At least one Conditional Access policy is configured to require MFA for users with administrator roles

Dlaczego to jest ważne

Role administratorów mają podwyższone uprawnienia, które w przypadku naruszenia mogą prowadzić do naruszeń całej dzierżawy i utraty danych. Bez zasad dostępu warunkowego (Conditional Access) wymagających uwierzytelniania wieloskładnikowego (MFA) dla tych ról, organizacja jest narażona na ataki kradzieży poświadczeń, takie jak phishing i ataki typu password spray, wymierzone w konta o wysokich uprawnieniach.

Co sprawdza Aether365

Ta kontrola weryfikuje, czy w dzierżawie skonfigurowano co najmniej jedną zasadę dostępu warunkowego (Conditional Access) wymagającą uwierzytelniania wieloskładnikowego dla użytkowników z rolami administratora. Ocenę tę można wyświetlić w panelu Aether365 w sekcji kontroli Microsoft 365.

Jak naprawić

1. Zaloguj się do centrum administracyjnego Microsoft Entra (Microsoft Entra admin center) jako Administrator dostępu warunkowego (Conditional Access administrator) lub Administrator globalny (Global Administrator).
2. Przejdź do opcji Ochrona > Dostęp warunkowy > Zasady (Protection > Conditional Access > Policies).
3. Kliknij przycisk Nowa zasada (New policy) i nadaj jej znaczącą nazwę, na przykład „Wymagaj uwierzytelniania wieloskładnikowego dla ról administratora” („Require MFA for Admin Roles”).
4. W sekcji Przypisania (Assignments) wybierz pozycję Użytkownicy lub tożsamości obciążeń (Users or workload identities), a następnie opcję Wybierz użytkowników i grupy (Select users and groups). Zaznacz opcję Role administratorów (Administrator roles) i wybierz wszystkie odpowiednie wbudowane role administratora (na przykład Administrator globalny, Administrator SharePoint, Administrator Exchange).
5. W obszarze Aplikacje lub akcje w chmurze (Cloud apps or actions) wybierz pozycję Wszystkie aplikacje w chmurze (All cloud apps).
6. W sekcji Warunki (Conditions) pozostaw ustawienia domyślne lub dostosuj je według potrzeb, na przykład wykluczając zaufane lokalizacje.
7. W sekcji Udzielanie (Grant) wybierz opcję Blokada dostępu (Grant access), a następnie zaznacz pole wyboru Wymagaj uwierzytelniania wieloskładnikowego (Require multifactor authentication). Upewnij się, że nie zaznaczono opcji Wymagaj zmiany hasła (Require password change).
8. Ustaw opcję Stan zasady (Enable policy) na Tryb tylko raportowania (Report-only), aby najpierw przetestować wpływ, a po weryfikacji włącz ją, ustawiając na Wł. (On).
9. Kliknij przycisk Utwórz (Create), aby zapisać zasadę.

Zgodność

Ta kontrola jest zgodna z następującymi ramami:

• Inne

Powiązane zasoby

• Tworzenie zasad dostępu warunkowego wymagających uwierzytelniania wieloskładnikowego dla ról administratora
• Dokumentacja dostępu warunkowego

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Howto conditional access policy admin mfa