Acesso condicional: recursos de destino
Os recursos de destino (anteriormente aplicativos na nuvem, ações e contexto de autenticação) são sinais-chave em uma política de Acesso Condicional. As políticas de Acesso Condicional permitem que os administradores atribuam controles a aplicativos, serviços, ações ou contexto de autenticação específicos.
- Os administradores podem escolher a partir da lista de aplicações ou serviços que incluem aplicações Microsoft incorporadas e quaisquer aplicações integradas do Microsoft Entra, incluindo aplicações de galeria, não galeria e aplicações publicadas através do Proxy de Aplicações.
- Os administradores podem optar por definir a política não com base em um aplicativo de nuvem, mas em uma ação do usuário, como Registrar informações de segurança ou Registrar ou ingressar dispositivos, permitindo que o Acesso Condicional imponha controles em torno dessas ações.
- Os administradores podem direcionar perfis de encaminhamento de tráfego do Global Secure Access para obter funcionalidade aprimorada.
- Os administradores podem usar o contexto de autenticação para fornecer uma camada extra de segurança nos aplicativos.
Aplicações na nuvem da Microsoft
Muitas das aplicações cloud existentes da Microsoft estão incluídas na lista de aplicações de entre as quais pode selecionar.
Os administradores podem atribuir uma política de Acesso Condicional a esses aplicativos de nuvem da Microsoft. Algumas aplicações, como o Office 365 e a API de Gestão de Serviços do Azure do Windows, incluem múltiplas aplicações ou serviços filhos relacionados.
Importante
Os aplicativos que estão disponíveis para Acesso Condicional passam por um processo de integração e validação. Esses aplicativos não incluem todos os aplicativos da Microsoft. Muitos aplicativos são serviços de back-end que não devem ter a política aplicada diretamente a eles. Se você estiver procurando por um aplicativo que está faltando, você pode entrar em contato com a equipe específica do aplicativo ou fazer uma solicitação no UserVoice.
Office 365
O Microsoft 365 fornece serviços de produtividade e colaboração baseados na nuvem, como Exchange, SharePoint e Microsoft Teams. Os serviços de nuvem do Microsoft 365 são profundamente integrados para garantir experiências suaves e colaborativas. Essa integração pode causar confusão ao criar políticas, pois alguns aplicativos, como o Microsoft Teams, têm dependências de outros, como o SharePoint ou o Exchange.
O conjunto de aplicações do Office 365 permite visar estes serviços de uma só vez. Recomendamos usar o novo pacote do Office 365, em vez de direcionar aplicativos de nuvem individuais para evitar problemas com dependências de serviço.
O direcionamento desse grupo de aplicativos ajuda a evitar problemas que podem surgir devido a políticas e dependências inconsistentes. Por exemplo: o aplicativo Exchange Online está vinculado a dados tradicionais do Exchange Online, como email, calendário e informações de contato. Os metadados relacionados podem ser expostos através de diferentes recursos, como a pesquisa. Para garantir que todos os metadados sejam protegidos conforme pretendido, os administradores devem atribuir políticas ao aplicativo do Office 365.
Os administradores podem excluir todo o pacote do Office 365 ou aplicativos específicos da nuvem do Office 365 da política de Acesso Condicional.
Está disponível no artigo Aplicações incluídas no conjunto de aplicações do Office 365 no Acesso Condicional uma lista completa de todos os serviços incluídos.
API de Gestão do Serviço do Microsoft Azure
Quando visa a API de Gestão do Serviço do Microsoft Azure, a política é imposta para tokens emitidos para um conjunto de serviços intimamente vinculados ao portal. Este agrupamento inclui os IDs de aplicação de:
- Azure Resource Manager
- Portal do Azure, que também cobre o Centro de Administração do Microsoft Entra
- Azure Data Lake
- API do Application Insights
- API do Log Analytics
Como a política é aplicada ao portal de gerenciamento do Azure e à API, os serviços ou clientes com uma dependência de serviço de API do Azure podem ser afetados indiretamente. Por exemplo:
- CLI do Azure
- Portal do Azure Data Factory
- Azure DevOps
- Hubs de Eventos do Azure
- Azure PowerShell
- Azure Service Bus
- Base de Dados SQL do Azure
- Azure Synapse
- APIs de modelo de implantação clássico
- Centro de administração do Microsoft 365
- Microsoft IoT Central
- Instância Gerida do SQL
- Portal do administrador de assinaturas do Visual Studio
Nota
O aplicativo de API de Gerenciamento de Serviços do Windows Azure se aplica ao Azure PowerShell, que chama a API do Azure Resource Manager. Ele não se aplica ao Microsoft Graph PowerShell, que chama o Microsoft Graph API.
Para obter mais informações sobre como configurar uma política de exemplo para a API de Gestão do Serviço do Microsoft Azure, veja Acesso Condicional: Exigir a MFA para a gestão do Azure.
