Шаг 2. Настройка Microsoft Entra ID ( базовый)

Основным элементом управления проверкой подлинности и доступом является использование Microsoft Entra ID. В этой статье рассматриваются основные шаги по настройке Microsoft Entra ID и рекомендации по настройке Microsoft Entra ID после каждого шага.

Роли и обязанности.

ИТ-Администратор
Администратор удостоверений

Начальные шаги по настройке для Microsoft Entra ID — базовый

Чтобы настроить Microsoft Entra ID, откройте руководство по настройке Microsoft Entra ID.

учетные записи Microsoft Entra ID лицензий и администраторов

Microsoft Entra ID предлагает несколько вариантов лицензирования в соответствии с различными потребностями организации:
- лицензия Microsoft Entra ID
  - Microsoft Entra ID бесплатно: входит в состав облачных подписок Майкрософт, таких как Azure и Microsoft 365. Он предоставляет базовые функции управления удостоверениями и доступом.
  - Microsoft Entra ID P1: доступно как отдельный продукт или входит в состав Microsoft 365 E3 и бизнес премиум. Он предлагает расширенные функции управления удостоверениями, включая условный доступ и самостоятельный сброс пароля.
  - Microsoft Entra ID P2: доступно как отдельный продукт или входит в состав Microsoft 365 E5. Он включает в себя все функции P1, а также расширенную защиту идентификации и привилегированное управление удостоверениями.
- Администратор учетные записи — Администратор учетные записи в Microsoft Entra ID имеют решающее значение для управления инфраструктурой удостоверений вашей организации и обеспечения ее безопасности. Ниже приведены основные типы ролей администратора:
  - Глобальный администратор: Имеет доступ ко всем административным функциям в Microsoft Entra ID и других службах Майкрософт.
  - Администратор пользователей: Может управлять пользователями и группами, включая сброс паролей и мониторинг работоспособности служб.
  - Администратор безопасности: Управляет функциями, связанными с безопасностью, включая условный доступ и защиту идентификации.
  - Администратор привилегированных ролей: Управляет назначениями ролей в Microsoft Entra управление привилегированными пользователями (PIM) и может активировать роли.
Проверка подлинности, единый вход и доступ к приложениям

Microsoft Entra ID обеспечивает надежную проверку подлинности, единый вход (SSO) и функции управления доступом к приложениям для повышения безопасности и взаимодействия с пользователем.
- Проверка подлинности. Microsoft Entra ID поддерживает различные методы проверки подлинности для обеспечения безопасного доступа:
  - Проверка подлинности на основе пароля. Пользователи входят с помощью имени пользователя и пароля.
  - Многофакторная проверка подлинности (MFA): Добавляет дополнительный уровень безопасности, требуя дополнительных методов проверки, таких как телефонный звонок, текстовое сообщение или уведомление приложения.
  - Проверка подлинности без пароля: Использует такие методы, как Windows Hello, ключи безопасности FIDO2 или приложение Microsoft Authenticator, для входа без пароля.
- Единый Sign-On (SSO) — единый вход позволяет пользователям получать доступ к нескольким приложениям с одним набором учетных данных, уменьшая усталость паролей и повышая безопасность. Microsoft Entra ID поддерживает несколько методов единого входа:
  - Федеративный единый вход: Использует такие протоколы, как SAML, WS-Federation или OpenID Connect, для проверки подлинности пользователей в разных системах.
  - Единый вход на основе пароля: Хранит и воспроизводит имена пользователей и пароли для приложений, которые не поддерживают современные протоколы проверки подлинности.
  - Связанный единый вход: Перенаправляет пользователей на страницу входа в приложение и автоматически входит в систему.
- Доступ к приложениям— Microsoft Entra ID упрощает управление доступом к приложениям:
  - Корпоративные приложения: Интегрируйте тысячи предварительно настроенных приложений из коллекции приложений Microsoft Entra для единого входа.
  - Условный доступ: Создавайте политики для управления доступом на основе таких условий, как расположение пользователя, состояние устройства и уровень риска.
  - портал Мои приложения. Предоставляет централизованное расположение для доступа пользователей к приложениям и управления учетными данными.
Администрирование и гибридное удостоверение

