Dostęp Warunkowy – Instrukcja Konfiguracji Krok Po Kroku – Część 2

Test: KTO WYKONUJE POŁĄCZENIE

Na przykład:

• użytkownik ma byc równy j.doe@ourdomain.com
• lub (OR) użytkownik ma należeć do grupy SALES
• i (AND) użytkownik NIE MA należeć do grupy PRIVILEDGED

Poza przynależnością do grup możesz wykorzystać także takie warunki jak: All guest and external users czy Directory roles

Wynik:

PRAWDA: przechodzimy do kolejnego warunku
FAŁSZ: koniec, ta polityka nie zostanie uruchomiona dla tego połączenia

Realne przykłady konfiguracji znajdziesz w ostatniej części naszego przewodnika.

Test: DO JAKIEJ APLIKACJI NASTĘPUJE POŁĄCZENIE

Na przykład:

• ma miejsce próba połączenia z Microsoft PowerApps
• lub (OR) ma miejsce próba połączenia z Office 365 SharePoint Online
• i (AND) NIE MA MIEJSCA próba połączenia do Project Online

W zakładce User actions dostępna jest opcja Register security information – opcja ta dotyczy rejestracji dodatkowego mechanizmu autentykacji dla MFA. Sprawdź akapit: Podstawowe Zasady O Których Musisz Pamietać

Wynik:

PRAWDA: przechodzimy do kolejnego warunku
FAŁSZ: koniec, ta polityka nie zostanie uruchomiona dla tego połączenia

Realne przykłady konfiguracji znajdziesz w ostatniej części naszego przewodnika.

Test następujących 5 warunków

Ważne:

• Sprawdzane są tylko warunki skonfigurowane
• Ogólny wynik jest iloczynem wyników warunków (skonfigurowanych) – jeżeli chociaż jeden warunek zwróci FAŁSZ, cały test zwraca FAŁSZ

Jeżeli chcemy aby polityka działała dla użytkownika DLA WSZYSTKICH SIECI – nie należy włączać warunku Locations i ustawiać Any location
PO PROSTU NIE WŁĄCZAMY tego warunku.

Tak samo z pozostałymi warunkami z sekcji Conditions.

Warunki w sekcji Conditions służą do ograniczenia działania polityki, jeśli nie są potrzebne – nie włączamy ich!

Sign-in-risk
Dla jakich poziomów ryzyka logowania polityka ma zadziałać.
Np. polityka ma zadziałać dla połączeń ocenionych jako:
sign-in-risk level = High lub Medium

Device platforms
Dla jakich systemów operacyjnych polityka ma zadziałać? Chodzi tu o system operacyjny na urządzeniu z którego użytkownik dokonuje aktualnego połączenia.

Locations
Możliwość określenia warunków dla adresacji IP z której nastepuje połączenie.

Client apps
Możliwość oreślenia warunku na aplikację kliencką z której korzysta użytkownik. Na przykład polityka ma działać tylko dla połączeń z przeglądarki internetowej.

Device state
Określenie warunku na podstawie stanu urządzenia w AAD i jego zgodności z politykami Intune. Na przykład: polityka ma zadziałać dla wszystkich połączeń wykonywanych z urządzeń które nie mają w AAD statusu: Device Hybrid Azure AD joined

Wynik (wszystkich 5 warunków, jeśli są skonfigurowane):

PRAWDA: przechodzimy do kolejnego warunku
FAŁSZ: koniec, ta polityka nie zostanie uruchomiona dla tego połączenia

Realne przykłady konfiguracji znajdziesz w ostatniej części naszego przewodnika.

Mogą to być warunki dowolnie wybrane spośród:

• Require multi-factor authentication
• Require device to be marked as compliant
• Require Hybrid Azure AD joined device
• Require approved client app
• Require app protection policy

Realne przykłady konfiguracji znajdziesz w ostatniej części naszego przewodnika.

I na koniec decydujemy czy wystarczy, że użytkownik spełni jeden z wybranych przez nas warunków, czy musi spełnić wszystkie.

1. Ustal dla jakich warunków w postaci (użytkownik A łączy się do aplikacji B) ma działać polityka i skonfiguruj je w sekcjach Users and groups oraz Cloud apps or actions
   
2. Pomyśl czy oczekujesz różnego poziomu zabezpieczenia w zależności od
   • ryzyka logowania
   • systemu operacyjnego użytkownika
   • sieci z której się łączy
   • aplikacji z jakiej korzysta
   • stanu urządzenia
     
3. Skonfiguruj je w sekcji Conditions
   
4. Określ wymagania jakie stawiasz przed użytkownikiem i skonfiguruj je w sekcji Grant
   
5. Na razie nie dotykaj sekcji Session
   
6. Włącz politykę

Polityka zadziała dla tych użytkowników, którzy spełnią warunki postawione w sekcji Users and groups.

Jeżeli konfigurujesz politykę i skonfigurujesz ją wybierając z listy wszystkie grupy (na przykład IT i Sales) – to jeśli pojawi się nowa grupa, np. HR, polityka nie zadziała dla jej członków .

Musisz pamiętać o aktualizowaniu polityk albo o pilnowaniu aby użytkownik zawsze był przypisany do określonej grupy. Nie jest to rozwiązanie bezpieczne.

Wybranie opcji All users wydaje się ciekawym rozwiązaniem tego problemu.

Jakie istnieje niebezpieczeństwo związane z włączaniem polityki dla wszystkich?

Przede wszystkim, możliwość zablokowania samego siebie i utraty dostępu nawet do panelu administracyjnego. pozostanie nam wtedy kontakt z supportem Microsoft.

W połączeniu z All cloud apps tworzy już bardzo śmiertelną mieszankę.

Jakieś sugestie?