Gorjeta
Para o Azure Government, você deve direcionar o aplicativo da API de Gerenciamento de Nuvem do Azure Government.
Portais de Administração da Microsoft
Quando uma política de Acesso Condicional visa a aplicação cloud Portais de Administração da Microsoft, a política é imposta para tokens emitidos para IDs de aplicação dos seguintes portais administrativos da Microsoft:
- Portal do Azure
- Centro de administração do Exchange
- Centro de administração do Microsoft 365
- Portal do Microsoft 365 Defender
- Centro de administração do Microsoft Entra
- Centro de administração do Microsoft Intune
- Portal de conformidade do Microsoft Purview
- Centro de administração do Microsoft Teams
Estamos continuamente a adicionar mais portais administrativos à lista.
Nota
A aplicação Portais de Administração da Microsoft aplica-se apenas a entradas interativas nos portais de administração listados. As entradas nos recursos ou serviços subjacentes, como o Microsoft Graph ou as APIs do Azure Resource Manager, não são cobertas por este aplicativo. Esses recursos são protegidos pelo aplicativo de API de Gerenciamento de Serviços do Windows Azure. Esse agrupamento permite que os clientes percorram a jornada de adoção de MFA para administradores sem afetar a automação que depende de APIs e PowerShell. Quando estiver pronto, a Microsoft recomenda o uso de uma política de que exija que os administradores executem MFA sempre para uma proteção abrangente.
Outras aplicações
Os administradores podem adicionar qualquer aplicação registada do Microsoft Entra às políticas do Acesso Condicional. Essas aplicações podem incluir:
- Aplicações publicadas através do proxy de aplicações do Microsoft Entra
- Aplicações adicionadas a partir da galeria
- Aplicações personalizadas de fora da galeria
- Aplicações legadas publicadas através de controladores e redes de entrega de aplicações
- Aplicações que utilizam o início de sessão único baseado em palavra-passe
Nota
Como a política de Acesso Condicional define os requisitos para acessar um serviço, não é possível aplicá-la a um aplicativo cliente (público/nativo). Em outras palavras, a política não é definida diretamente em um aplicativo cliente (público/nativo), mas é aplicada quando um cliente chama um serviço. Por exemplo, um conjunto de políticas no serviço do SharePoint aplica-se a todos os clientes que chamam o SharePoint. Uma política definida no Exchange aplica-se à tentativa de aceder ao e-mail com o cliente Outlook. É por isso que os aplicativos cliente (público/nativo) não estão disponíveis para seleção no seletor de aplicativos e a opção Acesso Condicional não está disponível nas configurações do aplicativo cliente (público/nativo) registrado em seu locatário.
Algumas aplicações não aparecem de todo no seletor. A única maneira de incluir esses aplicativos em uma política de Acesso Condicional é incluir Todos os recursos (anteriormente "Todos os aplicativos na nuvem").
Noções básicas sobre acesso condicional para diferentes tipos de cliente
O Acesso Condicional aplica-se a recursos e não a clientes, exceto quando o cliente é um cliente confidencial que solicita um token de ID.
- Cliente público
- Os clientes públicos são aqueles que são executados localmente em dispositivos como o Microsoft Outlook no desktop ou aplicativos móveis como o Microsoft Teams.
- As políticas de Acesso Condicional não se aplicam ao cliente público em si, mas aplicam-se com base nos recursos solicitados pelos clientes públicos.
- Cliente confidencial
- O Acesso Condicional aplica-se aos recursos solicitados pelo cliente e pelo próprio cliente confidencial se ele solicitar um token de ID.
- Por exemplo: se o Outlook Web solicitar um token para escopos
Mail.ReadeFiles.Read, o Acesso Condicional aplicará políticas para o Exchange e o SharePoint. Além disso, se o Outlook Web solicitar um token de ID, o Acesso Condicional também aplicará as políticas para o Outlook Web.
Para ver os registos de entrada para esses tipos de cliente no centro de administração do Microsoft Entra:
- Entre no centro de administração do Microsoft Entra como pelo menos um Leitor de Relatórios.
- Percorra para Saúde de Monitorização de Identidade>&>Registos de início de sessão.
- Adicione um filtro para o tipo de credencial de cliente .
- Ajuste o filtro para exibir um conjunto específico de logs com base na credencial do cliente usada na entrada.
Para obter mais informações, consulte o artigo Aplicações cliente público e cliente confidencial.
Todos os recursos
A aplicação de uma política de Acesso Condicional a Todos os recursos (anteriormente "Todos os aplicativos na nuvem") sem exclusões de aplicativos faz com que a política seja aplicada a todas as solicitações de token de sites web e serviços, incluindo perfis de encaminhamento de tráfego de Acesso Seguro Global. Esta opção inclui aplicações que não podem ser direcionadas individualmente na política de Acesso Condicional, como Windows Azure Active Directory (00000002-0000-0000-c000-000000000000).
