All Conditional Access policies are configured to exclude at least one emergency account or group.

Perché è Importante

Senza un account break glass designato escluso da tutte le policy di Conditional Access, una configurazione errata potrebbe bloccare tutti gli amministratori dall'accesso al tenant. Ciò causa una perdita irreversibile di accesso, con potenziali tempi di inattività prolungati e incidenti di sicurezza non gestibili. Gli amministratori IT devono garantire un fallback affidabile per l'accesso di emergenza al fine di mantenere la continuità operativa ed evitare costosi interventi di ripristino.

Cosa Controlla Aether365

Questo controllo verifica che almeno un account di emergenza o break glass, o un gruppo dedicato, sia escluso da ogni policy di Conditional Access nel tenant. Viene visualizzato nel dashboard di Aether365 sotto i controlli microsoft-365 come elemento di gravità media.

Come Risolvere

1. Accedi al Microsoft Entra admin center e vai a Identity > Security > Conditional Access.
2. Esamina ogni policy di Conditional Access per le esclusioni. Se nessuna policy esclude attualmente un account break glass, crea un nuovo account utente specificamente per l'accesso di emergenza (ad esempio, break-glass@yourdomain.com) e assegnagli il ruolo Global Administrator.
3. Per ogni policy, aprilà, vai alla sezione Assignments, seleziona Users o workload identities, e sotto Exclude, aggiungi l'account di emergenza o un gruppo dedicato che lo contiene.
4. Se utilizzi un gruppo, crea un gruppo di sicurezza in Microsoft Entra ID chiamato "Break Glass Admins" e aggiungi l'account di emergenza. Quindi escludi questo gruppo da tutte le policy di Conditional Access.
5. Ripeti il passo 3 per ogni policy di Conditional Access nel tenant. Verifica che l'esclusione appaia nell'elenco Exclude prima di salvare ogni policy.
6. Dopo aver aggiornato tutte le policy, testa l'accesso con l'account di emergenza per confermare che possa bypassare tutte le policy e accedere con successo al portale.

Conformità

• Altro: Questo controllo riguarda una pratica di sicurezza fondamentale raccomandata da Microsoft e dagli standard di settore (ad esempio, CIS, CISA) per mantenere l'accesso di emergenza in Microsoft 365. Sebbene non sia collegato a uno specifico framework di conformità, supporta requisiti generali di governance per la continuità aziendale e la risposta agli incidenti.

Risorse Correlate

• Gestire gli account di accesso di emergenza in Microsoft Entra ID
• Conditional Access: Escludere utenti o gruppi specifici in una policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access