Kräv multifaktorautentiseringsstyrka för externa användare

Autentiseringsstyrka är en kontroll för villkorsstyrd åtkomst som gör att du kan definiera en specifik kombination av MFA-metoder (multifaktorautentisering) som en extern användare måste slutföra för att få åtkomst till dina resurser. Den här kontrollen är särskilt användbar för att begränsa extern åtkomst till känsliga appar i din organisation. Du kan till exempel skapa en princip för villkorsstyrd åtkomst, kräva en nätfiskebeständig autentiseringsstyrka i principen och tilldela den till gäster och externa användare.

Microsoft Entra ID har tre inbyggda autentiseringsstyrkor:

• Multifaktorautentiseringsstyrka (mindre restriktiv) rekommenderas i den här artikeln
• Styrka för lösenordslös MFA
• Nätfiskebeständig MFA-styrka (mest restriktiv)

Du kan använda en av de inbyggda styrkorna eller skapa en anpassad autentiseringsstyrka baserat på de autentiseringsmetoder som du vill kräva.

I externa användarscenarier varierar MFA-autentiseringsmetoderna som en resursklient kan acceptera beroende på om användaren slutför MFA i sin hemklient eller i resursklientorganisationen. Mer information finns i Autentiseringsstyrka för externa användare.

Konfigurera åtkomstinställningar mellan klientorganisationer för att lita på MFA

Principer för autentiseringsstyrka fungerar tillsammans med MFA-förtroendeinställningar i inställningarna för åtkomst mellan klientorganisationer för att avgöra var och hur den externa användaren måste utföra MFA. En Microsoft Entra-användare autentiserar först med sitt eget konto i sin hemklientorganisation. När den här användaren sedan försöker komma åt din resurs tillämpar Microsoft Entra-ID principen för villkorsstyrd åtkomst för autentiseringsstyrka och kontrollerar om du har aktiverat MFA-förtroende.

• Om MFA-förtroende är aktiverat kontrollerar Microsoft Entra-ID användarens autentiseringssession för ett anspråk som anger att MFA har uppfyllts i användarens hemklientorganisation.
• Om MFA-förtroende är inaktiverat ger resursklienten användaren en utmaning att slutföra MFA i resursklientorganisationen med hjälp av en acceptabel autentiseringsmetod.

De autentiseringsmetoder som externa användare kan använda för att uppfylla MFA-kraven skiljer sig beroende på om användaren slutför MFA i sin hemklient eller resursklientorganisation. Se tabellen i autentiseringsstyrkan för villkorsstyrd åtkomst.

Användarundantag

Principer för villkorlig åtkomst är kraftfulla verktyg. Vi rekommenderar att du undantar följande konton från dina principer:

• Nödåtkomst eller break-glass-konton för att förhindra utelåsning på grund av felkonfiguration av principer. I det osannolika scenariot där alla administratörer är utelåst kan ditt administratörskonto för akut åtkomst användas för att logga in och återställa åtkomst.
  • Mer information finns i artikeln Hantera konton för nödåtkomst i Microsoft Entra-ID.
• Tjänstkonton och tjänstens huvudnamn, till exempel Microsoft Entra Connect Sync-kontot. Tjänstkonton är icke-interaktiva konton som inte är knutna till någon specifik användare. De används vanligtvis av serverdelstjänster för att tillåta programmatisk åtkomst till program, men de används också för att logga in på system för administrativa ändamål. Anrop som görs av tjänstens huvudnamn blockeras inte av principer för villkorsstyrd åtkomst som är begränsade till användare. Använd villkorlig åtkomst för arbetsbelastningsidentiteter för att definiera principer som är avsedda för tjänstens huvudnamn.
  • Om din organisation använder dessa konton i skript eller kod ersätter du dem med hanterade identiteter.

Skapa en princip för villkorsstyrd åtkomst

Använd följande steg för att skapa en princip för villkorsstyrd åtkomst som tillämpar en autentiseringsstyrka för externa användare.

1. Logga in på administrationscentret för Microsoft Entra som minst administratör för villkorsstyrd åtkomst.
2. Bläddra till Entra ID>Villkorsstyrd åtkomst>Principer.
3. Välj Ny princip.
4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
   1. Under Inkludera väljer du Välj användare och grupper och sedan Gästanvändare eller externa användare.
      1. Välj de typer av gästanvändare eller externa användare som du vill tillämpa principen på.
   2. Under Exkludera väljer du Användare och grupper och markerar organisationens konton för nödåtkomst eller akuta åtgärder.
6. Under Målresurser>Resurser (tidigare molnappar), under Inkludera eller Exkludera, väljer du alla program som du vill inkludera i eller exkludera från kraven på autentiseringsstyrka.
7. Under Åtkomstkontroller>Bevilja väljer du Bevilja åtkomst.
   1. Välj Kräv autentiseringsstyrka och välj sedan lämplig inbyggd eller anpassad autentiseringsstyrka i listan.
   2. Välj Välj.
8. Bekräfta inställningarna och ställ in Aktivera policy på Endast rapport.
9. Välj Skapa för att skapa för att aktivera principen.

När du har bekräftat dina inställningar med hjälp av princippåverkan eller rapportläge flyttar du växlingsknappen Aktivera princip från Endast rapport till På.

Relaterat innehåll

• Mallar för villkorsstyrd åtkomst
• Använd rapportläge för villkorsstyrd åtkomst för att fastställa resultatet av nya principbeslut.
• Konfigurera åtkomstinställningar för flera klientorganisationer