Importante
A Microsoft recomenda a criação de uma política de autenticação multifator de linha de base direcionada a todos os usuários e todos os recursos (sem exclusões de aplicativos), como a explicada em Exigir autenticação multifator para todos os usuários.
Comportamento de Acesso Condicional quando uma política de todos os recursos tem uma exclusão de aplicativo
Se algum aplicativo for excluído da política, para não bloquear inadvertidamente o acesso do usuário, determinados escopos de baixo privilégio serão excluídos da aplicação da política. Esses escopos permitem chamadas para as APIs subjacentes do Graph, como Windows Azure Active Directory (00000002-0000-0000-c000-000000000000) e Microsoft Graph (00000003-0000-0000-c000-000000000000), para aceder a informações de perfil de utilizador e de filiação em grupos, comumente usadas por aplicações como parte da autenticação. Por exemplo: quando o Outlook solicita um token para o Exchange, ele também solicita o escopo User.Read para poder exibir as informações básicas da conta do usuário atual.
A maioria das aplicações tem uma dependência semelhante, e é por isso que esses escopos de baixo privilégio são automaticamente excluídos sempre que há uma exclusão de aplicação em uma política Todas os recursos. Essas exclusões de escopo de baixo privilégio não permitem acesso a dados além das informações básicas de perfil de usuário e grupo. Os escopos excluídos estão listados da seguinte forma, o consentimento ainda é necessário para que os aplicativos usem essas permissões.
- Clientes nativos e aplicativos de página única (SPAs) têm acesso aos seguintes escopos de baixo privilégio:
- Azure AD Graph:
email,offline_access,openid,profile,User.Read - Microsoft Graph:
email,offline_access,openid,profile,User.Read,People.Read
- Azure AD Graph:
- Os clientes confidenciais têm acesso aos seguintes âmbitos de baixo privilégio, se forem excluídos de uma política de Todos os recursos :
- Azure AD Graph:
email,offline_access,openid,profile,User.Read,User.Read.All,User.ReadBasic.All - Microsoft Graph:
email,offline_access,openid,profile,User.Read,User.Read.All,User.ReadBasic.All,People.Read,People.Read.All,GroupMember.Read.All,Member.Read.Hidden
- Azure AD Graph:
Para obter mais informações sobre os âmbitos mencionados, consulte a referência de permissões do Microsoft Graph e Âmbitos e permissões na plataforma de identidade Microsoft.
Protegendo informações de diretório
Se a política de MFA de linha de base recomendada sem exclusões de aplicativos não puder ser configurada devido a motivos comerciais e a política de segurança da sua organização tiver que incluir escopos de baixo privilégio relacionados ao diretório (User.Read, User.Read.All, User.ReadBasic.All, People.Read, People.Read.All, GroupMember.Read.All, Member.Read.Hidden), a alternativa é criar uma política de Acesso Condicional separada direcionada Windows Azure Active Directory (00000002-0000-0000-c000-0000000000000). O Ative Directory do Windows Azure (também chamado de Azure AD Graph) é um recurso que representa dados armazenados no diretório, como usuários, grupos e aplicativos. O recurso do Ative Directory do Windows Azure está incluído em Todos os recursos mas pode ser direcionado individualmente nas políticas de Acesso Condicional usando as seguintes etapas:
- Entre no centro de administração do Microsoft Entra como um Administrador de Definição de Atributo e um Administrador de Atribuição de Atributos.
- Navegue até Proteção>Atributos de segurança personalizados.
- Crie um novo conjunto de atributos e uma nova definição de atributos. Para obter mais informações, consulte Adicionar ou desativar definições de atributos de segurança personalizados no Microsoft Entra ID.
- Navegue até Identidade>Aplicações>Aplicações empresariais.
- Remova o filtro Tipo de Aplicação e procure pelo ID da Aplicação que começa com 00000002-0000-0000-c000-000000000000.
- Selecione Windows Azure Active Directory>atributos personalizados de segurança>Adicionar atribuição.
- Selecione o conjunto de atributos e o valor do atributo que você planeja usar na política.
- Navegue até Protection>Conditional Access>Policies.
- Crie ou modifique uma política existente.
- Em Recursos de destino>Recursos (anteriormente aplicativos na nuvem)>Incluir, selecione >Selecionar recursos>Editar filtro.
- Ajuste o filtro para incluir o conjunto de atributos e a definição anteriores.
- Salvar a política
Todos os recursos da Internet com Global Secure Access
A opção Todos os recursos da Internet com Acesso Seguro Global permite que os administradores direcionem o perfil de encaminhamento de tráfego de acesso à Internet a partir do Microsoft Entra Internet Access.
