All Conditional Access policies are configured to exclude at least one emergency account or group.

Kāpēc tas ir svarīgi

Bez noteikta break glass konta, kas ir izslēgts no visām Conditional Access politikām, nepareiza konfigurācija var bloķēt visus administratorus no nomnieka. Tas rada neatgriezenisku piekļuves zaudēšanu, potenciāli izraisot ilgstošas dīkstāves un drošības incidentus, kurus nevar pārvaldīt. IT administratoriem jānodrošina uzticams rezerves variants ārkārtas piekļuvei, lai saglabātu darbības nepārtrauktību un izvairītos no dārgiem atkopšanas centieniem.

Ko pārbauda Aether365

Šī pārbaude apstiprina, ka vismaz viens ārkārtas vai break glass konts vai tam paredzēta grupa ir izslēgta no katras Conditional Access politikas jūsu nomniekā. Tā tiek rādīta Aether365 informācijas panelī sadaļā microsoft-365 pārbaudes kā vidējas nozīmīguma vienība.

Kā novērst

1. Piesakieties Microsoft Entra admin center un dodieties uz Identity > Security > Conditional Access.
2. Pārskatiet katru Conditional Access politiku izslēgšanai. Ja neviena politika pašlaik neizslēdz break glass kontu, izveidojiet jaunu lietotāja kontu tieši ārkārtas piekļuvei (piemēram, break-glass@yourdomain.com) un piešķiriet tam Global Administrator lomu.
3. Katrai politikai atveriet to, dodieties uz sadaļu Assignments, atlasiet Users or workload identities un sadaļā Exclude pievienojiet ārkārtas kontu vai tam paredzētu grupu, kas to satur.
4. Ja izmantojat grupu, izveidojiet drošības grupu Microsoft Entra ID ar nosaukumu "Break Glass Admins" un pievienojiet tai ārkārtas kontu. Pēc tam izslēdziet šo grupu no visām Conditional Access politikām.
5. Atkārtojiet 3. darbību katrai Conditional Access politikai jūsu nomniekā. Pirms katras politikas saglabāšanas pārliecinieties, ka izslēgšana ir redzama sarakstā Exclude.
6. Pēc visu politiku atjaunināšanas pārbaudiet piekļuvi ar ārkārtas kontu, lai apstiprinātu, ka tas var apiet visas politikas un veiksmīgi piekļūt portālam.

Atbilstība

• Citi: Šī pārbaude attiecas uz pamata drošības praksi, ko iesaka Microsoft un nozares standarti (piemēram, CIS, CISA) ārkārtas piekļuves uzturēšanai Microsoft 365. Lai gan nav saistīts ar konkrētu atbilstības sistēmu, tas atbalsta plašākas pārvaldības prasības attiecībā uz darbības nepārtrauktību un incidentu reaģēšanu.

Saistītie resursi

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access