All Conditional Access policies are configured to exclude at least one emergency account or group.

Dlaczego to jest ważne

Brak dedykowanego konta awaryjnego (break glass account) wyłączonego ze wszystkich zasad dostępu warunkowego (Conditional Access) może doprowadzić do zablokowania dostępu wszystkim administratorom w przypadku błędnej konfiguracji. Może to spowodować nieodwracalną utratę dostępu, co potencjalnie prowadzi do wydłużonych przestojów i incydentów bezpieczeństwa, którymi nie można zarządzać. Administratorzy IT muszą zapewnić niezawodne rozwiązanie awaryjne, aby utrzymać ciągłość działania i uniknąć kosztownych działań naprawczych.

Co sprawdza Aether365

To sprawdzenie weryfikuje, czy co najmniej jedno konto awaryjne (break glass account) lub dedykowana grupa są wyłączone ze wszystkich zasad dostępu warunkowego w Twojej dzierżawie. Pojawia się ono w panelu Aether365 w sekcji microsoft-365 checks jako element o średnim priorytecie.

Jak naprawić

1. Zaloguj się do Microsoft Entra admin center i przejdź do Identity > Security > Conditional Access.
2. Przejrzyj każdą zasadę dostępu warunkowego pod kątem wyłączeń. Jeśli żadna zasada nie wyłącza obecnie konta awaryjnego, utwórz nowe konto użytkownika przeznaczone specjalnie do dostępu awaryjnego (np. break-glass@twojadomena.com) i przypisz mu rolę administratora globalnego (Global Administrator).
3. Dla każdej zasady otwórz ją, przejdź do sekcji Assignments, wybierz Users or workload identities, a następnie w obszarze Exclude dodaj konto awaryjne lub dedykowaną grupę zawierającą to konto.
4. Jeśli używasz grupy, utwórz grupę zabezpieczeń w Microsoft Entra ID o nazwie "Break Glass Admins" i dodaj do niej konto awaryjne. Następnie wyłącz tę grupę ze wszystkich zasad dostępu warunkowego.
5. Powtórz krok 3 dla każdej zasady dostępu warunkowego w Twojej dzierżawie. Przed zapisaniem każdej zasady sprawdź, czy wyłączenie pojawia się na liście Exclude.
6. Po zaktualizowaniu wszystkich zasad przetestuj dostęp przy użyciu konta awaryjnego, aby potwierdzić, że może ono ominąć wszystkie zasady i pomyślnie uzyskać dostęp do portalu.

Zgodność z przepisami

• Inne: To sprawdzenie dotyczy podstawowej praktyki bezpieczeństwa zalecanej przez firmę Microsoft i standardy branżowe (np. CIS, CISA) w celu utrzymania dostępu awaryjnego w Microsoft 365. Chociaż nie jest powiązane z konkretnymi ramami zgodności, wspiera szersze wymagania dotyczące ciągłości działania i reagowania na incydenty.

Powiązane zasoby

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access