Поделиться через

Требовать MFA для администраторов

  • Статья

Учетные записи, которым назначены права администратора, часто подвергаются атакам злоумышленников. Обязательная многофакторная проверка подлинности (MFA) для таких учетных записей — это простой способ уменьшить риск их взлома.

Корпорация Майкрософт рекомендует использовать многофакторную проверку подлинности, устойчивую к фишингу, как минимум, для следующих ролей:

  • глобальный администратор
  • Администратор приложений
  • Администратор проверки подлинности
  • администратора выставления счетов;
  • Администратор облачных приложений
  • Администратор условного доступа
  • Администратор Exchange
  • Администратор службы технической поддержки
  • Администратор паролей
  • Привилегированный администратор проверки подлинности
  • Администратор привилегированных ролей
  • Администратор безопасности
  • Администратор SharePoint
  • Администратор пользователей

Организации могут включить или исключить определенные роли по своему усмотрению.

Пользовательские исключения

Политики условного доступа являются мощными средствами, мы рекомендуем исключить следующие учетные записи из политик:

  • Аварийный доступ или учетные записи Break-glass для предотвращения блокировки из-за неправильной настройки политики. В маловероятном сценарии, когда все администраторы заблокированы, ваша учетная запись администратора для аварийного доступа может использоваться для входа и выполнения действий по восстановлению доступа.
  • Учетные записи служб и субъекты-службы, такие как учетная запись синхронизации Microsoft Entra Connect. Учетные записи служб представляют собой автономные учетные записи, которые не привязаны к какому-либо конкретному пользователю. Они обычно используются службами сервера для предоставления программного доступа к приложениям, но также могут применяться для входа в системы в целях администрирования. Вызовы, сделанные субъектами-службами, не будут блокироваться политиками условного доступа, применяемыми к пользователям. Используйте условный доступ для идентификаторов рабочих нагрузок, чтобы определить политики, нацеленные на основные сервисы.

Развертывание шаблона

Организации могут развернуть эту политику с помощью описанных ниже шагов или шаблонов условного доступа.

Создание политики условного доступа

Следующие шаги помогут создать политику условного доступа, чтобы требовать от назначенных административных ролей выполнять многофакторную проверку подлинности. Некоторые организации могут быть готовы перейти к более строгим методам проверки подлинности для своих администраторов. Эти организации могут выбрать реализацию такой политики, как описано в статье "Требовать фишинговую многофакторную проверку подлинности для администраторов".

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор условного доступа.
  2. Перейдите к Entra ID>условному доступу>политикам.
  3. Выберите новую политику.
  4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
  5. В разделе "Назначения" выберите "Пользователи" или "Идентификации рабочих нагрузок".

    1. В разделе "Включение" выберите роли каталога и выберите по крайней мере те роли, которые перечислены ранее.

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются для других типов ролей, включая роли с областью действия в административных единицах или пользовательско-определенные роли.

    2. В разделе Исключить выберите Пользователи и группы и укажите аварийные учетные записи вашей организации или "учетные записи экстренного доступа".

  6. В разделе «Целевые ресурсы»>«Ресурсы» (ранее облачные приложения)>выберитеВсе ресурсы (ранее — «Все облачные приложения»).
  7. В разделе "Управление доступом">"Предоставление доступа", выберите "Предоставить доступ", "Требовать многофакторную аутентификацию" и выберите "Выбрать".
  8. Подтвердите параметры и установите политику "Включить" на Только для отчетов.
  9. Нажмите кнопку "Создать", чтобы включить политику.

После того как администраторы оценивают параметры политики с помощью режима воздействия политики или режима только отчета, они могут переместить тумблер включения политики из только отчет в вкл.

Связанный контент