Microsoft Entra ID администрирование включает управление удостоверениями, доступом и безопасностью в организации. Ниже приведены некоторые ключевые аспекты.
- Управление пользователями и группами.
  - Добавление пользователей и управление ими. Создание, обновление и удаление учетных записей пользователей.
  - Управление группами. Организация пользователей в группы для упрощения управления и контроля доступа.
- Контроль доступа на основе ролей (RBAC):
  - Назначение ролей. Используйте стандартные роли или создайте настраиваемые роли для делегирования разрешений.
  - управление привилегированными пользователями (PIM). Управление доступом, контроль и мониторинг доступа в организации, чтобы снизить риск чрезмерного, ненужного или неправильного использования разрешений доступа.
- Безопасность и соответствие требованиям.
  - Условный доступ. Реализуйте политики для управления доступом на основе таких условий, как расположение пользователя, состояние устройства и уровень риска.
  - Защита идентификации. Обнаружение рисков на основе удостоверений и реагирование на них с помощью машинного обучения и анализа поведения.
- Мониторинг и отчеты:
  - Журналы аудита. Отслеживайте изменения и события доступа.
  - Журналы входа. Отслеживайте входы пользователей для обнаружения необычных действий.
Самостоятельное обслуживание конечных пользователей

Microsoft Entra ID предлагает несколько функций самообслуживания, чтобы расширить возможности пользователей и снизить нагрузку на ИТ-поддержку. Ниже приведены некоторые ключевые возможности самообслуживания.
- Самостоятельный сброс пароля (SSPR) — пользователи могут сбрасывать пароли без обращения в службу поддержки. Эту функцию можно настроить так, чтобы для дополнительных средств безопасности требовалось несколько методов проверки подлинности.
- портал Мои приложения. Портал Мои приложения — это централизованное расположение, где пользователи могут обнаруживать свои приложения и управлять ими. Он предоставляет доступ ко всем нужным приложениям, упрощая их поиск и использование.
- Портал моей учетной записи . Этот портал позволяет пользователям управлять собственными сведениями об удостоверениях, в том числе обновлять контактные данные безопасности и управлять методами проверки подлинности.
- Мои входы . Пользователи могут просматривать журнал входа и отслеживать любые подозрительные действия. Если они заметят что-либо необычное, они могут сообщить об этом непосредственно через портал.
- Мой доступ . На портале "Мой доступ" пользователи могут запрашивать доступ к приложениям и службам, управлять своими пакетами доступа и просматривать состояние своих запросов.
Преимущества самообслуживания
- Сокращенная рабочая нагрузка ИТ: Благодаря тому, что пользователи могут управлять своими учетными записями и получать доступ, количество обращений в службу поддержки может быть значительно сокращено.
- Улучшенная безопасность: Пользователи могут быстро обновлять параметры безопасности и отслеживать собственные действия, помогая быстрее обнаруживать потенциальные угрозы и реагировать на них.
- Улучшенный пользовательский интерфейс: Порталы самообслуживания предоставляют пользователям удобный и эффективный способ управления своими сведениями о доступе и удостоверениях.

