Условный доступ. Условия

В политике условного доступа администратор может использовать один или несколько сигналов для улучшения своих решений политики.

Для создания детализированных и специальных политик условного доступа можно сочетать несколько условий.

Когда пользователи получают доступ к конфиденциальному приложению, администратор может учитывать несколько условий в своих решениях о доступе, например:

• Сведения о риске входа от защиты удостоверений личности
• Сетевое расположение
• Сведения об устройстве

Риск пользователя

Администраторы с доступом к функции ID Protection могут оценивать риски пользователей в рамках политики условного доступа. Риск для пользователя представляет вероятность компрометации данного удостоверения или учетной записи. Дополнительные сведения о риске пользователей приведены в статьях Что такое риск и практическое руководство. Настройка и включение политик риска.

Риск при входе

Администраторы с доступом к ID Protection могут оценивать риск входа в систему в рамках политики условного доступа. Риск входа представляет вероятность того, что заданный запрос проверки подлинности не был сделан владельцем удостоверения. Дополнительные сведения о риске входа приведены в статьях Что такое риск и Практическое руководство. Настройка и включение политик риска.

Инсайдерские риски

Администраторы с доступом к Адаптивной защите Microsoft Purview могут включать сигналы риска от Microsoft Purview в решения политики условного доступа. Внутренний риск учитывает ваше управление данными, безопасность данных, а также конфигурации управления рисками и соблюдение требований в Microsoft Purview. Эти сигналы основаны на контекстных факторах, таких как:

• Действия пользователя
• Исторические шаблоны
• Обнаружение аномалий

Это условие позволяет администраторам использовать политики условного доступа для выполнения таких действий, как блокировка доступа, требование более строгих методов проверки подлинности или требование принятия условий использования.

Эта функция включает в себя включение параметров, которые специально устраняют потенциальные риски, возникающие в организации. Настроив условный доступ с учётом внутреннего риска, администраторы могут настраивать разрешения доступа на основе контекстных факторов, таких как поведение пользователя, исторические шаблоны и обнаружение аномалий.

Дополнительные сведения см. в статье "Настройка и включение политики на основе внутренних рисков".

Платформы устройств

Условный доступ определяет платформу устройства с помощью сведений, предоставляемых устройством, например строк агента пользователя. Так как строки агента пользователя можно изменять, эти сведения не проверяются. Использование платформы устройств должно быть совмещено с политиками соответствия устройств Microsoft Intune или как часть заявления о блокировке. По умолчанию политика применяется ко всем платформам устройств.

Условный доступ поддерживает следующие платформы устройств:

• Android
• iOS
• Windows
• macOS
• Linux

Если вы блокируете устаревшую проверку подлинности с помощью условия Другие клиенты, можно также задать условие платформы устройства.

Выбор платформ устройств macOS или Linux не поддерживается при выборе Требовать одобренное клиентское приложение или Требовать политику защиты приложений как единственного управляющего элемента, или при выборе Требовать все выбранные управляющие элементы.

Местоположения

Условие, касающееся местоположений, изменилось.

Клиентские приложения

По умолчанию все созданные политики условного доступа применяются ко всем типам клиентских приложений, даже если условие клиентских приложений не настроено.

Если для переключателя Настроить задано значение Да, он применяется к отмеченным элементам, если он имеет значение Нет, он применяется ко всем клиентским приложениям, включая современные и устаревшие клиенты проверки подлинности. Этот переключатель не отображается в политиках, созданных до августа 2020 г.

• Современные клиенты проверки подлинности
  • Браузер
    • К ним относятся веб-приложения, использующие такие протоколы, как SAML, WS-Federation, OpenID Connect или службы, зарегистрированные как конфиденциальный клиент OAuth.
  • Мобильные приложения и настольные клиенты
    • Этот вариант включает такие приложения, как приложения Office для настольных компьютеров и телефонов.
• Устаревшие клиенты проверки подлинности
  • Клиенты Exchange ActiveSync
    • Сюда входят все варианты использования протокола Exchange ActiveSync (EAS). Если политика блокирует использование Exchange ActiveSync, затронутый пользователь получает одно сообщение по карантину. Эта электронная почта содержит сведения о том, почему они заблокированы и содержат инструкции по исправлению, если это возможно.
    • Администраторы могут применять политику только к поддерживаемым платформам (например, iOS, Android и Windows) с помощью API условного доступа Microsoft Graph.
  • Другие клиенты
    • Этот параметр включает клиенты, использующие стандартные или устаревшие протоколы проверки подлинности, которые не поддерживают современную проверку подлинности.
      • SMTP — используется клиентом POP и IMAP для отправки сообщений электронной почты.
      • Автообнаружение — используется клиентами Outlook и EAS для поиска почтовых ящиков в Exchange Online и подключения к ним.
      • PowerShell в Exchange Online — используется для удаленного подключения к Exchange Online с помощью PowerShell. Если вы заблокируете обычную аутентификацию для PowerShell в Exchange Online, для подключения понадобится использовать модуль PowerShell Exchange Online. Инструкции см. в статье Подключение к PowerShell Exchange Online с помощью многофакторной проверки подлинности.
      • Веб-службы Exchange (EWS) — интерфейс программирования, используемый приложениями Outlook, Outlook для Mac и сторонними приложениями.
      • IMAP4 — используется клиентами электронной почты IMAP.
      • MAPI через HTTP (MAPI/HTTP) — используется в Outlook 2010 и более поздних версиях.
      • Автономная адресная книга (OAB) — копия коллекций списков адресов, которые скачиваются и используются в Outlook.
      • Outlook Anywhere (RPC через HTTP) — используется в Outlook 2016 и более ранних версиях.
      • Служба Outlook — используется приложениями "Почта" и "Календарь" для Windows 10.
      • POP3 — используется клиентами электронной почты POP.
      • Веб-службы отчетов — используются для получения данных отчетов в Exchange Online.

