All Conditional Access policies are configured to exclude at least one emergency account or group.

Kodėl tai svarbu

Jei nebus paskirta speciali "break glass" paskyra, neįtraukta į visas "Conditional Access" politikas, dėl netinkamos konfigūracijos gali būti užrakinti visi nuomotojo administratoriai. Tai sukeltų negrįžtamą prieigos praradimą, o tai gali lemti ilgą prastovą ir saugumo incidentus, kurių nebūtų galima valdyti. IT administratoriai turi užtikrinti patikimą atsarginę galimybę avariniams atvejams, kad išlaikytų veiklos tęstinumą ir išvengtų brangiai kainuojančių atkūrimo darbų.

Ką tikrina "Aether365"

Šis patikrinimas patvirtina, kad bent viena avarinė ar "break glass" paskyra arba tam skirta grupė yra neįtraukta į kiekvieną "Conditional Access" politiką jūsų nuomotojuje. "Aether365" prietaisų skydelyje jis rodomas kaip vidutinio sunkumo elementas skiltyje "microsoft-365" patikrinimai.

Kaip ištaisyti

1. Prisijunkite prie "Microsoft Entra admin center" ir eikite į "Identity" > "Security" > "Conditional Access".
2. Peržiūrėkite kiekvieną "Conditional Access" politiką dėl išimčių. Jei jokia politika šiuo metu neapima "break glass" paskyros, sukurkite naują vartotojo paskyrą, skirtą avariniams atvejams (pvz., break-glass@yourdomain.com), ir priskirkite jai "Global Administrator" vaidmenį.
3. Kiekvienai politikai atidarykite politiką, eikite į skyrių "Assignments", pasirinkite "Users or workload identities", o tada skiltyje "Exclude" pridėkite avarinę paskyrą arba tam skirtą grupę, kurioje ji yra.
4. Jei naudojate grupę, sukurkite saugumo grupę "Microsoft Entra ID" pavadinimu "Break Glass Admins" ir įtraukite į ją avarinę paskyrą. Tada neįtraukite šios grupės iš visų "Conditional Access" politikų.
5. Pakartokite 3 veiksmą kiekvienai "Conditional Access" politikai jūsų nuomotojuje. Prieš išsaugodami kiekvieną politiką, patikrinkite, ar išimtis rodoma sąraše "Exclude".
6. Atnaujinę visas politikas, išbandykite prieigą su avarine paskyra, kad patvirtintumėte, jog ji gali apeiti visas politikas ir sėkmingai prisijungti prie portalo.

Atitiktis

• Kita: Šis patikrinimas skirtas pagrindinei saugumo praktikai, kurią rekomenduoja "Microsoft" ir pramonės standartai (pvz., CIS, CISA), siekiant išlaikyti avarinę prieigą "Microsoft 365" sistemoje. Nors nėra susietas su konkrečia atitikties sistema, jis palaiko platesnius valdymo reikalavimus, susijusius su veiklos tęstinumu ir incidentų valdymu.

Susiję ištekliai

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access