Bedingter Zugriff: Bedingungen

Ein Administrator kann in einer Richtlinie für bedingten Zugriff ein oder mehrere Signale verwenden, um Entscheidungen auf Grundlage der Richtlinie zu verbessern.

Es können mehrere Bedingungen kombiniert werden, um differenzierte und spezifische Richtlinien für bedingten Zugriff zu erstellen.

Wenn Benutzer auf eine vertrauliche Anwendung zugreifen, kann ein Administrator mehrere Bedingungen in ihre Zugriffsentscheidungen einbeziehen, z. B.:

• Informationen zum Anmelderisiko aus ID Protection
• Netzwerkadresse
• Geräteinformationen

Benutzerrisiko

Administratoren und Administratorinnen mit Zugriff auf ID Protection können das Benutzerrisiko im Rahmen einer Richtlinie für bedingten Zugriff auswerten. Ein Benutzerrisiko stellt die Wahrscheinlichkeit dar, dass eine bestimmte Identität oder ein bestimmtes Konto kompromittiert wurde. Weitere Informationen zu Benutzerrisiken finden Sie in den Artikeln Was bedeutet Risiko? und Anleitung: Konfigurieren und Aktivieren von Risikorichtlinien.

Anmelderisiko

Administratoren und Administratorinnen mit Zugriff auf ID Protection können das Anmelderisiko im Rahmen einer Richtlinie für bedingten Zugriff auswerten. Ein Anmelderisiko ist die Möglichkeit, dass eine bestimmte Authentifizierungsanforderung nicht vom Identitätsbesitzer autorisiert wurde. Weitere Informationen zu Anmelderisiken finden Sie in den Artikeln Was bedeutet Risiko? und Anleitung: Konfigurieren und Aktivieren von Risikorichtlinien.

Insiderrisiko

Administratoren und Administratorinnen mit Zugriff auf den adaptiven Schutz von Microsoft Purview können Risikosignale von Microsoft Purview in Entscheidungen für Richtlinien für bedingten Zugriff einbeziehen. Beim Insider-Risiko werden Ihre Datengovernance, die Datensicherheit und Ihre Risiko- und Compliancekonfigurationen von Microsoft Purview berücksichtigt. Diese Signale basieren auf kontextbezogenen Faktoren wie:

• Benutzerverhalten
• Frühere Muster
• Anomalieerkennungen

Diese Bedingung ermöglicht Administratoren und Administratorinnen die Verwendung von Richtlinien für bedingten Zugriff, um Aktionen wie das Blockieren des Zugriffs auszuführen oder stärkere Authentifizierungsmethoden bzw. das Akzeptieren von Nutzungsbedingungen zu erzwingen.

Diese Funktionalität umfasst das Einbinden von Parametern, die speziell für potenzielle Risiken innerhalb einer Organisation gelten. Durch die Konfiguration der Einbeziehung des Insider-Risikos in Entscheidungen zum bedingten Zugriff können Administratoren und Administratorinnen Zugriffsberechtigungen basierend auf kontextbezogenen Faktoren wie Benutzerverhalten, früheren Mustern und Anomalieerkennungen anpassen.

Weitere Informationen finden Sie im Artikel Konfigurieren und Aktivieren einer auf dem Insider-Risiko basierenden Richtlinie.

Geräteplattformen

Der bedingte Zugriff identifiziert die Geräteplattform mithilfe der vom Gerät bereitgestellten Informationen, wie z. B. Benutzer-Agent-Zeichenfolgen. Da Benutzer-Agent-Zeichenfolgen geändert werden können, werden diese Informationen nicht überprüft. Die Geräteplattform sollte zusammen mit Microsoft Intune-Richtlinien zur Gerätekonformität oder als Teil einer Blockierungsanweisung verwendet werden. Standardmäßig werden Richtlinien auf alle Geräteplattformen angewendet.

Für den bedingten Zugriff werden folgende Geräteplattformen unterstützt:

• Android
• iOS
• Windows
• macOS
• Linux

Wenn Sie die ältere Authentifizierung mit der Bedingung „Andere Clients“ blockieren, können Sie auch die Geräteplattform als Bedingung festlegen.

Die Auswahl von macOS- oder Linux-Geräteplattformen wird nicht unterstützt, wenn Sie genehmigte Client-App anfordern oder App-Schutzrichtlinie anfordern als die einzigen Zuweisungssteuerelemente auswählen oder wenn Sie Alle ausgewählten Steuerelemente anfordern auswählen.

Standorte

Die Standortbedingung wurde verschoben.

Client-Apps

Standardmäßig gelten alle neu erstellten Richtlinien für bedingten Zugriff für alle Client-App-Typen, auch wenn die Client-Apps-Bedingung nicht konfiguriert ist.

Wenn die Umschaltfläche Konfigurieren auf Ja festgelegt ist, gilt sie für markierte Elemente. Wenn sie auf Nein eingestellt ist, gilt sie für alle Client-Apps, einschließlich Clients mit moderner und Legacyauthentifizierung. Diese Umschaltfläche ist in Richtlinien, die vor August 2020 erstellt wurden, nicht enthalten.

