MFA vereisen voor Azure-beheer

Organisaties gebruiken veel Azure-services en beheren ze vanuit hulpprogramma's op basis van Azure Resource Manager, zoals:

• Azure Portal
• Azure PowerShell
• Azure-opdrachtregelinterface (CLI)

Deze hulpprogramma's kunnen zeer bevoorrechte toegang bieden tot resources die de volgende wijzigingen kunnen aanbrengen:

• Configuraties voor het hele abonnement wijzigen
• Service-instellingen
• Facturering van abonnementen

Om deze bevoegde resources te beveiligen, raadt Microsoft aan om meervoudige verificatie te vereisen voor elke gebruiker die toegang heeft tot deze resources. In Microsoft Entra ID worden deze hulpprogramma's gegroepeerd in een suite met de naam Windows Azure Service Management API. Voor Azure Government moet dit pakket de Azure Government Cloud Management API-app zijn.

Uitsluitingen van gebruikers

Beleid voor voorwaardelijke toegang is krachtige hulpprogramma's. We raden u aan de volgende accounts uit uw beleid uit te sluiten:

• Noodtoegangsaccounts of break-glass accounts om vergrendeling vanwege verkeerde beleidsconfiguratie te voorkomen. In het onwaarschijnlijke scenario waarin alle beheerders zijn vergrendeld, kan uw beheerdersaccount voor noodtoegang worden gebruikt om u aan te melden en de toegang te herstellen.
  • Meer informatie vindt u in het artikel, Accounts voor toegang tot noodgevallen beheren in Microsoft Entra ID.
• Serviceaccounts en serviceprincipals, zoals het Microsoft Entra Connect Sync-account. Serviceaccounts zijn niet-interactieve accounts die niet zijn gekoppeld aan een specifieke gebruiker. Ze worden meestal gebruikt door back-endservices om programmatische toegang tot toepassingen toe te staan, maar ze worden ook gebruikt om zich voor beheerdoeleinden aan te melden bij systemen. Aanroepen van service-principals worden niet geblokkeerd door beleid voor voorwaardelijke toegang dat is gericht op gebruikers. Gebruik Voorwaardelijke toegang voor workloadidentiteiten om beleidsregels te definiëren die gericht zijn op service-principals.
  • Als uw organisatie deze accounts gebruikt in scripts of code, vervangt u deze door beheerde identiteiten.

Sjabloonimplementatie

Organisaties kunnen dit beleid implementeren door de onderstaande stappen te volgen of door de sjablonen voor voorwaardelijke toegang te gebruiken.

Beleid voor voorwaardelijke toegang maken

De volgende stappen helpen bij het maken van een beleid voor voorwaardelijke toegang om te vereisen dat gebruikers die toegang hebben tot de Windows Azure Service Management API-suite meervoudige verificatie uitvoeren.

1. Meld u aan bij het Microsoft Entra-beheercentrum als een Beheerder van Voorwaardelijke Toegang.
2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
3. Selecteer Nieuw beleid.
4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleidsregels.
5. Onder Toewijzingen selecteert u Gebruikers- of workload-identiteiten.
   1. Selecteer onder Opnemen de optie Alle gebruikers.
   2. Selecteer bij Uitsluiten de optie Gebruikers en groepen en kies de noodtoegang of break-glass accounts van uw organisatie.
6. Onder Doelresources>Resources (voorheen cloud-apps)>Opnemen, kies >, kies Windows Azure Service Management-API en selecteer Selecteer.
7. Onder Toegangsbeheer en >, selecteer Toegang verlenen, Meerfactorverificatie vereisen, en selecteer Selecteren.
8. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
9. Selecteer Maken om uw beleid aan te maken en in te schakelen.

Nadat u uw instellingen hebt bevestigd met de beleidsimpactmodus of de modus Alleen-rapporteren, verplaatst u de wisselknop Beleid inschakelen van alleen rapport naar Aan.

Volgende stappen

Sjablonen voor voorwaardelijke toegang

Gebruik de modus alleen rapporteren voor voorwaardelijke toegang om de resultaten van nieuwe beleidsbeslissingen te bepalen.