All Conditional Access policies are configured to exclude at least one emergency account or group.

De ce este important

Fără un cont de urgență desemnat, exclus din toate politicile de Conditional Access, o configurație greșită poate bloca accesul tuturor administratorilor la tenant. Aceasta creează o pierdere ireversibilă a accesului, putând duce la perioade prelungite de nefuncționare și incidente de securitate care nu pot fi gestionate. Administratorii IT trebuie să se asigure că există o opțiune de rezervă fiabilă pentru accesul de urgență, pentru a menține continuitatea operațională și a evita eforturile costisitoare de recuperare.

Ce verifică Aether365

Această verificare confirmă că cel puțin un cont de urgență sau de rezervă, sau un grup dedicat, este exclus din fiecare politică de Conditional Access din tenantul dumneavoastră. Apare în tabloul de bord Aether365, în secțiunea verificărilor microsoft-365, ca element de severitate medie.

Cum se remediază

1. Conectați-vă la Microsoft Entra admin center și navigați la Identity > Security > Conditional Access.
2. Examinați fiecare politică de Conditional Access pentru excluderi. Dacă nicio politică nu exclude un cont de urgență, creați un cont de utilizator nou special pentru accesul de urgență (de exemplu, break-glass@yourdomain.com) și atribuiți-i rolul de Global Administrator.
3. Pentru fiecare politică, deschideți politica, mergeți la secțiunea Assignments, selectați Users or workload identities, iar sub Exclude, adăugați contul de urgență sau un grup dedicat care îl conține.
4. Dacă utilizați un grup, creați un grup de securitate în Microsoft Entra ID numit "Break Glass Admins" și adăugați contul de urgență. Apoi excludeți acest grup din toate politicile de Conditional Access.
5. Repetați pasul 3 pentru fiecare politică de Conditional Access din tenantul dumneavoastră. Verificați ca excluderea să apară în lista Exclude înainte de a salva fiecare politică.
6. După actualizarea tuturor politicilor, testați accesul cu contul de urgență pentru a confirma că acesta poate ocoli toate politicile și poate accesa portalul cu succes.

Conformitate

• Altele: Această verificare abordează o practică fundamentală de securitate recomandată de Microsoft și de standardele din industrie (de exemplu, CIS, CISA) pentru menținerea accesului de urgență în Microsoft 365. Deși nu este legată de un cadru de conformitate specific, aceasta sprijină cerințele mai largi de guvernanță pentru continuitatea afacerii și răspunsul la incidente.

Resurse conexe

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access