Пример политики блокировки доступа

Обзор

Для организаций с консервативным подходом к миграции в облако можно использовать политику "блокировать все".

Такие политики могут иметь непредвиденные побочные эффекты. Правильное тестирование и проверка крайне важны перед включением. При внесении изменений администраторы должны использовать такие средства, как режим только отчетов 'Условный доступ' и инструмент 'What If' в Условном доступе.

Пользовательские исключения

Политики условного доступа — это мощные инструменты. Рекомендуется исключить следующие учетные записи из политик:

• Аварийный доступ или аварийные учетные записи для предотвращения блокировки в результате неправильной настройки политики. В маловероятном сценарии, когда все администраторы заблокированы, ваша учетная запись администрирования аварийного доступа может использоваться для входа и восстановления доступа.
  • Дополнительные сведения см. в статье Управление учетными записями аварийного доступа в Microsoft Entra ID.
• Учетные записи служб и служебные принципы, такие как учетная запись синхронизации Microsoft Entra Connect. Учетные записи служб являются неинтерактивными учетными записями, которые не привязаны к конкретному пользователю. Они обычно используются внутренними службами для предоставления программного доступа к приложениям, но они также используются для входа в системы для административных целей. Вызовы, выполняемые субъектами-службами, не блокируются политиками условного доступа для пользователей. Используйте условный доступ для идентификаторов рабочих нагрузок, чтобы определить политики, предназначенные для служебных принципов.
  • Если ваша организация использует эти учетные записи в скриптах или коде, замените их управляемыми удостоверениями.

Создание политики условного доступа

Следующие шаги помогут создать политики условного доступа для блокировки доступа ко всем приложениям, кроме Office 365 (Microsoft 365), если пользователи не в доверенной сети. Эти политики сначала помещаются в режим «только для отчетов», чтобы администраторы могли определить влияние на существующих пользователей. Когда администраторы уверены, что политики применяются так, как они планировали, они могут переключить их в положение Включено.

Первая политика блокирует доступ ко всем приложениям, кроме приложений Microsoft 365, если они находятся вне надежного местоположения.

1. Войдите в Центр администрирования Microsoft Entra с правами не ниже, чем Администратора условного доступа.
2. Перейдите к Entra ID>Условный доступ>Политики.
3. Выберите Новая политика.
4. Присвойте политике имя. Создайте значимый стандарт для наименований ваших политик.
5. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.
   1. В разделе Включить выберите Все пользователи.
   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи для экстренного доступа или аварийные учетные записи вашей организации.
6. В разделе "Целевые ресурсы">(ранее облачные приложения) выберите следующие параметры:
   1. В разделе "Включить" выберите все ресурсы (ранее "Все облачные приложения").
   2. В разделе Exclude выберите Office 365 выберите Select.
7. При условиях:
   1. В разделе Условия>Расположение.
      1. Задайте для параметра Настроить значение Да.
      2. В разделе Включить выберите Любое место.
      3. В разделеИсключить выберите Все надежные места.
   2. В разделе Клиентские приложения установите для параметра Настроить значение Да и нажмите Готово.
8. В разделе Управление доступом>Предоставить разрешение выберите Блокировать доступ и нажмите Выбрать.
9. Подтвердите параметры и задайте для параметра Включить политику значение Только отчет.
10. Щелкните Создать, чтобы включить эту политику.

После подтверждения параметров с помощью режима влияния политики или только для отчетов переместите переключатель из Только отчет в Включено.

Следующая политика создается, чтобы требовать многофакторную проверку подлинности или соответствующее устройство для пользователей Microsoft 365.

1. Выберите команду Создать политику.
2. Присвойте политике имя. Создайте значимый стандарт для наименований ваших политик.
3. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.
   1. В разделе Включить выберите Все пользователи.
   2. В разделе Исключить выберите Пользователи и группы и выберите учетные записи для экстренного доступа или аварийные учетные записи вашей организации.
4. В разделе Target resources>Resources (ранее облачные приложения)>Include>Select resources выберите Office 365, и выберите Select.
5. В разделе Управление доступом>Предоставить разрешение выберите Предоставить доступ.
   1. Выберите Требовать многофакторную проверку подлинности и Требовать, чтобы устройство было помечено как соответствующее, затем нажмите Выбрать.
   2. Убедитесь, что выбран параметр Требовать один из выбранных элементов управления.
   3. Выберите Выберите.
6. Подтвердите параметры и задайте для параметра Включить политику значение Только отчет.
7. Щелкните Создать, чтобы включить эту политику.

После подтверждения параметров с помощью режима влияния политики или только для отчетов переместите переключатель из Только отчет в Включено.

Связанный контент

Шаблоны условного доступа

Определите эффект в режиме отчетов условного доступа

Используйте режим "только отчет" для условного доступа, чтобы определить результаты новых решений по политике.