Подготовка пользователей и групп

Управление пользователями

Подготовка пользователей в Microsoft Entra ID включает автоматическое создание, обслуживание и удаление удостоверений и ролей пользователей в различных приложениях, к которым пользователям требуется доступ. Ниже приведена разбивка по принципу работы.
- Ключевые аспекты подготовки пользователей
  - Автоматическая подготовка. Этот процесс использует протокол System for Cross-Domain Identity Management (SCIM) 2.0 для автоматизации создания, обновления и удаления учетных записей пользователей в облачных приложениях1. Это гарантирует согласованное управление удостоверениями пользователей в разных системах.
  - подготовка HR-Driven. При добавлении нового сотрудника в систему управления персоналом его учетная запись пользователя автоматически создается в Microsoft Entra ID, Active Directory и других необходимых приложениях2. Это также включает обновление атрибутов пользователей и отключение учетных записей при выходе сотрудников из организации.
  - Подготовка приложений. Это относится к автоматическому созданию удостоверений пользователей и ролей специально для облачных приложений. Он включает в себя обслуживание и удаление этих удостоверений по мере изменения состояния пользователей или ролей.
  - Подготовка каталогов. Это включает синхронизацию удостоверений пользователей между локальными каталогами и Microsoft Entra ID, обеспечивая единое удостоверение в обеих средах.
- Рабочий процесс подготовки
  - Исходящая подготовка. От Microsoft Entra ID до приложений SaaS, создание учетных записей пользователей и управление ими на основе изменений в Microsoft Entra ID.
  - Входящая подготовка: от систем управления персоналом до Microsoft Entra ID, обеспечивая отражение новых сотрудников и изменения в состоянии сотрудников в учетных записях пользователей.
- Безопасность и соответствие требованиям
  - Шифрование. Все данные подготовки шифруются с помощью ПРОТОКОЛА HTTPS TLS 1.2 для обеспечения безопасной связи между Microsoft Entra ID и конечными точками приложения.
  - Авторизация. Учетные данные необходимы для подключения Microsoft Entra ID к API управления пользователями приложения, обеспечивая безопасный и авторизованный доступ.
Управление группами

Подготовка групп в Microsoft Entra ID позволяет управлять и автоматизировать создание, обслуживание и удаление членства в группах в различных приложениях и каталогах.
- Основные функции
  - Автоматическая подготовка групп. С помощью лицензии Microsoft Entra ID P1 или P2 вы можете использовать группы для назначения доступа к приложениям SaaS. Служба подготовки автоматически добавляет или удаляет пользователей из этих приложений в зависимости от их членства в группах.
  - Синхронизация групп. Подготовку групп можно настроить для синхронизации членства в группах между Microsoft Entra ID и локальная служба Active Directory. Это гарантирует согласованность членства в группах в обеих средах.
  - Протокол SCIM. Протокол SCIM используется для автоматизации подготовки и отмены членства в группах в облачных приложениях.
- Действия по настройке
  - Вход: доступ к Центр администрирования Microsoft Entra с соответствующими правами администратора.
  - Перейдите к разделу Подготовка. Перейдите к разделу Гибридное управление удостоверениями >> Microsoft Entra подключение к > облачной синхронизации.
  - Создать конфигурацию. Выберите Создать конфигурацию и выберите Microsoft Entra ID синхронизации AD.
  - Задать область подготовки. Определите область для синхронизации только назначенных пользователей и групп.
Преимущества — эффективность: автоматизирует повторяющиеся задачи, уменьшая административные издержки. — Согласованность: гарантирует актуальность членства в группах во всех подключенных системах. Безопасность. Помогает поддерживать принцип наименьших привилегий, обеспечивая пользователям соответствующий доступ на основе их членства в группах.

Многофакторная проверка подлинности и условный доступ

Многофакторная проверка подлинности (MFA) Microsoft Entra ID многофакторная проверка подлинности (MFA) повышает безопасность, требуя от пользователей предоставления нескольких форм проверки во время входа.
- Как это работает. для Microsoft Entra MFA требуется два или более следующих методов проверки подлинности:
  - То, что вы знаете: обычно пароль.
  - То, что у вас есть: доверенное устройство, например телефон или аппаратный ключ.
  - То, что вы: биометрия, например отпечаток пальца или сканирование лица.
- Доступные методы проверки
  - Microsoft Authenticator: мобильное приложение, обеспечивающее второй уровень безопасности.
  - Authenticator Lite (в Outlook): упрощенная версия Microsoft Authenticator.
  - Windows Hello для бизнеса. Использует биометрические параметры входа.
  - Секретный ключ (FIDO2): аппаратный метод проверки подлинности.
  - Проверка подлинности на основе сертификатов. Использует цифровые сертификаты.
  - Токены оборудования и программного обеспечения OATH: одноразовые маркеры паролей.
  - SMS и голосовой звонок: отправляет код с помощью текстового сообщения или телефонного звонка.
- Включение MFA
  - Параметры безопасности по умолчанию. Быстро включите MFA для всех пользователей, использующих параметры безопасности по умолчанию в Microsoft Entra tenants2.
  - Политики условного доступа. Создайте политики, требующие многофакторной проверки подлинности для определенных событий входа или групп пользователей.
Преимущества : повышенная безопасность. Снижает риск несанкционированного доступа за счет добавления уровней проверки. — Гибкость: поддерживает различные методы проверки подлинности в соответствии с различными потребностями пользователей. — Простота использования: интегрирована в процесс входа в Microsoft Entra, что делает его удобным для пользователей.
Беспарольная

