Условный доступ: фильтр для устройств

Когда администраторы создают политики условного доступа, возможность нацеливать или исключать определенные устройства в своей среде является общей задачей. Фильтр условий для устройств предоставляет администраторам возможность нацеливать на определенные устройства. Администраторы могут использовать поддерживаемые операторы и свойства для фильтров устройств вместе с другими доступными условиями назначения в политиках условного доступа.

Есть несколько сценариев, в которых организации теперь могут использовать фильтр для состояния устройств. В следующих сценариях приведены примеры использования этого нового условия.

• Ограничение доступа к привилегированным ресурсам. В этом примере можно сказать, что вы хотите разрешить доступ к API управления службами Windows Azure от пользователя, который:
  • Назначается привилегированная роль.
  • Завершена многофакторная проверка подлинности.
  • Устройство находится на привилегированной или безопасной рабочей станции администрирования и подтверждено как соответствующее требованиям.
  • В этом сценарии организации создадут две политики условного доступа:
    • Политика 1. Все пользователи с ролью администратора, доступ к облачному приложению API управления службами Windows Azure, а также для управления доступом, предоставление доступа, но требуют многофакторной проверки подлинности и требуют, чтобы устройство было помечено как соответствующее.
    • Политика 2. Все пользователи с правами администратора, имеющие доступ к облачному приложению API управления сервисами Windows Azure, исключая фильтр для устройств, использующих выражение правила device.extensionAttribute1 равно SAW, а для элементов управления доступом установить блокировку. Узнайте, как обновить расширенные атрибуты в объекте устройства Microsoft Entra.
• Блокировать доступ к ресурсам организации с устройств с неподдерживаемой операционной системой. В этом примере, допустим, требуется заблокировать доступ к ресурсам из ОС Windows версии старше, чем Windows 10. В этом сценарии организации создадут следующую политику условного доступа:
  • Все пользователи, имеющие доступ ко всем ресурсам, за исключением тех, у которых устройства, где применяются выражения device.operatingSystem == 'Windows' и device.operatingSystemVersion startsWith '10.0', должны быть заблокированы элементами управления доступом.
• Не требуется многофакторная проверка подлинности для определенных учетных записей на определенных устройствах. В этом примере можно сказать, что при использовании учетных записей служб на определенных устройствах, таких как Teams Phone или Surface Hub, не требуется многофакторная проверка подлинности. В этом сценарии организации создадут следующие две политики условного доступа:
  • Политика 1. Все пользователи, за исключением служебных учетных записей, имеют доступ ко всем ресурсам и элементам управления доступом; предоставляется доступ, но требуется многофакторная аутентификация.
  • Политика 2: Выберите пользователей и группы, включая группу, содержащую только учетные записи служб, с доступом ко всем ресурсам, за исключением устройств, использующих выражение правила device.extensionAttribute2, не равных TeamsPhoneDevice, и для контроля доступа установите блокировку.

Фильтр для устройств является необязательным элементом управления при создании политики условного доступа.

Следующие шаги помогут создать две политики условного доступа для поддержки первого сценария в общих сценариях.

Политика 1. Все пользователи с ролью администратора, доступ к облачному приложению API управления службами Windows Azure, а также для управления доступом, предоставление доступа, но требуют многофакторной проверки подлинности и требуют, чтобы устройство было помечено как соответствующее.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор условного доступа.
2. Перейдите к Entra ID>условному доступу>политикам.
3. Выберите новую политику.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе "Назначения" выберите "Пользователи" или "Идентификаторы рабочей нагрузки".

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени.

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются к другим типам ролей, включая [ограниченные рамками административных единиц](../role-based-access-control/manage-roles-portal.md) или настраиваемые роли.

   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи аварийного доступа вашей организации или учетные записи для экстренного доступа.

   3. Нажмите кнопку "Готово".

6. В разделе Целевые ресурсы>Ресурсы (ранее облачные приложения)>Выберите>ресурсы, выберите API управления службами Windows Azure и нажмите Выбрать.
7. В разделе ">Предоставление доступа" выберите "Предоставить доступ", "Требовать многофакторную проверку подлинности" и "Требовать, чтобы устройство было помечено как соответствующее" и нажмите кнопку "Выбрать".
8. Подтвердите параметры и установите Включить политику на Вкл.
9. Нажмите кнопку "Создать", чтобы включить политику.

Политика 2: Все пользователи с ролью администратора, имеющие доступ к облачному приложению API управления службами Windows Azure, за исключением фильтра для устройств, использующих выражение правила device.extensionAttribute1 равно SAW, и для элементов управления доступом — блокировать.

1. Выберите новую политику.
2. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
3. В разделе "Назначения" выберите "Пользователи" или "Идентификаторы рабочей нагрузки".

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются для других типов ролей, включая роли с областью действия административной единицы или пользовательские роли.

   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи аварийного доступа вашей организации или учетные записи для экстренного доступа.

   3. Нажмите кнопку "Готово".

4. В разделе Целевые ресурсы>Ресурсы (ранее облачные приложения)>Выберите>ресурсы, выберите API управления службами Windows Azure и нажмите Выбрать.
5. При условияхфильтр для устройств.
   1. Переключите "Настроить" на "Да".
   2. Задайте для устройств, соответствующих правилу параметр Исключить отфильтрованные устройства из политики.
   3. Укажите свойство ExtensionAttribute1, оператор Equals и значение SAW.
   4. Нажмите кнопку "Готово".
6. В разделе "Предоставление элементов управления доступом>" выберите "Блокировать доступ", а затем нажмите кнопку "Выбрать".
7. Подтвердите параметры и установите Включить политику на Вкл.
8. Нажмите кнопку "Создать", чтобы включить политику.

Настройка атрибутов расширения возможна с помощью API Microsoft Graph. Дополнительные сведения о настройке атрибутов устройства см. в статье "Обновление устройства".

Фильтр для API устройств доступен в конечной точке Microsoft Graph версии 1.0 и может быть доступен с помощью конечной точки https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Вы можете настроить фильтр для устройств при создании новой политики условного доступа или обновить доступную политику, чтобы настроить фильтр для состояния устройств. Чтобы обновить существующую политику, можно выполнить PATCH-запрос в конечной точке Microsoft Graph версии 1.0, добавив идентификатор существующей политики и отправив следующий запрос. В этом примере показано, как настроить фильтр, чтобы исключить устройства, которые не помечены как устройства SAW. Синтаксис правила позволяет использовать несколько выражений. Дополнительные сведения о синтаксисе см. в правилах динамического членства для групп в Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

В условном доступе можно использовать следующие атрибуты устройства с фильтром для состояния устройств.

Фильтр для условий устройств в условном доступе оценивает политику на основе атрибутов устройства зарегистрированного устройства в идентификаторе Microsoft Entra ID, поэтому важно понимать, в каких обстоятельствах политика применяется или не применяется. В следующей таблице показано поведение при настройке фильтра для условий устройств.

• Возвращение в школу: правильное использование логической алгебры в сложных фильтрах
• Обновление API Graph устройства
• Условный доступ: условия
• Общие политики условного доступа