Acceso condicional: filtro para dispositivos

Cuando los administradores crean directivas de acceso condicional, tienen la capacidad de dirigirse a dispositivos específicos en su entorno o de excluirlos. El filtro de condición para dispositivos proporciona a los administradores la capacidad de dirigirse a dispositivos específicos. Los administradores pueden usar operadores admitidos y propiedades para filtros del dispositivo junto con las otras condiciones de asignación disponibles en las directivas de acceso condicional.

Escenarios frecuentes

Hay varios escenarios que las organizaciones ahora pueden habilitar mediante la condición de filtro para dispositivos. En los escenarios siguientes se proporcionan ejemplos de cómo usar esta nueva condición.

• Restricción del acceso a los recursos con privilegios. En este ejemplo, supongamos que quieres permitir el acceso a Windows Azure Service Management API desde un usuario que:
  • Se le asigna un rol con privilegios.
  • Ha completado la autenticación multifactor.
  • Está en un dispositivo con estaciones de trabajo de administración seguras y con privilegios y atestiguadas como compatibles.
  • En este escenario, las organizaciones crearían dos directivas de acceso condicional:
    • Directiva 1: todos los usuarios con un rol de administrador con acceso a la aplicación en la nube de Windows Azure Service Management API y, en Controles de acceso, Conceder acceso, pero que requieren autenticación multifactor y que el dispositivo esté marcado como compatible.
    • Directiva 2: todos los usuarios con un administrador y acceso a la aplicación en la nube Windows Azure Service Management API, excepto los filtros para dispositivos que usan la expresión de regla device.extensionAttribute1 que equivale a SAW y, en Controles de acceso, Bloquear. Obtenga información sobre cómo actualizar extensionAttributes en un objeto de dispositivo Microsoft Entra.
• Bloquee el acceso a los recursos de la organización desde dispositivos que ejecuten una versión de sistema operativo no compatible. En este ejemplo, imagine que quiere bloquear el acceso a los recursos desde una versión del sistema operativo Windows anterior a Windows 10. En este escenario, las organizaciones tendrían que crear las directivas de acceso condicional siguientes:
  • Todos los usuarios, que acceden a todos los recursos, excluyendo un filtro para los dispositivos que usan la expresión de regla device.operatingSystem es igual a Windows y device.operatingSystemVersion iniciaWith "10.0" y para los controles de acceso, Bloquear.
• No sexigir la autenticación multifactor para cuentas específicas en dispositivos específicos. En este ejemplo, supogamos que no quieres exigir la autenticación multifactor al usar cuentas de servicio en dispositivos específicos, como teléfonos de Teams o dispositivos Surface Hub. En este escenario, las organizaciones crearían las dos directivas de acceso condicional siguientes:
  • Directiva 1: todos los usuarios que excluyen las cuentas de servicio, el acceso a todos los recursos y los controles de acceso, Conceder acceso, pero requieren autenticación multifactor.
  • Directiva 2: seleccione usuarios y grupos e incluya solo grupos que contengan cuentas de servicio, accediendo a todos los recursos, excluyendo un filtro para dispositivos que usan la expresión de regla device.extensionAttribute2 no es igual a TeamsPhoneDevice y para los controles de Access, Bloquear.

Creación de una directiva de acceso condicional

El filtro para dispositivos es un control opcional a la hora de crear una directiva de acceso condicional.

Los pasos siguientes te ayudarán a crear dos directivas de acceso condicional para admitir el primer escenario de Escenarios comunes.

Directiva 1: todos los usuarios con un rol de administrador con acceso a la aplicación en la nube de Windows Azure Service Management API y, en Controles de acceso, Conceder acceso, pero que requieren autenticación multifactor y que el dispositivo esté marcado como compatible.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.
2. Vaya a Protección>Acceso condicional>Directivas.
3. Seleccione Nueva directiva.
4. Asigna un nombre a la directiva. Se recomienda que las organizaciones creen un estándar significativo para los nombres de sus directivas.
5. En Assignments (Asignaciones), seleccione Users or workload identities (Identidades de usuario o de carga de trabajo).

   1. En Incluir, seleccione Roles de directorio y, a continuación, todos los roles con el administrador en el nombre.

      Advertencia

      Las directivas de acceso condicional admiten los roles integrados. Las directivas de acceso condicional no se aplican a otros tipos de roles, incluidos los roles con ámbito de unidad administrativa o personalizados.

