B2C. Или используйте поле поиска, чтобы найти и выбрать Azure AD B2C.
4. В разделе "Действия" выберите журналы аудита.
5. Отфильтруйте журнал аудита, задав категорию на B2C и тип ресурса действия на IdentityProtection. Затем выберите Применить.
6. Просмотрите действия аудита за последние семь дней. Включены следующие типы действий:
   • Оценка политик условного доступа. Эта запись журнала аудита указывает, что оценка условного доступа была выполнена во время проверки подлинности.
   • Исправление пользователя. Эта запись указывает, что предоставление или требования политики условного доступа были выполнены конечным пользователем, и это действие было сообщено обработчику рисков для устранения (снижения риска) пользователя.
7. Выберите запись журнала Evaluate conditional access policy в списке, чтобы открыть страницу Подробности действия: Журнал аудита, где отображаются идентификаторы журнала аудита, а также эти сведения в разделе Дополнительные сведения.
   • ConditionalAccessResult: разрешение, необходимое для оценки условной политики.
   • AppliedPolicies: список всех политик условного доступа, в которых были выполнены условия, и политики включены.
   • ReportingPolicies: список политик условного доступа, которые были заданы в режиме только для отчетов и где были выполнены условия.

Связанный контент

Настройка пользовательского интерфейса в потоке пользователя Azure AD B2C