All Conditional Access policies are configured to exclude at least one emergency account or group.

Γιατί Έχει Σημασία

Χωρίς έναν καθορισμένο λογαριασμό έκτακτης ανάγκης (break glass account) που εξαιρείται από όλες τις πολιτικές Conditional Access, μια εσφαλμένη ρύθμιση θα μπορούσε να αποκλείσει όλους τους διαχειριστές από τον tenant. Αυτό δημιουργεί μια μη αναστρέψιμη απώλεια πρόσβασης, που ενδεχομένως οδηγεί σε παρατεταμένο χρόνο διακοπής λειτουργίας και σε περιστατικά ασφαλείας που δεν μπορούν να διαχειριστούν. Οι διαχειριστές IT πρέπει να διασφαλίσουν μια αξιόπιστη εναλλακτική λύση για πρόσβαση έκτακτης ανάγκης, ώστε να διατηρήσουν τη λειτουργική συνέχεια και να αποφύγουν δαπανηρές προσπάθειες αποκατάστασης.

Τι Ελέγχει το Aether365

Αυτός ο έλεγχος επαληθεύει ότι τουλάχιστον ένας λογαριασμός έκτακτης ανάγκης ή break glass, ή μια αποκλειστική ομάδα, εξαιρείται από κάθε πολιτική Conditional Access στον tenant σας. Εμφανίζεται στον πίνακα ελέγχου του Aether365, στην ενότητα microsoft-365 checks, ως στοιχείο μεσαίας σοβαρότητας.

Πώς να το Διορθώσετε

1. Συνδεθείτε στο Microsoft Entra admin center και μεταβείτε στο Identity > Security > Conditional Access.
2. Ελέγξτε κάθε πολιτική Conditional Access για εξαιρέσεις. Εάν καμία πολιτική δεν εξαιρεί προς το παρόν έναν λογαριασμό break glass, δημιουργήστε έναν νέο λογαριασμό χρήστη ειδικά για πρόσβαση έκτακτης ανάγκης (π.χ., break-glass@yourdomain.com) και εκχωρήστε του τον ρόλο Global Administrator.
3. Για κάθε πολιτική, ανοίξτε την πολιτική, μεταβείτε στην ενότητα Assignments, επιλέξτε Users or workload identities και στην ενότητα Exclude, προσθέστε τον λογαριασμό έκτακτης ανάγκης ή μια αποκλειστική ομάδα που τον περιέχει.
4. Εάν χρησιμοποιείτε ομάδα, δημιουργήστε μια ομάδα ασφαλείας στο Microsoft Entra ID με όνομα "Break Glass Admins" και προσθέστε τον λογαριασμό έκτακτης ανάγκης. Στη συνέχεια, εξαιρέστε αυτήν την ομάδα από όλες τις πολιτικές Conditional Access.
5. Επαναλάβετε το βήμα 3 για κάθε πολιτική Conditional Access στον tenant σας. Βεβαιωθείτε ότι η εξαίρεση εμφανίζεται στη λίστα Exclude πριν αποθηκεύσετε κάθε πολιτική.
6. Αφού ενημερώσετε όλες τις πολιτικές, δοκιμάστε την πρόσβαση με τον λογαριασμό έκτακτης ανάγκης για να επιβεβαιώσετε ότι μπορεί να παρακάμψει όλες τις πολιτικές και να αποκτήσει πρόσβαση στην πύλη με επιτυχία.

Συμμόρφωση

• Άλλο: Αυτός ο έλεγχος αντιμετωπίζει μια θεμελιώδη πρακτική ασφαλείας που συνιστάται από τη Microsoft και βιομηχανικά πρότυπα (π.χ., CIS, CISA) για τη διατήρηση πρόσβασης έκτακτης ανάγκης στο Microsoft 365. Αν και δεν συνδέεται με κάποιο συγκεκριμένο πλαίσιο συμμόρφωσης, υποστηρίζει ευρύτερες απαιτήσεις διακυβέρνησης για επιχειρησιακή συνέχεια και αντιμετώπιση περιστατικών.

Σχετικοί Πόροι

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access