• Clients mit moderner Authentifizierung
  • Browser
    • Hierzu gehören webbasierte Anwendungen, die Protokolle wie SAML, WS-Verbund, OpenID Connect oder Dienste verwenden, die als vertraulicher OAuth-Client registriert sind.
  • Mobile Apps und Desktop-Apps
    • Diese Option umfasst Anwendungen wie Office-Desktop- und Telefonanwendungen.
• Clients mit Legacyauthentifizierung
  • Exchange ActiveSync-Clients
    • Diese Auswahl umfasst die gesamte Verwendung des Exchange ActiveSync (EAS)-Protokolls.
    • Wenn die Verwendung von Exchange ActiveSync durch eine Richtlinie blockiert wird, erhält der betroffene Benutzer eine einzige Quarantäne-E-Mail. Diese E-Mail enthält Informationen zum Grund für die Blockierung und gegebenenfalls Korrekturanweisungen.
    • Administratoren können die Richtlinie über den bedingten Zugriff der Microsoft Graph-API nur auf unterstützte Plattformen (z. B. iOS, Android und Windows) anwenden.
  • Andere Clients
    • Diese Option umfasst Clients, die Standard-/Legacyauthentifizierungsprotokolle verwenden, von denen keine moderne Authentifizierung unterstützt wird.
      • SMTP – Wird von POP- und IMAP-Clients zum Senden von E-Mail-Nachrichten verwendet.
      • AutoErmittlung: wird von Outlook und EAS-Clients verwendet, um Postfächer in Exchange Online zu suchen und diese zu verbinden
      • Exchange Online PowerShell: wird zum Herstellen einer Verbindung mit Exchange Online über Remote-PowerShell verwendet Wenn Sie die Standardauthentifizierung für Exchange Online PowerShell blockieren, müssen Sie das Exchange Online PowerShell-Modul verwenden, um eine Verbindung herzustellen. Anweisungen finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell mithilfe der mehrstufigen Authentifizierung.
      • Exchange Web Services (EWS): eine Programmierschnittstelle, die von Outlook, Outlook für Mac und Drittanbieter-Apps verwendet wird.
      • IMAP4: wird von IMAP-E-Mail-Clients verwendet
      • MAPI über HTTP (MAPI/HTTP): wird von Outlook 2010 und höher verwendet
      • Offlineadressbuch (OAB): eine Kopie der Adressenlistensammlungen, die von Outlook heruntergeladen und verwendet werden
      • Outlook Anywhere (RPC über HTTP): wird von Outlook 2016 und früher verwendet
      • Outlook-Dienst: wird von der Mail- und Kalender-App für Windows 10 verwendet
      • POP3: wird von POP-E-Mail-Clients verwendet
      • Berichtswebdienste: Werden zum Abrufen von Berichtsdaten in Exchange Online verwendet.

Diese Bedingungen werden häufig für Folgendes verwendet:

• Erfordern eines verwalteten Geräts
• Blockieren älterer Authentifizierungsmethoden
• Blockieren von Webanwendungen, aber Zulassen von mobile oder Desktop-Apps

Unterstützte Browser

Diese Einstellung funktioniert mit allen Browsern. Die folgenden Betriebssysteme und Browser werden jedoch unterstützt, um eine Geräterichtlinie (beispielsweise eine Gerätekonformitätsanforderung) zu erfüllen. Betriebssysteme und Browser, die nicht mehr vom grundlegenden Support abgedeckt werden, sind in dieser Liste nicht enthalten:

Diese Browser unterstützen die Geräteauthentifizierung, sodass das Gerät identifiziert und anhand einer Richtlinie überprüft werden kann. Bei der Geräteüberprüfung tritt ein Fehler auf, wenn der Browser im privaten Modus ausgeführt wird oder Cookies deaktiviert sind.

Warum wird im Browser eine Aufforderung zur Clientzertifikatauswahl angezeigt?

Unter Windows 7 werden iOS-, Android- und macOS-Geräte mithilfe eines Clientzertifikats identifiziert. Dieses Zertifikat wird bereitgestellt, wenn das Gerät registriert wird. Wenn sich ein Benutzer zum ersten Mal über den Browser anmeldet, wird er zum Auswählen des Zertifikats aufgefordert. Der Benutzer muss dieses Zertifikat vor dem Verwenden des Browsers auswählen.

Chrome-Unterstützung

Windows

Damit Chrome in Windows 10 Creators Update (Version 1703) oder höher unterstützt wird, installieren Sie die Erweiterung für Microsoft Single Sign-On, oder aktivieren Sie CloudAPAuthEnabled in Chrome. Diese Konfigurationen sind erforderlich, wenn eine Richtlinie für bedingten Zugriff gerätespezifische Details speziell für Windows-Plattformen erfordert.

