All Conditional Access policies are configured to exclude at least one emergency account or group.

Чому це важливо

Без спеціального облікового запису для аварійного доступу (break glass account), виключеного з усіх політик умовного доступу (Conditional Access), неправильна конфігурація може заблокувати всіх адміністраторів від орендаря. Це призводить до незворотної втрати доступу, що може спричинити тривалі простої та інциденти безпеки, які неможливо контролювати. ІТ-адміністратори повинні забезпечити надійний резервний варіант для аварійного доступу, щоб підтримувати безперервність роботи та уникнути дорогих заходів відновлення.

Що перевіряє Aether365

Ця перевірка підтверджує, що принаймні один обліковий запис для аварійного доступу (break glass account) або спеціальна група виключені з кожної політики умовного доступу (Conditional Access) у вашому орендарі. Вона відображається на панелі керування Aether365 у розділі перевірок microsoft-365 як елемент середньої критичності.

Як виправити

1. Увійдіть до Microsoft Entra admin center та перейдіть до Identity > Security > Conditional Access.
2. Перегляньте кожну політику умовного доступу на предмет винятків. Якщо жодна політика не виключає обліковий запис для аварійного доступу, створіть новий обліковий запис спеціально для аварійного доступу (наприклад, break-glass@yourdomain.com) і призначте йому роль Global Administrator.
3. Для кожної політики відкрийте її, перейдіть до розділу Assignments, виберіть Users або workload identities, а в полі Exclude додайте обліковий запис для аварійного доступу або спеціальну групу, яка його містить.
4. Якщо використовуєте групу, створіть групу безпеки в Microsoft Entra ID з назвою "Break Glass Admins" і додайте обліковий запис для аварійного доступу. Потім виключіть цю групу з усіх політик умовного доступу (Conditional Access).
5. Повторіть крок 3 для кожної політики умовного доступу у вашому орендарі. Перед збереженням кожної політики переконайтеся, що виняток відображається в списку Exclude.
6. Після оновлення всіх політик перевірте доступ за допомогою облікового запису для аварійного доступу, щоб підтвердити, що він може обходити всі політики та успішно отримувати доступ до порталу.

Відповідність

• Інше: Ця перевірка стосується фундаментальної практики безпеки, рекомендованої Microsoft та галузевими стандартами (наприклад, CIS, CISA) для підтримки аварійного доступу в Microsoft 365. Хоча немає посилань на конкретну структуру відповідності, вона підтримує ширші вимоги управління для бізнес-безперервності та реагування на інциденти.

Пов'язані ресурси

• Управління обліковими записами аварійного доступу в Microsoft Entra ID
• Умовний доступ (Conditional Access): виключення конкретних користувачів або груп із політики

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access