Accesso condizionale: condizioni

All'interno di un criterio di accesso condizionale, un amministratore può usare uno o più segnali per migliorare le decisioni relative ai criteri.

È possibile combinare più condizioni per creare criteri di accesso condizionale con granularità fine e specifici.

Quando gli utenti accedono a un'applicazione sensibile, l'amministratore può valutare più condizioni nelle decisioni di accesso, ad esempio:

• Informazioni sul rischio di accesso da Protezione ID
• Percorso di rete
• Informazioni sul dispositivo

Rischio utente

Gli amministratori che hanno accesso a Protezione ID possono valutare il rischio utente come parte di un criterio di accesso condizionale. Il rischio utente rappresenta la probabilità di compromissione di un'identità o un account. Altre informazioni sul rischio utente sono disponibili negli articoli Che cos'è il rischio e Procedura: Configurare e abilitare i criteri di rischio.

Rischio di accesso

Gli amministratori che hanno accesso a ID Protection possono valutare il rischio di accesso come parte di un criterio di accesso condizionale. Il rischio di accesso rappresenta la probabilità che una determinata richiesta di autenticazione non sia autorizzata dal proprietario dell'identità. Altre informazioni sul rischio di accesso sono disponibili negli articoli Che cos'è il rischio e Procedura: Configurare e abilitare i criteri di rischio.

Rischio Insider

Gli amministratori con accesso alla protezione adattiva in Microsoft Purview possono incorporare i segnali di rischio da Microsoft Purview nelle decisioni relative ai criteri di accesso condizionale. Il rischio Insider tiene conto della governance dei dati, della sicurezza dei dati e delle configurazioni di rischio e conformità di Microsoft Purview. Questi segnali sono basati su fattori contestuali come:

• Comportamento utente
• Modelli cronologici
• Rilevamenti di anomalie

Questa condizione consente agli amministratori di usare i criteri di accesso condizionale per eseguire azioni come bloccare l'accesso, richiedere metodi di autenticazione più efficaci o richiedere l'accettazione delle Condizioni per l'utilizzo.

Questa funzionalità implica l'incorporazione di parametri che affrontano in modo specifico i potenziali rischi derivanti dall'interno di un'organizzazione. Configurando l'accesso condizionale tenendo in considerazione il rischio Insider, gli amministratori possono personalizzare le autorizzazioni di accesso in base a fattori contestuali, ad esempio il comportamento degli utenti, i modelli cronologici e il rilevamento anomalie.

Per altre informazioni, vedere l'articolo Configurare e abilitare un criterio basato sul rischio Insider.

Piattaforme

L'accesso condizionale identifica la piattaforma del dispositivo usando le informazioni fornite dal dispositivo stesso, ad esempio le stringhe dell'agente utente. Poiché è possibile modificare le stringhe dell'agente utente, queste informazioni non sono verificate. La piattaforma del dispositivo deve essere usata insieme ai criteri di conformità del dispositivo di Microsoft Intune o come parte di un'istruzione di blocco. L'impostazione predefinita è l'applicazione a tutte le piattaforme del dispositivo.

L'accesso condizionale supporta le piattaforme seguenti per i dispositivi:

• Android
• iOS
• Windows
• macOS
• Linux

Se si blocca l'autenticazione legacy con la condizione Altri client, è anche possibile impostare la condizione della piattaforma del dispositivo.

Non è supportata la selezione di piattaforme per dispositivi macOS o Linux quando si seleziona Richiedi app client approvata o Richiedi criteri di protezione delle app come unici controlli delle concessioni o quando si sceglie Richiedi tutti i controlli selezionati.

Posizioni

La condizione delle posizione è stata spostata.

App client

Per impostazione predefinita, tutti i criteri di accesso condizionale appena creati si applicano a tutti i tipi di app client, anche se la condizione per le app client non è configurata.

Quando l'interruttore Configura è impostato su Sì, si applica agli elementi selezionati. Quando è impostato su No, si applica a tutte le app client, inclusi i client di autenticazione moderni e legacy. Questo interruttore non viene visualizzato nei criteri creati prima di agosto 2020.

