Exigir autenticação multifator para registro de dispositivo

  • Artigo

Use a ação do usuário de Acesso Condicional para impor a política quando os usuários registrarem ou adicionarem dispositivos no Microsoft Entra ID. Esse controle fornece granularidade na configuração da autenticação multifator para registrar ou adicionar dispositivos, em vez de uma política para todo o locatário atualmente existente. Os administradores podem personalizar essa política para atender às necessidades de segurança de sua organização.

Exclusões de usuário

As políticas de Acesso Condicional são ferramentas avançadas, recomendamos excluir as seguintes contas das suas políticas:

  • Acesso de emergência ou contas de emergência para evitar bloqueio devido à configuração incorreta da política. No cenário improvável de que todos os administradores sejam bloqueados, sua conta administrativa de acesso de emergência pode ser usada para fazer login e tomar medidas para recuperar o acesso.
  • Contas de serviço e entidades de serviço, como a conta de sincronização do Microsoft Entra Connect. As contas de serviço são contas não interativas que não estão ligadas a nenhum usuário específico. Normalmente, elas são usadas por serviços de back-end que permitem acesso programático a aplicativos, mas também são usadas para entrar em sistemas para fins administrativos. As chamadas feitas pelas entidades de serviço não serão bloqueadas pelas políticas de Acesso Condicional com um escopo que inclua os usuários. Use o Acesso Condicional a identidades de carga de trabalho para definir políticas direcionadas a entidades de serviço.
    • Se a sua organização tiver essas contas em uso em scripts ou código, considere substituí-las por identidades gerenciadas.

Criar uma política de Acesso Condicional

Aviso

Se você usar métodos de autenticação externos, eles serão incompatíveis com a força da autenticação e você deverá usar o controle de concessão Exigir autenticação multifator.

  1. Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
  2. Navegar para Proteção> de acesso condicional de >Políticas.
  3. Selecione Nova política.
  4. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
  5. Em Atribuições, selecione Usuários ou identidades de carga de trabalho.
    1. Em Incluir, selecione Todos os usuários.
    2. Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.
  6. Em Recursos de destino>Ações do usuário, selecione Registrar ou adicionar dispositivos.
  7. Em Controles de acesso>Conceder, selecione Conceder acesso.
    1. Selecione Exigir força de autenticação e, em seguida, selecione a força de autenticação de autenticação multifator interna na lista.
    2. Escolha Selecionar.
  8. Confirme suas configurações e defina Habilitar política com Somente relatório.
  9. Selecione Criar para criar e habilitar sua política.

Depois que os administradores confirmarem as configurações com o modo somente relatório, eles poderão alternar a opção Habilitar política de Somente relatório para Ativado.

Aviso

Quando uma política de Acesso Condicional é configurada com a ação de usuário Registrar ou adicionar dispositivos, você deve definirIdentidade>Dispositivos>Visão geral>Configurações do Dispositivo - Require Multifactor Authentication to register or join devices with Microsoft Entra como Não. Caso contrário, as políticas de Acesso Condicional com essa ação de usuário não serão aplicadas corretamente. Mais informações sobre essa configuração de dispositivo podem ser encontradas em Definir configurações do dispositivo.

Captura de tela de Exigir Autenticação Multifator para registrar ou adicionar dispositivos com o controle do Microsoft Entra a ser desabilitado.

Bloquear o acesso para registrar ou ingressar em dispositivos fora de redes e locais confiáveis

As organizações podem optar por incorporar locais de rede conhecidos conhecidos como locais nomeados em suas políticas de Acesso Condicional. Esses locais nomeados podem incluir redes de IP confiáveis como aquelas para um local de escritório principal. Para obter mais informações sobre as localizações nomeadas, confira o artigo O que é a condição de localização no acesso condicional do Microsoft Entra?

Além da política de exemplo anterior, uma organização pode optar por bloquear o acesso para registrar ou ingressar em dispositivos que não estão em um local de rede IP confiável usando a seguinte política de exemplo:

Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.

  1. Navegar para Proteção> de acesso condicional de >Políticas.
  2. Selecione Nova política.
  3. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
  4. Em Atribuições, selecione Usuários ou identidades de carga de trabalho.
    1. Em Incluir, selecione Todos os usuários.
    2. Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.
  5. Em Recursos de destino>Ações do usuário, selecione Registrar ou adicionar dispositivos.
  6. Em Rede:
    1. Configure Sim.
    2. Incluir qualquer rede ou local.
    3. Exclua Todas as redes e locais confiáveis.
  7. Em Bloquear controles>de acesso e selecione Selecionar.
  8. Confirme suas configurações e defina Habilitar política com Somente relatório.
  9. Selecione Criar para criar e habilitar sua política.

Conteúdo relacionado