All Conditional Access policies are configured to exclude at least one emergency account or group.
Защо това е важно
Без специално определен "break glass" акаунт, изключен от всички политики за Conditional Access, грешна конфигурация може да заключи всички администратори извън клиента. Това води до необратима загуба на достъп, което потенциално причинява продължителен престой и инциденти със сигурността, които не могат да бъдат управлявани. ИТ администраторите трябва да осигурят надежден резервен вариант за авариен достъп, за да поддържат оперативна непрекъснатост и да избегнат скъпоструващи възстановителни усилия.
Какво проверява Aether365
Тази проверка установява дали поне един авариен или "break glass" акаунт, или специална група, е изключен от всяка политика за Conditional Access във вашия клиент. Тя се появява в таблото за управление на Aether365 под проверки за microsoft-365 като елемент със средна тежест.
Как да отстраните проблема
- Влезте в Microsoft Entra admin center и отидете на Identity > Security > Conditional Access.
- Прегледайте всяка политика за Conditional Access за изключения. Ако никоя политика в момента не изключва "break glass" акаунт, създайте нов потребителски акаунт специално за авариен достъп (например break-glass@yourdomain.com) и му задайте роля Global Administrator.
- За всяка политика отворете политиката, отидете в секцията Assignments, изберете Users or workload identities и под Exclude добавете аварийния акаунт или специална група, която го съдържа.
- Ако използвате група, създайте група за сигурност в Microsoft Entra ID с име "Break Glass Admins" и добавете аварийния акаунт. След това изключете тази група от всички политики за Conditional Access.
- Повторете стъпка 3 за всяка политика за Conditional Access във вашия клиент. Проверете дали изключението се появява в списъка Exclude, преди да запазите всяка политика.
- След като актуализирате всички политики, тествайте достъпа с аварийния акаунт, за да потвърдите, че той може да заобиколи всички политики и да влезе успешно в портала.
Съответствие
- Друго: Тази проверка адресира основна практика за сигурност, препоръчана от Microsoft и индустриални стандарти (например CIS, CISA) за поддържане на авариен достъп в Microsoft 365. Въпреки че не е свързана с конкретна рамка за съответствие, тя подкрепя по-широки изисквания за управление на бизнес непрекъснатостта и реакция при инциденти.
Свързани ресурси
- Управление на аварийни акаунти за достъп в Microsoft Entra ID
- Conditional Access: Изключване на конкретни потребители или групи в политика