Эти условия обычно используются для:

• Требовать управляемое устройство
• Блокировать устаревшую аутентификацию
• Блокировать веб-приложения, но разрешать мобильные или классические приложения

Поддерживаемые браузеры

Этот параметр работает со всеми браузерами. Но чтобы выполнить условия политики устройств, например требование соответствия, поддерживаются следующие операционные системы и браузеры. Операционные системы и браузеры, вышедшие из основной поддержки, не отображаются в этом списке.

Эти браузеры поддерживают аутентификацию устройств, позволяя идентифицировать устройство и проверить, соответствует ли оно политике. Если браузер работает в режиме конфиденциальности или файлы cookie отключены, проверка устройства завершится ошибкой.

Почему в браузере отображается запрос на сертификат

На устройствах Windows 7, iOS, Android и macOS определяются с помощью сертификата клиента. Этот сертификат подготавливается при регистрации устройства. Когда пользователь впервые подписывается через браузер, пользователю предлагается выбрать сертификат. Конечный пользователь должен выбрать этот сертификат, прежде чем работать с браузером.

Поддержка Chrome

Windows

Для поддержки Chrome в Windows 10 Creators Update (версия 1703) или более поздней версии установите расширение Microsoft Единый вход или включите Chrome CloudAPAuthEnabled. Эти конфигурации необходимы, если для политики условного доступа требуются сведения о конкретных устройствах для платформ Windows.

Чтобы автоматически включить политику CloudAPAuthEnabled в Chrome, создайте следующий раздел реестра:

• Путь: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome.
• Имя: CloudAPAuthEnabled
• Значение: 0x00000001
• ТипСобственности: DWORD

Чтобы автоматически развернуть расширение Microsoft Единый вход в браузерах Chrome, создайте следующий раздел реестра с помощью политики ExtensionInstallForcelist в Chrome:

• Путь: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist.
• Имя: 1
• Тип: REG_SZ (String)
• Данные: ppnbnpeolgkicgegkbkbjmhlideopiji;https://clients2.google.com/service/update2/crx

Для поддержки Chrome в Windows 8.1 и 7 создайте следующий ключ реестра:

• Путь: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\AutoSelectCertificateForUrls.
• Имя: 1
• Тип: REG_SZ (String)
• Данные: {"pattern":"https://device.login.microsoftonline.com","filter":{"ISSUER":{"CN":"MS-Organization-Access"}}}

macOS

Устройства macOS, использующие подключаемый модуль Enterprise SSO, требуют расширения Microsoft Single Sign On для поддержки SSO и условного доступа на устройствах в Google Chrome.

Для развертываний на основе MDM google Chrome и управления расширениями см. инструкции по настройке браузера Chrome в Mac и ExtensionInstallForcelist.

Поддерживаемые мобильные приложения и настольные клиенты

Администраторы могут выбирать мобильные приложения и классические клиенты в качестве клиентского приложения.

Этот параметр влияет на попытки доступа, сделанные из следующих мобильных приложений и классических клиентов:

Клиенты Exchange ActiveSync

• Администраторы могут выбирать только клиенты Exchange ActiveSync при назначении политики пользователям или группам. Выбор всех пользователей, всех гостевых и внешних пользователей или ролей каталога приводит к тому, что политика будет применяться ко всем пользователям.
• Когда администраторы создают политику, назначенную клиентам Exchange ActiveSync, Exchange Online должна быть единственным облачным приложением, назначенным политике.
• Администраторы могут сузить область этой политики на определенные платформы с помощью условия платформ устройств.

Если для управления доступом, назначенного политике, требуется утвержденное клиентское приложение, пользователь будет перенаправлен на установку и использование Outlook Mobile Client. Если требуется многофакторная проверка подлинности, условия использования или пользовательские элементы управления, затронутые пользователи блокируются, так как обычная проверка подлинности не поддерживает эти элементы управления.

Дополнительные сведения см. в следующих статьях:

• Блокировка устаревших методов аутентификации с помощью условного доступа
• Требования утвержденных клиентских приложений с условным доступом

Другие клиенты

Выберите вариант Другие клиенты, чтобы указать условие, которое влияет на приложения, использующие обычную проверку подлинности с протоколами электронной почты IMAP, MAPI, POP, SMTP, и приложения Office более ранних версий, которые не используют современные методы проверки подлинности.

Состояние устройства (устаревший)

Это условие устарело. Клиенты должны использовать условие фильтра для устройств в политике условного доступа для удовлетворения сценариев, ранее достигнутых с помощью условия состояния устройства.

Фильтр для устройств

Когда администраторы настраивают фильтр для устройств в качестве условия, они могут включать или исключать устройства на основе фильтра с помощью выражения правила в свойствах устройства. Выражение правила для фильтра устройств можно создать с помощью построителя правил или синтаксиса правил. Этот интерфейс аналогичен тому, который используется для правил для динамических групп членства. Дополнительные сведения см. в статье "Условный доступ: фильтрация для устройств".

Потоки проверки подлинности (предварительная версия)

Потоки аутентификации определяют, как ваша организация использует определенные протоколы аутентификации и авторизации и гранты. Эти потоки могут обеспечить простой интерфейс для устройств, которые могут не использовать локальные устройства ввода, такие как общие устройства или цифровые подписи. Используйте этот элемент управления для настройки методов передачи, таких как поток кода устройства или передача аутентификации.

Следующие шаги

• Условный доступ: предоставление разрешения
• Распространенные политики условного доступа