Dela via

Kräv enhetsefterlevnad med villkorsstyrd åtkomst

Microsoft Intune och Microsoft Entra arbetar tillsammans för att skydda din organisation genom principer för enhetsefterlevnad och villkorlig åtkomst. Enhetsefterlevnadsprinciper säkerställer att användarenheter uppfyller minimikraven för konfiguration. Kraven kan tillämpas när användare får åtkomst till tjänster som skyddas med principer för villkorsstyrd åtkomst.

Vissa organisationer kanske inte är redo att kräva enhetsefterlevnad för alla användare. Dessa organisationer kan i stället välja att distribuera följande principer:

Användarundantag

Principer för villkorlig åtkomst är kraftfulla verktyg. Vi rekommenderar att du undantar följande konton från dina principer:

  • Nödåtkomst eller break-glass-konton för att förhindra utelåsning på grund av felkonfiguration av principer. I det osannolika scenariot där alla administratörer är utelåst kan ditt administratörskonto för akut åtkomst användas för att logga in och återställa åtkomst.
  • Tjänstkonton och tjänstens huvudnamn, till exempel Microsoft Entra Connect Sync-kontot. Tjänstkonton är icke-interaktiva konton som inte är knutna till någon specifik användare. De används vanligtvis av serverdelstjänster för att tillåta programmatisk åtkomst till program, men de används också för att logga in på system för administrativa ändamål. Anrop som görs av tjänstens huvudnamn blockeras inte av principer för villkorsstyrd åtkomst som är begränsade till användare. Använd villkorlig åtkomst för arbetsbelastningsidentiteter för att definiera principer som är avsedda för tjänstens huvudnamn.
    • Om din organisation använder dessa konton i skript eller kod ersätter du dem med hanterade identiteter.

Mallutplacering

Organisationer kan distribuera den här principen genom att följa stegen nedan eller med hjälp av mallarna för villkorsstyrd åtkomst.

Skapa en princip för villkorsstyrd åtkomst

Följande steg hjälper dig att skapa en princip för villkorsstyrd åtkomst för att kräva att enheter som kommer åt resurser markeras som kompatibla med organisationens Intune-efterlevnadsprinciper.

Varning

Utan en efterlevnadsprincip som skapats i Microsoft Intune fungerar inte den här principen för villkorsstyrd åtkomst som avsett. Skapa en efterlevnadsprincip först och se till att du har minst en kompatibel enhet innan du fortsätter.

  1. Logga in på Microsoft Entra Admincenter som Administratör för villkorsstyrd åtkomst.
  2. Bläddra till Entra-ID>Villkorsstyrd åtkomst>Principer.
  3. Välj Ny princip.
  4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
  5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
    1. Under Inkludera väljer du Alla användare
    2. Under Exkludera:
      1. Välj Användare och grupper
        1. Välj organisationens nödåtkomst eller break-glass-konton.
        2. Om du använder hybrididentitetslösningar som Microsoft Entra Connect eller Microsoft Entra Connect Cloud Sync väljer du Katalogrolleroch väljer sedan Katalogsynkroniseringskonton
  6. Under Målresurser>Resurser (tidigare molnappar)>Inkludera väljer du Alla resurser (tidigare "Alla molnappar").
  7. Under Åtkomstkontroller>Bevilja.
    1. Välj Kräv att enheten ska markeras som kompatibel.
    2. Välj Välj.
  8. Bekräfta inställningarna och ange Aktivera policy till Rapportera endast.
  9. Välj Skapa för att aktivera policyn.

När du har bekräftat dina inställningar med hjälp av princippåverkan eller rapportläge flyttar du växlingsknappen Aktivera princip från Endast rapport till På.

Anteckning

Du kan registrera dina nya enheter i Intune även om du väljer Kräv att enheten ska markeras som kompatibel för Alla användare och Alla resurser (tidigare "Alla molnappar") med hjälp av föregående steg. Kräv att enheten markeras som kompatibel kontroll blockerar inte Intune-registrering.

På samma sätt blockerar inte Kräv att enheten ska markeras som kompatibel Microsoft Authenticator-appens åtkomst till UserAuthenticationMethod.Read-omfånget. Authenticator behöver åtkomst till UserAuthenticationMethod.Read-omfånget under authenticatorregistreringen för att avgöra vilka autentiseringsuppgifter en användare kan konfigurera. Authenticator behöver åtkomst till UserAuthenticationMethod.ReadWrite för att registrera autentiseringsuppgifter, vilket inte kringgår kravet att enheten måste markeras som överensstämmande.

Känt beteende

I iOS, Android, macOS och vissa webbläsare som inte kommer från Microsoft identifierar Microsoft Entra-ID enheten med ett klientcertifikat som etableras när enheten är registrerad med Microsoft Entra-ID. När en användare först loggar in via webbläsaren uppmanas användaren att välja certifikatet. Slutanvändaren måste välja det här certifikatet innan de kan fortsätta att använda webbläsaren.

B2B-scenarier

För organisationer som du har en relation med och litar på kan du lita på deras enhetsefterlevnadsanspråk. Information om hur du konfigurerar den här inställningen finns i artikeln Hantera åtkomstinställningar mellan klientorganisationer för B2B-samarbete.

Prenumerationsaktivering

Organisationer som använder funktionen Prenumerationsaktivering för att göra det möjligt för användare att "stega upp" från en version av Windows till en annan kanske vill undanta Windows Store för företag, AppID 45a330b1-b1ec-4cc1-9161-9f03992aa49f från sin enhetsefterlevnadsprincip.

Relaterat innehåll