Microsoft Entra ID предлагает несколько методов проверки подлинности без пароля для повышения безопасности и удобства пользователей, устраняя необходимость в паролях.
- Методы проверки подлинности без пароля
  - Windows Hello для бизнеса. Использует биометрические данные (распознавание отпечатков пальцев или лиц) или ПИН-код, привязанный к устройству пользователя. Этот метод идеально подходит для пользователей с выделенными компьютерами с Windows.
  - Microsoft Authenticator. Это мобильное приложение обеспечивает проверку подлинности на основе ключей. Пользователи могут выполнить вход, одобрив уведомление на своем устройстве, используя ПИН-код или биометрическую проверку.
  - Ключи безопасности FIDO2. Эти аппаратные устройства используют шифрование с открытым ключом для обеспечения строгой проверки подлинности. Пользователи могут пройти проверку подлинности, вставив ключ в USB-порт или коснувшись его в nfc-сканере.
  - проверка подлинности Certificate-Based. Использует цифровые сертификаты для проверки подлинности пользователей, часто в средах, где уже используются смарт-карты.
- Преимущества проверки подлинности без пароля
  - Расширенная безопасность: снижает риск фишинга и атак, связанных с паролем.
  - Удобство пользователя. Упрощает процесс входа, устраняя необходимость запоминания паролей и управления ими.
  - Соответствие требованиям. Помогает соответствовать нормативным требованиям для строгой проверки подлинности.
- Настройка проверки подлинности без пароля
  - Включить вход без пароля. В Центр администрирования Microsoft Entra перейдите к политике методов проверки подлинности и включите требуемые методы без пароля.
  - Регистрация пользователей. Пользователям необходимо зарегистрировать свои устройства или методы (например, настроить Windows Hello, зарегистрировать приложение Authenticator) на странице сведений о безопасности.
  - Политики условного доступа. Настройте политики для принудительной проверки подлинности без пароля для определенных сценариев или групп пользователей.
Глобальная защита паролем и управление ими (только для пользователей облака)

Microsoft Entra ID предлагает надежные функции глобальной защиты паролей и управления для повышения безопасности облачных пользователей.
- Основные функции
  - Глобальный список запрещенных паролей: Microsoft Entra ID автоматически применяет глобальный список запрещенных паролей ко всем пользователям. Этот список постоянно обновляется на основе телеметрии безопасности, чтобы заблокировать часто используемые ненадежные пароли и их варианты.
  - Настраиваемый список запрещенных паролей. Организации могут определять собственные настраиваемые списки запрещенных паролей, чтобы заблокировать определенные термины, которые являются слабыми или релевантными для их среды1.
  - Защита от атак с распылением паролей. Система обнаруживает и блокирует попытки использования общих паролей в нескольких учетных записях, защищая от атак с распылением паролей.
  - Сторонние списки скомпрометированных паролей: Microsoft Entra ID могут интегрироваться со сторонними службами для блокировки паролей, которые были скомпрометированы в результате нарушения безопасности данных.
- Принципы работы
  - Изменение и сброс паролей. Когда пользователи изменяют или сбрасывают свои пароли, система проверяет новый пароль по глобальному и пользовательскому спискам запрещенных паролей, чтобы убедиться, что он соответствует стандартам безопасности.
  - Настройка не требуется. Глобальный список запрещенных паролей применяется автоматически и не может быть отключен, обеспечивая согласованную защиту всех пользователей.
- Преимущества
  - Повышенная безопасность. Блокируя ненадежные и скомпрометированные пароли, система значительно снижает риск несанкционированного доступа.
  - Простота использования. Пользователи могут создавать надежные пароли без дополнительной настройки от администраторов.
  - Соответствие требованиям. Помогает организациям соответствовать стандартам безопасности и нормативным требованиям для управления паролями.
Условный доступ