Um die CloudAPAuthEnabled-Richtlinie in Chrome automatisch zu aktivieren, erstellen Sie den folgenden Registrierungsschlüssel:

• Pfad: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome
• Name: CloudAPAuthEnabled
• Wert: 0x00000001
• PropertyType: DWORD

Um die Erweiterung für Microsoft Single Sign-On automatisch in Chrome-Browsern bereitzustellen, erstellen Sie den folgenden Registrierungsschlüssel mithilfe der ExtensionInstallForcelist-Richtlinie in Chrome:

• Pfad: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist
• Name: 1
• Typ: REG_SZ (String)
• Daten: ppnbnpeolgkicgegkbkbjmhlideopiji;https://clients2.google.com/service/update2/crx

Erstellen Sie den folgenden Registrierungsschlüssel, damit Chrome unter Windows 8.1 und 7 unterstützt wird:

• Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\AutoSelectCertificateForUrls
• Name: 1
• Typ: REG_SZ (String)
• Daten: {"pattern":"https://device.login.microsoftonline.com","filter":{"ISSUER":{"CN":"MS-Organization-Access"}}}

macOS

macOS-Geräte, die das Enterprise SSO-Plug-In verwenden, erfordern die Erweiterung für Microsoft Single Sign-On, um SSO und gerätebasierten bedingten Zugriff in Google Chrome zu unterstützen.

Informationen zu MDM-basierten Bereitstellungen von Google Chrome und der Verwaltung von Erweiterungen finden Sie unter Einrichten des Chrome Browsers unter Mac und ExtensionInstallForcelist.

Unterstützte mobile Anwendungen und Desktopclients

Administratoren können Mobile Apps und Desktopclients als Client-App auswählen.

Diese Einstellung wirken sich auf Zugriffsversuche von den folgenden mobilen Apps und Desktopclients aus:

Exchange ActiveSync-Clients

• Administratoren können Exchange ActiveSync-Clients nur auswählen, wenn sie Benutzern oder Gruppen Richtlinien zuweisen. Wenn Alle Benutzer, Alle Gast- und externen Benutzer oder Verzeichnisrollen ausgewählt wird, unterliegen alle Benutzer der Richtlinie.
• Wenn Administratoren eine Richtlinie erstellen, die Exchange ActiveSync-Clients zugewiesen ist, sollte Exchange Online der Richtlinie als einzige Cloudanwendung zugewiesen sein.
• Administratoren können den Umfang dieser Richtlinie auf bestimmte Plattformen beschränken, indem sie die Bedingung Geräteplattformen verwenden.

Wenn die der Richtlinie zugewiesene Zugriffssteuerung die Option Genehmigte Client-App erforderlich verwendet, wird der Benutzer angewiesen, den Outlook Mobile-Client zu installieren und zu verwenden. Wenn Multi-Faktor-Authentifizierung, Nutzungsbedingungen oder benutzerdefinierte Kontrollen erforderlich ist/sind, werden betroffene Benutzer*innen blockiert, weil die Standardauthentifizierung diese Kontrollmechanismen nicht unterstützt.

Weitere Informationen finden Sie in den folgenden Artikeln:

• Blockieren der Legacyauthentifizierung mit bedingtem Zugriff
• Vorschreiben der Verwendung von genehmigten Client-Apps für den Zugriff auf Cloud-Apps mithilfe des bedingten Zugriffs

Andere Clients

Wenn Sie Andere Clients auswählen, können Sie eine Bedingung für Apps mit Standardauthentifizierung über E-Mail-Protokolle wie IMAP, MAPI, POP oder SMTP sowie für ältere Office-Apps angeben, die keine moderne Authentifizierung verwenden.

Gerätestatus (veraltet)

Diese Bedingung war veraltet. Kunden sollten die Bedingung Nach Geräten filtern in der Richtlinie für bedingten Zugriff verwenden, um Szenarien zu ermöglichen, die zuvor mithilfe der Bedingung für den Gerätestatus umgesetzt wurden.

Filtern nach Geräten

Wenn Administratoren „Filter für Geräte“ als Bedingung konfigurieren, können sie Geräte anhand eines Filters und mithilfe eines Regelausdrucks für Geräteeigenschaften ein- oder ausschließen. Der Regelausdruck für „Filter für Geräte“ kann mithilfe des Regel-Generators oder der Regelsyntax erstellt werden. Diese Erfahrung ähnelt der, die für Regeln für dynamische Mitgliedergruppen für Gruppen verwendet wird. Weitere Informationen finden Sie im Artikel Bedingter Zugriff: Filter für Geräte.

Authentifizierungsflows (Vorschau)

Authentifizierungsflows steuern, wie Ihre Organisation bestimmte Authentifizierungs- und Autorisierungsprotokolle verwendet und gewährt. Diese Flows bieten möglicherweise eine nahtlose Benutzeroberfläche für Geräte, die möglicherweise keine lokalen Eingabegeräte wie gemeinsam genutzte Geräte oder digitale Beschilderung aufweisen. Verwenden Sie dieses Steuerelement, um Übertragungsmethoden wie Gerätecodeflow oder Authentifizierungsübertragung zu konfigurieren.

Nächste Schritte

• Bedingter Zugriff: Gewähren
• Allgemeine Richtlinien für bedingten Zugriff