Delen via

Toegang blokkeren voor gebruikers met intern risico

De meeste gebruikers vertonen normaal gedrag dat kan worden getraceerd. Wanneer ze buiten de norm hiervoor vallen, zou het riskant kunnen zijn om hen toe te staan zich zomaar aan te melden. Mogelijk wilt u die gebruiker blokkeren of vragen om een specifiek gebruiksrechtovereenkomst te bekijken. Microsoft Purview kan een intern risicosignaal bieden voor voorwaardelijke toegang om beslissingen over toegangsbeheer te verfijnen. Intern risicobeheer maakt deel uit van Microsoft Purview. U moet dit inschakelen voordat u het signaal in voorwaardelijke toegang kunt gebruiken.

Schermopname van een voorbeeld van beleid voor voorwaardelijke toegang met behulp van intern risico als voorwaarde.

Uitsluitingen van gebruikers

Beleid voor voorwaardelijke toegang is krachtige hulpprogramma's. We raden u aan de volgende accounts uit uw beleid uit te sluiten:

  • Accounts voor noodtoegang of break-glass om vergrendeling te voorkomen vanwege onjuiste configuratie van beleid. In het onwaarschijnlijke scenario waarin alle beheerders zijn vergrendeld, kan uw beheerdersaccount voor noodtoegang worden gebruikt om u aan te melden en de toegang te herstellen.
  • Serviceaccounts en serviceprincipals, zoals het Microsoft Entra Connect-synchronisatieaccount. Serviceaccounts zijn niet-interactieve accounts die niet zijn gekoppeld aan een specifieke gebruiker. Ze worden meestal gebruikt door back-endservices om programmatische toegang tot toepassingen toe te staan, maar ze worden ook gebruikt om zich voor beheerdoeleinden aan te melden bij systemen. Aanroepen van service-principals worden niet geblokkeerd door beleid voor voorwaardelijke toegang dat is gericht op gebruikers. Gebruik Voorwaardelijke toegang voor workloadidentiteiten om beleidsregels te definiëren die gericht zijn op service-principals.
    • Als uw organisatie deze accounts gebruikt in scripts of code, vervangt u deze door beheerde identiteiten.

Sjabloonimplementatie

Organisaties kunnen dit beleid implementeren door de onderstaande stappen te volgen of door de sjablonen voor voorwaardelijke toegang te gebruiken.

Toegang blokkeren met beleid voor voorwaardelijke toegang

Aanbeveling

Configureer adaptieve beveiliging voordat u het volgende beleid maakt.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als Beheerder van voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleidsregels.
  5. Onder Toewijzingen selecteert u Gebruikers- of workload-identiteiten.
    1. Selecteer onder Opnemen de optie Alle gebruikers.
    2. Onder Uitsluiten:
      1. Selecteer Gebruikers en groepen en kies de noodtoegangs- of break-glass accounts van uw organisatie.
      2. Selecteer Gast- of externe gebruikers en kies het volgende:
        1. B2B directe verbinding maken met gebruikers.
        2. Gebruikers van serviceproviders.
        3. Andere externe gebruikers.
  6. Onder Doelresources>Resources (voorheen cloud-apps)>Opnemen, selecteer Alle resources (voorheen 'Alle cloud-apps').
  7. Onder Voorwaarden>Insider-risico, stel Configureer in op Ja.
    1. Selecteer de risiconiveaus die moeten worden toegewezen ter handhaving van het beleid.
      1. Selecteer Verhoogde bevoegdheid.
      2. Selecteer Gereed.
  8. Selecteer bij Toegangsbeheer>Verlenende optie Toegang blokkeren en selecteer vervolgens Selecteren.
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid te activeren.

Nadat u uw instellingen hebt bevestigd met de beleidsimpactmodus of de modus Alleen-rapporteren, verplaatst u de wisselknop Beleid inschakelen van alleen rapport naar Aan.

Sommige beheerders kunnen andere beleidsregels voor voorwaardelijke toegang maken die gebruikmaken van andere toegangsbeheer, zoals gebruiksvoorwaarden op lagere niveaus van intern risico.

Gerelateerde inhoud