Microsoft Entra ID условный доступ — это мощная функция, которая помогает организациям применять политики безопасности на основе определенных условий. Условный доступ — это основанный на политике подход, который оценивает различные сигналы для принятия решений о предоставлении или запрете доступа к ресурсам. Это основной компонент модели безопасности "Никому не доверяй" корпорации Майкрософт.
- Ключевые компоненты
  - Сигналы. Это условия, которые оценивают политики условного доступа, такие как удостоверение пользователя, соответствие устройств, расположение и уровень риска1.
  - Политики. Это правила, определяющие действия, которые следует предпринять на основе оцениваемых сигналов. Политики можно настроить так, чтобы требовать многофакторную проверку подлинности (MFA), блокировать доступ или предоставлять доступ с ограничениями.
- Распространенные варианты использования
  - Требовать MFA для всех пользователей. Принудительное применение MFA для всех пользователей, обращаюющихся к конфиденциальным приложениям.
  - Блокировать доступ из ненадежных расположений: запретить доступ из определенных географических расположений или диапазонов IP-адресов.
  - Соответствие устройств. Убедитесь, что только соответствующие устройства могут получать доступ к корпоративным ресурсам.
- Настройка условного доступа
  - Определение условий. Укажите сигналы для оценки, например группы пользователей, расположения, устройства и приложения.
  - Настройка элементов управления доступом. Решите, какие действия следует выполнять при выполнении условий, например требование многофакторной проверки подлинности или блокировка доступа.
  - Включить политику. Протестируйте политику с помощью небольшой группы, прежде чем развертывать ее в масштабах всей организации, чтобы убедиться, что она работает должным образом.
- Преимущества
  - Расширенная безопасность. Защищает от несанкционированного доступа путем оценки нескольких факторов перед предоставлением доступа.
  - Гибкость. Обеспечивает детальный контроль доступа на основе различных условий.
  - Соответствие требованиям. Помогает соответствовать нормативным требованиям, применяя строгие элементы управления доступом.

Управление удостоверениями

Автоматическая подготовка пользователей в приложениях SaaS

Автоматическая подготовка пользователей в Microsoft Entra ID упрощает процесс управления удостоверениями пользователей и ролями в различных приложениях SaaS.
- Основные функции
  - Автоматическое создание пользователей. При добавлении нового пользователя в Microsoft Entra ID его учетная запись автоматически создается в подключенных приложениях SaaS, таких как Salesforce, ServiceNow и Dropbox.
  - Обслуживание и Обновления. Служба подготовки обеспечивает актуальность сведений о пользователях во всех приложениях. При изменении роли или состояния пользователя эти обновления автоматически отражаются в подключенных приложениях.
  - Отзыв. Когда пользователь покидает организацию или больше не нуждается в доступе, его учетные записи в приложениях SaaS автоматически отключаются или удаляются.
- Действия по настройке
  - Вход: доступ к Центр администрирования Microsoft Entra с соответствующими правами администратора.
  - Перейдите в раздел Корпоративные приложения > Для > удостоверений > Корпоративные приложения.
  - Выберите Приложение. Выберите приложение SaaS, которое необходимо настроить для подготовки.
  - Перейдите на вкладку Подготовка и задайте для режима подготовки значение Автоматически.
  - Администратор Учетные данные. Укажите необходимые учетные данные администратора для подключения Microsoft Entra ID к API управления пользователями приложения.
  - Сопоставление и определение области. Определите атрибуты пользователей и область подготовки (например, определенные группы или все пользователи).
- Преимущества
  - Эффективность. Сокращает количество ручных усилий, необходимых для управления учетными записями пользователей в нескольких приложениях.
  - Согласованность. Обеспечивает согласованность и актуальность сведений о пользователях во всех подключенных системах.
  - Безопасность. Автоматически удаляет доступ для пользователей, которым он больше не нужен, что снижает риск несанкционированного доступа.

