Условный доступ: фильтр для устройств

Обзор

Когда администраторы создают политики условного доступа, возможность нацеливать или исключать определенные устройства в своей среде является общей задачей. Фильтр условий для устройств предоставляет администраторам возможность нацеливать на определенные устройства. Администраторы могут использовать поддерживаемые операторы и свойства для фильтров устройств вместе с другими доступными условиями назначения в политиках условного доступа.

Распространенные сценарии

Есть несколько сценариев, в которых организации теперь могут использовать фильтр для состояния устройств. В следующих сценариях приведены примеры использования этого нового условия.

• Ограничение доступа к привилегированным ресурсам. В этом примере предположим, что вы хотите разрешить доступ к API управления службами Windows Azure от пользователя, который:
  • Назначается привилегированная роль.
  • Завершена многофакторная проверка подлинности.
  • Устройство находится на привилегированной или безопасной рабочей станции администрирования и подтверждено как соответствующее требованиям.
  • В этом сценарии организации создадут две политики условного доступа:
    • Политика 1: Все пользователи с ролью администратора, которые имеют доступ к облачному приложению API управления службами Windows Azure, а для управления доступом следует предоставить доступ, но требуется многофакторная аутентификация и устройство должно быть отмечено как соответствующее.
    • Политика 2. Все пользователи с правами администратора, обращающиеся к облачному приложению API управления службами Windows Azure, за исключением фильтра для устройств, где выражение правила device.extensionAttribute1 равно SAW, блокируются элементами управления доступом. Узнайте, как обновить атрибуты расширения в объекте устройства Microsoft Entra.
• Блокировать доступ к ресурсам организации с устройств с неподдерживаемой операционной системой. В этом примере предположим, что вы хотите заблокировать доступ к ресурсам из ос Windows более старой, чем Windows 10. В этом сценарии организации создадут следующую политику условного доступа:
  • Все пользователи, обращающиеся ко всем ресурсам, за исключением тех, у кого устройства, где применяется выражение правила device.operatingSystem == 'Windows' и device.operatingSystemVersion startsWith '10.0', должны быть заблокированы контролем доступа.
• Не требуется многофакторная проверка подлинности для определенных учетных записей на определенных устройствах. В этом примере предположим, что при использовании учетных записей служб на определенных устройствах, таких как Телефоны Teams или устройства Surface Hub, не требуется многофакторная проверка подлинности. В этом сценарии организации создадут следующие две политики условного доступа:
  • Политика 1. Все пользователи, за исключением служебных учетных записей, имеют доступ ко всем ресурсам и элементам управления доступом; предоставляется доступ, но требуется многофакторная аутентификация.
  • Политика 2: Выберите пользователей и группы, включая группу, содержащую только учетные записи служб, с доступом ко всем ресурсам, за исключением устройств, использующих выражение правила device.extensionAttribute2, не равных TeamsPhoneDevice, и для контроля доступа установите блокировку.

Создание политики условного доступа

Фильтр для устройств является необязательным элементом управления при создании политики условного доступа.

Следующие шаги помогут создать две политики условного доступа для поддержки первого сценария в общих сценариях.

Политика 1: Все пользователи с ролью администратора, которые имеют доступ к облачному приложению API управления службами Windows Azure, а для управления доступом следует предоставить доступ, но требуется многофакторная аутентификация и устройство должно быть отмечено как соответствующее.

1. Войдите в центр администрирования Microsoft Entra как минимум в качестве администратора условного доступа.
2. Перейдите к Entra ID>условному доступу>политикам.
3. Выберите новую политику.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе "Назначения" выберите "Пользователи" или "Идентификаторы рабочей нагрузки".

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени.

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются для других типов ролей, включая роли с областью действия административной единицы или пользовательские роли.

   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи аварийного доступа вашей организации или учетные записи для экстренного доступа.

   3. Нажмите кнопку "Готово".

6. В разделе Target resources>Resources (ранее облачные приложения)>Include>Select resources, выберите Windows Azure API управления службами и выберите Select.
7. В разделе ">Предоставление доступа" выберите "Предоставить доступ", "Требовать многофакторную проверку подлинности" и "Требовать, чтобы устройство было помечено как соответствующее" и нажмите кнопку "Выбрать".
8. Подтвердите параметры и установите Включить политику на Вкл.
9. Щелкните Создать, чтобы включить эту политику.

Политика 2. Все пользователи с ролью администратора, обращающиеся к облачному приложению API управления службами Windows Azure, за исключением фильтра для устройств, использующих выражение правила device.extensionAttribute1, равно SAW и для элементов управления доступом, блокировать.

1. Выберите новую политику.
2. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
3. В разделе "Назначения" выберите "Пользователи" или "Идентификаторы рабочей нагрузки".

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются для других типов ролей, включая роли с областью действия административной единицы или пользовательские роли.

   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи аварийного доступа вашей организации или учетные записи для экстренного доступа.

   3. Нажмите кнопку "Готово".

4. В разделе Target resources>Resources (ранее облачные приложения)>Include>Select resources, выберите Windows Azure API управления службами и выберите Select.
5. При условияхфильтр для устройств.
   1. Переключите "Настроить" на "Да".
   2. Задайте для устройств, соответствующих правилу параметр Исключить отфильтрованные устройства из политики.
   3. Укажите свойство ExtensionAttribute1, оператор Equals и значение SAW.
   4. Нажмите кнопку "Готово".
6. В разделе "Предоставление элементов управления доступом>" выберите "Блокировать доступ", а затем нажмите кнопку "Выбрать".
7. Подтвердите параметры и установите Включить политику на Вкл.
8. Щелкните Создать, чтобы включить эту политику.

Указание значений атрибутов

Настройка атрибутов расширения возможна с помощью Microsoft Graph API. Дополнительные сведения о настройке атрибутов устройства см. в статье "Обновление устройства".

Фильтрация для устройств Graph API

Фильтр для API устройств доступен в конечной точке Microsoft Graph версии 1.0 и может быть доступен с помощью конечной точки https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Вы можете настроить фильтр для устройств при создании новой политики условного доступа или обновить доступную политику, чтобы настроить фильтр для состояния устройств. Чтобы обновить существующую политику, можно выполнить патч-запрос для конечной точки Microsoft Graph версии 1.0, добавив идентификатор существующей политики и выполнив следующий запрос. В этом примере показано, как настроить фильтр, чтобы исключить устройства, которые не помечены как устройства SAW. Синтаксис правила позволяет использовать несколько выражений. Чтобы узнать больше о синтаксисе, см. раздел правила для динамических групп членства в Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Поддерживаемые операторы и свойства устройств для фильтров

В условном доступе можно использовать следующие атрибуты устройства с фильтром для состояния устройств.

Поведение политики с фильтром для устройств

Фильтр для условий устройств в условном доступе оценивает политику на основе атрибутов устройств зарегистрированного устройства в Microsoft Entra ID, поэтому важно понимать, в каких обстоятельствах политика применяется или не применяется. В следующей таблице показано поведение при настройке фильтра для условий устройств.

Связанный контент

• Возвращение в школу: правильное использование логической алгебры в сложных фильтрах
• Обновите Graph API устройства
• Условный доступ: условия
• Общие политики условного доступа