All Conditional Access policies are configured to exclude directory synchronization accounts or do not scope them

Warum dies wichtig ist

Dienstkonten wie das Microsoft Entra Connect Sync-Konto sind für die Verzeichnissynchronisation unerlässlich, sollten aber niemals von Richtlinien für den bedingten Zugriff betroffen sein, die eine Benutzerinteraktion erfordern, wie z. B. die Multi-Faktor-Authentifizierung. Wenn diese Konten durch Regeln für den bedingten Zugriff blockiert werden, kann die Synchronisation fehlschlagen, was zu Identitätsinkonsistenzen und potenziellen Ausfällen in Ihrem Mandanten führt.

Was Aether365 prüft

Diese Prüfung stellt sicher, dass alle Richtlinien für den bedingten Zugriff entweder explizit Dienstkonten für die Verzeichnissynchronisation ausschließen oder diese überhaupt nicht einbeziehen. Sie erscheint im Aether365-Dashboard unter der Kategorie "microsoft-365" als Prüfung AE.1020.

Behebung des Problems

1. Melden Sie sich beim Microsoft Entra admin center an und navigieren Sie zu Protection > Conditional Access > Policies.
2. Überprüfen Sie jede Richtlinie, die für Benutzeraktionen oder Anmelderisiken gilt. Fügen Sie bei Richtlinien, die Kontrollen wie die Anforderung von MFA oder die Blockierung des Zugriffs durchsetzen, das Microsoft Entra Connect Sync-Konto zur Ausschlussliste im Abschnitt "Users and groups" hinzu.
3. Wenn das Synchronisationskonto ein Service principal ist, stellen Sie sicher, dass es ausgeschlossen wird, indem Sie "Directory synchronization" oder die entsprechende Objekt-ID des Dienstprinzipals auswählen.
4. Speichern Sie die Richtlinie und testen Sie sie mit einem Validierungstool oder einer Pilotgruppe, um zu bestätigen, dass der Synchronisationszugriff weiterhin funktioniert.

Compliance

Diese Prüfung ist nicht explizit einem bestimmten Compliance-Rahmenwerk zugeordnet, unterstützt jedoch bewährte Methoden des CIS und allgemeine Microsoft 365-Sicherheitsrichtlinien.

Verwandte Ressourcen

• Microsoft Learn: Ausschließen von Dienstkonten aus Richtlinien für den bedingten Zugriff
• Microsoft Learn: Richtlinien für den bedingten Zugriff für Microsoft Entra Connect

Microsoft references

• Howto conditional access policy admin mfa