• Client con autenticazione moderna
  • Browser
    • Includono applicazioni basate sul Web che usano protocolli come SAML, WS-Federation, OpenID Connect o servizi registrati come client riservato OAuth.
  • App per dispositivi mobili e client desktop
    • Questa opzione include applicazioni come le applicazioni desktop Office e applicazioni per telefono.
• Client per autenticazioni legacy
  • Client Exchange ActiveSync
    • Questa selezione include tutti gli usi del protocollo Exchange ActiveSync (EAS).
    • Quando i criteri bloccano l'uso di Exchange ActiveSync, l'utente interessato riceve un singolo messaggio di posta elettronica di quarantena. Questo messaggio di posta elettronica fornisce informazioni sul motivo per cui vengono bloccati e includono istruzioni di correzione, se possibile.
    • Gli amministratori possono applicare i criteri solo alle piattaforme supportate (ad esempio iOS, Android e Windows) tramite l'API di Microsoft Graph per l'accesso condizionale.
  • Altri client
    • Questa opzione include i client che usano protocolli di autenticazione di base/legacy che non supportano l'autenticazione moderna.
      • SMTP: usato dai client POP e IMAP per inviare messaggi di posta elettronica.
      • Individuazione automatica: usata dai client Outlook e EAS per trovare le cassette postali in Exchange Online e connettervisi.
      • Exchange Online PowerShell: usato per connettersi a Exchange Online con PowerShell remoto. Se si blocca l'autenticazione di base per Exchange Online PowerShell, è necessario usare il modulo Exchange Online PowerShell per connettersi. Per istruzioni, vedere Connettersi a Exchange Online PowerShell con l'autenticazione a più fattori.
      • Servizi Web Exchange (EWS): interfaccia di programmazione usata da Outlook, Outlook per Mac e app di terze parti.
      • IMAP4: usato dai client di posta elettronica IMAP.
      • MAPI su HTTP (MAPI/HTTP): usato da Outlook 2010 e versioni successive.
      • Rubrica offline: copia delle raccolte di elenchi di indirizzi scaricate e usate da Outlook.
      • Outlook via Internet (RPC su HTTP): usato da Outlook 2016 e versioni precedenti.
      • Servizio Outlook: usato dall'app di posta elettronica e di calendario per Windows 10.
      • POP3: usato dai client di posta elettronica POP.
      • Servizi Web per la creazione di report: funzionalità usata per recuperare i dati dei report in Exchange Online.

Queste condizioni vengono comunemente usate per:

• Rihiedere un dispositivo gestito
• Bloccare l'autenticazione legacy
• Bloccare le applicazioni Web ma consentire app per dispositivi mobili o desktop

Browser supportati

Questa impostazione funziona con tutti i browser. Tuttavia, per soddisfare un criterio dei dispositivi, ad esempio un requisito di un dispositivo conforme, sono supportati i sistemi operativi e browser seguenti. I sistemi operativi e i browser fuori dal supporto Mainstream non sono visualizzati in questo elenco:

Questi browser supportano l'autenticazione del dispositivo, consentendo al dispositivo di essere identificato e convalidato rispetto a un criterio. Il controllo del dispositivo ha esito negativo se il browser è in esecuzione in modalità privata o se i cookie sono disattivati.

Perché viene visualizzata una richiesta dei certificati nel browser

Nei dispositivi Windows 7, iOS, Android e macOS vengono identificati usando un certificato client. Questo certificato viene sottoposto a provisioning quando il dispositivo viene registrato. Quando accede per la prima volta tramite il browser, all'utente viene richiesto di selezionare il certificato. Per continuare a usare il browser l'utente deve selezionare il certificato.

Supporto di Chrome

Finestre

Per il supporto di Chrome in Windows 10 Creators Update (versione 1703) o successiva, installare l'estensione Microsoft Single Sign On o abilitare CloudAPAuthEnabled di Chrome. Queste configurazioni sono necessarie quando i criteri di accesso condizionale richiedono dettagli specifici del dispositivo per le piattaforme Windows in particolare.