Ведение журнала событий и создание отчетов

Базовые отчеты о безопасности и использовании

Microsoft Entra ID предоставляет несколько базовых отчетов о безопасности и использовании, которые помогают эффективно отслеживать среду и управлять ею.
- Ключевые отчеты
  - Отчет о входах. В этом отчете содержатся подробные сведения о входе пользователей, включая состояние (успешно или неудачно), расположение и доступ к приложению. Он помогает выявить необычные шаблоны входа и потенциальные риски безопасности.
  - Журналы аудита. Эти журналы фиксируют все изменения, внесенные в ресурсы Microsoft Entra ID, например действия по управлению пользователями и группами. Они необходимы для отслеживания административных действий и обеспечения соответствия 1.
  - Отчет об использовании и аналитике. В этом отчете представлено ориентированное на приложение представление данных входа, включая используемые методы проверки подлинности, вход субъекта-службы и действия с учетными данными приложения. Она помогает понять, как пользователи обращаются к приложениям, и выявить потенциальные проблемы.
  - Действие методов проверки подлинности. В этом отчете показано, как в вашей организации используются различные методы проверки подлинности. Он содержит данные о регистрации и использовании таких методов, как MFA, вход без пароля и многое другое.
- Доступ к отчетам
  - центр Microsoft Entra Администратор. Войдите в Центр администрирования и перейдите в раздел Мониторинг удостоверений > & работоспособности > Использование & аналитические сведения, чтобы получить доступ к этим отчетам.
  - Microsoft API Graph. Вы также можете запрашивать эти отчеты программными средствами с помощью API Graph Майкрософт для более настраиваемых отчетов и интеграции с другими средствами.
- Преимущества
  - Расширенная безопасность. Отслеживая действия входа и изменения, вы можете быстро обнаруживать потенциальные угрозы безопасности и реагировать на них.
  - Соответствие требованиям. Журналы аудита и подробные отчеты помогают соответствовать нормативным требованиям и внутренним политикам.
  - Оперативная аналитика. Отчеты об использовании предоставляют ценные сведения о том, как пользователи взаимодействуют с приложениями, помогая оптимизировать выделение ресурсов и взаимодействие с пользователем.
Microsoft Entra ID подключения управления информационной безопасностью и событиями безопасности (SIEM) интегрируется со средствами управления информационной безопасностью и событиями безопасности (SIEM), помогая отслеживать и анализировать события безопасности.
- Шаги по интеграции с SIEM
  - Создание концентратора событий Azure. Это первый шаг для потоковой передачи журналов Microsoft Entra. Концентратор событий выступает в качестве конвейера для отправки журналов в средство SIEM.
  - Настройка параметров диагностики:
    - Войдите в центр администрирования Microsoft Entra .
    - Перейдите в раздел Мониторинг удостоверений > & параметры диагностики работоспособности>.
    - Выберите + Добавить параметр диагностики , чтобы создать новую интеграцию или Изменить параметр для существующего.
    - Введите имя параметра диагностики.
    - Выберите категории журналов для потоковой передачи (например, AuditLogs, Sign-ins).
    - Проверьте Stream к концентратору событий.
    - Выберите Azure подписку и пространство имен Центров событий.
- Настройка интеграции средств SIEM:
  - После потоковой передачи журналов в Концентратор событий настройте средство SIEM для сбора этих журналов.
  - Поддерживаемые средства SIEM включают Splunk, SumoLogic и ArcSight.
  - Выполните определенные действия по интеграции для средства SIEM, например установку надстройки Splunk для Microsoft Облачные службы или настройку SumoLogic для сбора журналов.
- Преимущества
  - Централизованный мониторинг. Объединение журналов из различных источников для комплексного мониторинга безопасности.
  - Повышенная безопасность: более эффективно обнаруживайте инциденты безопасности и реагируйте на них, анализируя журналы в режиме реального времени.
  - Соответствие требованиям. Помогает соответствовать нормативным требованиям путем ведения подробных журналов событий безопасности.

Дальнейшие действия

Следующий шаг — определить, какие приложения удостоверений вы хотите использовать.

Далее. Рассмотрите действия по идентификации образования>

Last updated on 2026-04-28