All Conditional Access policies are configured to exclude at least one emergency account or group.
Proč na tom záleží
Bez vyhrazeného účtu pro krizové situace (break glass account), který je vyloučen ze všech pravidel podmíněného přístupu (Conditional Access), by mohla chybná konfigurace uzamknout všechny správce mimo tenanta. To by vedlo k nevratné ztrátě přístupu, což může způsobit dlouhé výpadky a bezpečnostní incidenty, které nelze spravovat. Správci IT musí zajistit spolehlivou záložní možnost pro nouzový přístup, aby udrželi provozní kontinuitu a předešli nákladným opravám.
Co Aether365 kontroluje
Tato kontrola ověřuje, že alespoň jeden nouzový účet, účet pro krizové situace (break glass account) nebo vyhrazená skupina je vyloučena ze všech pravidel podmíněného přístupu (Conditional Access) ve vašem tenantovi. V přehledu Aether365 se zobrazuje v sekci kontrol microsoft-365 jako položka se střední závažností.
Jak to opravit
- Přihlaste se do centra Microsoft Entra admin center a přejděte na Identity > Security > Conditional Access.
- Zkontrolujte každé pravidlo podmíněného přístupu (Conditional Access) a zjistěte, zda obsahuje vyloučení. Pokud žádné pravidlo v současnosti nevylučuje účet pro krizové situace, vytvořte nový uživatelský účet určený speciálně pro nouzový přístup (např. break-glass@vasedomena.cz) a přiřaďte mu roli globálního správce (Global Administrator).
- U každého pravidla jej otevřete, přejděte do sekce Přiřazení (Assignments), vyberte Users or workload identities a v části Vyloučit (Exclude) přidejte nouzový účet nebo vyhrazenou skupinu, která jej obsahuje.
- Pokud používáte skupinu, vytvořte v Microsoft Entra ID bezpečnostní skupinu s názvem "Break Glass Admins" a přidejte do ní nouzový účet. Poté tuto skupinu vylučte ze všech pravidel podmíněného přístupu (Conditional Access).
- Opakujte krok 3 pro každé pravidlo podmíněného přístupu (Conditional Access) ve vašem tenantovi. Před uložením každého pravidla ověřte, že se vyloučení zobrazuje v seznamu Vyloučit (Exclude).
- Po aktualizaci všech pravidel otestujte přístup pomocí nouzového účtu, abyste potvrdili, že může obejít všechna pravidla a úspěšně se přihlásit do portálu.
Shoda s předpisy
- Ostatní: Tato kontrola se týká základní bezpečnostní praxe doporučené společností Microsoft a průmyslovými standardy (např. CIS, CISA) pro udržení nouzového přístupu v Microsoft 365. Ačkoli není propojena s konkrétním regulačním rámcem, podporuje širší požadavky na správu pro zajištění kontinuity podnikání a reakce na incidenty.
Související zdroje
- Správa účtů pro nouzový přístup v Microsoft Entra ID
- Podmíněný přístup: Vyloučení konkrétních uživatelů nebo skupin v pravidle