Поделиться через

Требовать безопасное изменение пароля для повышенного риска пользователя

  • Статья

Майкрософт сотрудничает с исследователями, правоохранительными органами, различными группами безопасности Майкрософт и другими доверенными источниками для поиска пар "имя пользователя и пароль". Организации с лицензиями Microsoft Entra ID P2 могут создавать политики условного доступа, включая обнаружение рисков пользователей защиты идентификаторов Microsoft Entra ID.

Пользовательские исключения

Политики условного доступа являются мощными средствами, мы рекомендуем исключить следующие учетные записи из политик:

  • Аварийный доступ или учетные записи для экстренного доступа, чтобы избежать блокировки из-за неправильной настройки политики. В маловероятном сценарии, когда все администраторы заблокированы, ваша учетная запись администратора для аварийного доступа может использоваться для входа и выполнения действий по восстановлению доступа.
  • Учетные записи служб и принципы служб, такие как учетная запись синхронизации Microsoft Entra Connect. Учетные записи служб представляют собой автономные учетные записи, которые не привязаны к какому-либо конкретному пользователю. Они обычно используются службами сервера для предоставления программного доступа к приложениям, но также могут применяться для входа в системы в целях администрирования. Вызовы, сделанные сервисными принципалами, не блокируются политиками условного доступа, применяемыми к пользователям. Используйте условный доступ для рабочих учетных данных, чтобы определить политики, нацеленные на основных учетных записей.

Развертывание шаблона

Организации могут развернуть эту политику с помощью описанных ниже шагов или шаблонов условного доступа.

Включение с помощью политики условного доступа

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор условного доступа.
  2. Перейдите к Entra ID>Conditional Access.
  3. Выберите новую политику.
  4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
  5. В разделе "Назначения" выберите "Пользователи" или "Удостоверения рабочей нагрузки".
    1. В разделе "Включить" выберите "Все пользователи".
    2. В разделе Исключить выберите Пользователи и группы и выберите аварийные учетные записи или учетные записи с аварийным доступом вашей организации.
    3. Нажмите кнопку "Готово".
  6. В разделе "Облачные приложения или действия">"Включить" выберите "Все ресурсы" (прежнее название — "Все облачные приложения").
  7. В условиях>риска пользователя установите для параметра "Настроить" значение "Да".
    1. В разделе "Настройка уровней риска пользователей", необходимых для применения политики, выберите "Высокий". Это руководство основано на рекомендациях Майкрософт и может отличаться для каждой организации.
    2. Нажмите кнопку "Готово".
  8. В разделе Средства управления доступом>Предоставление выберите Предоставить доступ.
    1. Выберите "Требовать силу проверки подлинности", а затем выберите встроенную силу многофакторной проверки подлинности из списка.
    2. Выберите "Требовать изменение пароля".
    3. Нажмите кнопку "Выбрать".
  9. В разделе "Сеанс".
    1. Выберите частоту входа.
    2. Убедитесь, что установлен вариант "Каждый раз".
    3. Нажмите кнопку "Выбрать".
  10. Подтвердите параметры и установите включение политики в режим только для отчетов.
  11. Нажмите кнопку "Создать", чтобы включить политику.

После того как администраторы оценят параметры политики с помощью режима «Влияние политики» или «Только отчёт», они могут переместить переключатель «Включить политику» из положения «Только отчёт» в «Вкл».

Сценарии без пароля

Для организаций, использующих методы проверки подлинности без пароля , внесите следующие изменения:

Обновление политики риска пользователей без пароля

  1. В разделе "Пользователи":
    1. Включите, выберите "Пользователи и группы" и нацельте пользователей без пароля.
  2. В разделе "Элементы управления доступом" блокировка> доступа для пользователей без пароля.

Совет

В течение некоторого времени может потребоваться иметь две политики при развертывании методов без паролей.

  • Такая возможность самостоятельного исправления для тех, кто не использует методы без пароля.
  • Другой вариант, который блокирует пользователей без паролей с высоким риском.

Устранение и разблокировка пользовательского риска в системе безпарольной аутентификации

  1. Требовать проверки и устранения администратором любого риска.
  2. Разблокируйте пользователя.

Связанный контент