   2. En Excluir, selecciona Usuarios y grupos y, luego, elige las cuentas de acceso de emergencia de la organización.

   3. Seleccione Listo.

6. En Recursos de destino>(anteriormente aplicaciones en la nube)> Incluya>Seleccionar recursos, elija API de administración de servicios de Windows Azure y seleccione Seleccionar.
7. En Controles de acceso>Conceder, selecciona Conceder acceso, Requerir autenticación multifactor y Requerir que el dispositivo se marque como compatible y, a continuación, elige Seleccionar.
8. Confirma la configuración y establece Habilitar directiva en Activado.
9. Selecciona Crear para crear la directiva.

Directiva 2: todos los usuarios con el rol Administrador y acceso a la aplicación en la nube Windows Azure Service Management API, excepto un filtro para dispositivos que usan la expresión de regla device.extensionAttribute1 que equivale a SAW y, para controles de acceso, Bloquear.

1. Selecciona Nueva directiva.
2. Asigna un nombre a la directiva. Se recomienda que las organizaciones creen un estándar significativo para los nombres de sus directivas.
3. En Assignments, selecciona Users or workload identities.

   1. En Incluir, selecciona Roles de directorio y, a continuación, todos los roles con el administrador en el nombre

      Advertencia

      Las directivas de acceso condicional admiten los roles integrados. Las directivas de acceso condicional no se aplican a otros tipos de roles, incluidos los roles con ámbito de unidad administrativa o personalizados.

   2. En Excluir, selecciona Usuarios y grupos y, luego, elige las cuentas de acceso de emergencia de la organización.

   3. Seleccione Listo.

4. En Recursos de destino>(anteriormente aplicaciones en la nube)> Incluya>Seleccionar recursos, elija API de administración de servicios de Windows Azure y seleccione Seleccionar.
5. En Condiciones, Filtro para dispositivos.
   1. Establece Configurar en Sí.
   2. Establece Devices matching the rule en Exclude filtered devices from policy.
   3. Establece la propiedad en ExtensionAttribute1, el operador en Equals y el valor en SAW.
   4. Selecciona Listo.
6. En Controles de acceso>Conceder, selecciona Bloquear acceso y, después, Seleccionar.
7. Confirma la configuración y establece Habilitar directiva en Activado.
8. Selecciona Crear para crear la directiva.

Definición de valores de atributo

La configuración de atributos de extensión es posible mediante la API de Microsoft Graph. Para obtener más información sobre cómo definir atributos del dispositivo, consulta el artículo Actualizar dispositivo.

Graph API del filtro para dispositivos

La API de filtros para dispositivos está disponible en el punto de conexión de Microsoft Graph v1.0 y es accesible mediante el punto de conexión https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Puedes configurar un filtro para dispositivos al crear una nueva directiva de acceso condicional, o puedes actualizar una directiva existente para configurar la condición del filtro para dispositivos. Para actualizar una directiva existente, puedes realizar una llamada de revisión en el punto de conexión de Microsoft Graph v1.0. Para ello, anexa el identificador de directiva de una directiva existente y ejecuta el siguiente cuerpo de solicitud. En el ejemplo siguiente se muestra cómo configurar una condición de filtro para dispositivos, excepto dispositivos que no estén marcados como SAW. La sintaxis de la regla puede constar de más de una expresión única. Para obtener más información, consulta Reglas de grupos de pertenencia dinámica de Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Operadores admitidos y propiedades de dispositivo para filtros

Los siguientes atributos de dispositivo se pueden usar con la condición de filtro para dispositivos en el acceso condicional.

Comportamiento de la directiva con el filtro para dispositivos

La condición de filtro para dispositivos del acceso condicional evalúa la directiva en función de los atributos de dispositivo de un dispositivo registrado en Microsoft Entra ID y, por tanto, es importante comprender en qué circunstancias se aplica o no la directiva. En la tabla siguiente se muestra el comportamiento cuando se configura la condición de filtro para dispositivos.

Contenido relacionado

• Vuelta al colegio: Uso correcto del álgebra booleana en filtros complejos
• Actualización del dispositivo con Graph API
• Acceso condicional: Condiciones
• Directivas de acceso condicional habituales