Per abilitare automaticamente il criterio CloudAPAuthEnabled in Chrome, creare la chiave del Registro di sistema seguente:

• Percorso: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome
• Nome: CloudAPAuthEnabled
• Valore: 0x00000001
• PropertyType: DWORD

Per distribuire automaticamente l'estensione Microsoft Single Sign-On nei browser Chrome, creare la chiave del Registro di sistema seguente usando il criterio ExtensionInstallForcelist in Chrome:

• Percorso: HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist
• Nome: 1
• Tipo: REG_SZ (String)
• Data: ppnbnpeolgkicgegkbkbjmhlideopiji;https://clients2.google.com/service/update2/crx

Per il supporto di Chrome in Windows 8.1 e 7, creare la chiave del Registro di sistema seguente:

• Percorso: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\AutoSelectCertificateForUrls
• Nome: 1
• Tipo: REG_SZ (String)
• Data: {"pattern":"https://device.login.microsoftonline.com","filter":{"ISSUER":{"CN":"MS-Organization-Access"}}}

macOS

I dispositivi macOS che usano il plug-in Enterprise SSO richiedono l'estensione Microsoft Single Sign On per supportare l'accesso condizionale basato su dispositivi e SSO in Google Chrome.

Per le distribuzioni basate su MDM di Google Chrome e la gestione delle estensioni, vedere Configurare il browser Chrome in Mac e ExtensionInstallForcelist.

Applicazioni per dispositivi mobili e client desktop supportati

Gli amministratori possono selezionare App per dispositivi mobili e client desktop come app client.

Questa impostazione interessa i tentativi di accesso eseguiti dalle app per dispositivi mobili e client desktop seguenti:

Client Exchange ActiveSync

• Gli amministratori possono selezionare solo i client Exchange ActiveSync quando si assegnano criteri a utenti o gruppi. Se si seleziona Tutti gli utenti, Tutti gli utenti guest ed esterni o i ruoli della directory, tutti gli utenti saranno soggetti ai criteri.
• Quando gli amministratori creano criteri assegnati ai client Exchange ActiveSync, Exchange Online deve essere l'unica applicazione cloud assegnata ai criteri.
• Gli amministratori possono limitare l'ambito di questo criterio a piattaforme specifiche usando la condizione Piattaforme del dispositivo.

Se il controllo di accesso assegnato al criterio usa Richiedi app client approvata, l'utente viene indirizzato all'installazione e all'uso del client Outlook mobile. Nel caso in cui sia necessaria l'autenticazione a più fattori, le condizioni per l'utilizzo o i controlli personalizzati, gli utenti interessati vengono bloccati, perché l'autenticazione di base non supporta questi controlli.

Per altre informazioni, vedere gli articoli seguenti:

• Bloccare l'autenticazione legacy con accesso condizionale
• Richiesta di app client approvate con accesso condizionale

Altri client

Selezionando Altri client è possibile specificare una condizione che influisce sulle app che usano l'autenticazione di base con protocolli di posta elettronica come IMAP, MAPI, POP, SMTP e le app Office meno recenti che non usano l'autenticazione moderna.

Stato del dispositivo (deprecato)

Questa condizione è stata deprecata. I clienti devono usare la condizione Filtra per dispositivi nei criteri di accesso condizionale per far corrispondere gli scenari ottenuti in precedenza usando la condizione di stato del dispositivo.

Filtrare per dispositivi

Quando gli amministratori configurano il filtro per i dispositivi come condizione, possono scegliere di includere o escludere i dispositivi in base a un filtro usando un'espressione di regola nelle proprietà del dispositivo. L'espressione di regola per il filtro per i dispositivi può essere creata usando il generatore di regole o la sintassi delle regole. Questa esperienza è simile a quella usata per le regole per i gruppi di appartenenza dinamica per i gruppi. Per altre informazioni, vedere l'articolo Accesso condizionale: filtrare per dispositivi.

Flusso di autenticazione (anteprima)

I flussi di autenticazione controllano il modo in cui l'organizzazione usa determinati protocolli di autenticazione e autorizzazione e concessioni. Questi flussi possono offrire un'esperienza semplice ai dispositivi che potrebbero non avere dispositivi di input locali come dispositivi condivisi o segnaletica digitale. Usare questo controllo per configurare metodi di trasferimento come il flusso del codice del dispositivo o il trasferimento dell'autenticazione.

Passaggi successivi

• Accesso condizionale: concessione
• Criteri comuni di accesso condizionale