All Conditional Access policies are configured to exclude at least one emergency account or group.

Prečo je to dôležité

Bez vyhradeného núdzového konta (break glass account) vylúčeného zo všetkých politík Conditional Access by mohla chybná konfigurácia znemožniť prístup všetkým správcom do tenanta. To by viedlo k nenávratnej strate prístupu, čo by mohlo spôsobiť predĺžené výpadky a bezpečnostné incidenty, ktoré nie je možné riadiť. IT správcovia musia zabezpečiť spoľahlivú možnosť núdzového prístupu na udržanie prevádzkovej kontinuity a vyhnutie sa nákladným obnovovacím procesom.

Čo kontroluje Aether365

Táto kontrola overuje, či je aspoň jeden núdzový účet, break glass účet alebo vyhradená skupina vylúčená z každej politiky Conditional Access vo vašom tenante. V dashboarde Aether365 sa zobrazuje v rámci kontrol pre Microsoft 365 ako položka so strednou závažnosťou.

Ako to opraviť

1. Prihláste sa do Microsoft Entra admin center a prejdite na Identity > Security > Conditional Access.
2. Skontrolujte každú politiku Conditional Access, či obsahuje vylúčenia. Ak žiadna politika aktuálne nevylučuje break glass účet, vytvorte nové používateľské konto určené výhradne na núdzový prístup (napr. break-glass@vasa-domena.com) a priraďte mu rolu Global Administrator.
3. Pre každú politiku otvorte jej nastavenia, prejdite do časti Assignments, vyberte Users or workload identities a v časti Exclude pridajte núdzový účet alebo vyhradenú skupinu, ktorá ho obsahuje.
4. Ak používate skupinu, vytvorte v Microsoft Entra ID bezpečnostnú skupinu s názvom „Break Glass Admins“ a pridajte do nej núdzový účet. Potom túto skupinu vylúčte zo všetkých politík Conditional Access.
5. Zopakujte krok 3 pre každú politiku Conditional Access vo vašom tenante. Pred uložením každej politiky overte, že sa vylúčenie zobrazuje v zozname Exclude.
6. Po aktualizácii všetkých politík otestujte prístup pomocou núdzového konta, aby ste potvrdili, že dokáže obísť všetky politiky a úspešne sa prihlásiť do portálu.

Súlad s predpismi

• Iné: Táto kontrola sa týka základnej bezpečnostnej praxe odporúčanej spoločnosťou Microsoft a priemyselnými štandardmi (napr. CIS, CISA) na udržanie núdzového prístupu v Microsoft 365. Hoci nie je priradená ku konkrétnemu regulačnému rámcu, podporuje širšie požiadavky na správu a riadenie kontinuity prevádzky a reakcie na incidenty.

Súvisiace zdroje

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access