Esses perfis no Global Secure Access permitem que os administradores definam e controlem como o tráfego é roteado através do Microsoft Entra Internet Access e do Microsoft Entra Private Access. Os perfis de encaminhamento de tráfego podem ser atribuídos a dispositivos e redes remotas. Para obter um exemplo de como aplicar uma política de Acesso Condicional a esses perfis de tráfego, consulte o artigo Como aplicar políticas de Acesso Condicional ao perfil de tráfego do Microsoft 365.
Para obter mais informações sobre esses perfis, consulte o artigo Global Secure Access traffic forwarding profiles.
Ações do utilizador
As ações do usuário são tarefas que um usuário executa. Atualmente, o Acesso Condicional suporta duas ações do usuário:
- Registrar informações de segurança: esta ação do usuário permite que a política de Acesso Condicional seja imposta quando os usuários habilitados para registro combinado tentarem registrar suas informações de segurança. Mais informações podem ser encontradas no artigo, Registro combinado de informações de segurança.
Nota
Quando os administradores aplicam uma política direcionada a ações do usuário para registrar informações de segurança, se a conta de usuário for um convidado de conta pessoal (MSA) da Microsoft, usando o controle 'Exigir autenticação multifator', exigirá que o usuário MSA registre informações de segurança com a organização. Se o usuário convidado for de outro provedor, como Google, o acesso será bloqueado.
-
Registrar ou ingressar dispositivos: esta ação do usuário permite que os administradores apliquem a política de Acesso Condicional quando os usuários se registram ou ingressam dispositivos na ID do Microsoft Entra. Ele fornece granularidade na configuração da autenticação multifator para registrar ou ingressar dispositivos em vez de uma política de todo o locatário que existe atualmente. Há três considerações principais com esta ação do usuário:
-
Require multifactor authenticationé o único controle de acesso disponível com esta ação do usuário e todos os outros estão desativados. Essa restrição evita conflitos com controles de acesso que dependem do registro do dispositivo Microsoft Entra ou não são aplicáveis ao registro do dispositivo Microsoft Entra. -
Client apps, eFilters for devicesas condições não estão disponíveis com esta ação do utilizador,Device stateuma vez que dependem do registo do dispositivo Microsoft Entra para aplicar políticas de Acesso Condicional.
-
Aviso
Quando uma política de Acesso Condicional é configurada com a ação de usuário Registrar ou ingressar em dispositivoscomo Não. Caso contrário, as políticas de Acesso Condicional com essa ação do usuário não serão aplicadas corretamente. Mais informações sobre essa configuração de dispositivo podem ser encontradas em Configurar configurações do dispositivo.
Contexto de autenticação
O contexto de autenticação pode ser utilizado para dar ainda mais proteção aos dados e às ações nas aplicações. Estas aplicações podem ser as suas próprias aplicações personalizadas, aplicações de linha de negócio (LOB) personalizadas, aplicações como o SharePoint, ou aplicações protegidas pelo Microsoft Defender para a Cloud.
Por exemplo, uma organização pode manter arquivos em sites do SharePoint, como o menu de almoço ou sua receita secreta de molho BBQ. Todos podem ter acesso ao site do menu de almoço, mas os usuários que têm acesso ao site secreto de receitas de molho BBQ podem precisar acessar a partir de um dispositivo gerenciado e concordar com termos de uso específicos.
O contexto de autenticação funciona com usuários ou identidades de carga de trabalho, mas não na mesma política de Acesso Condicional.
Configurar contextos de autenticação
Os contextos de autenticação são gerenciados no contexto de Autenticação de Acesso>>.
Crie novas definições de contexto de autenticação selecionando Novo contexto de autenticação. As organizações estão limitadas a um total de 99 definições de contexto de autenticação c1-c99. Configure os seguintes atributos:
- Nome para exibição é o nome usado para identificar o contexto de autenticação no ID do Microsoft Entra e entre aplicativos que consomem contextos de autenticação. Recomendamos nomes que possam ser usados entre recursos, como dispositivos confiáveis, para reduzir o número de contextos de autenticação necessários. Ter um conjunto reduzido limita o número de redirecionamentos e proporciona uma melhor experiência ao usuário final.
- Descrição fornece mais informações sobre as políticas, usadas por administradores e aqueles que aplicam contextos de autenticação a recursos.
- A caixa de seleção Publicar em aplicativos quando marcada, anuncia o contexto de autenticação para aplicativos e os disponibiliza para serem atribuídos. Se não for verificado, o contexto de autenticação não estará disponível para recursos downstream.
- O ID é somente leitura e usado em tokens e aplicativos para definições de contexto de autenticação específicas da solicitação. Listado aqui para solução de problemas e casos de uso de desenvolvimento.
Adicionar à política de Acesso Condicional
Os administradores podem selecionar contextos de autenticação publicados em suas políticas de Acesso Condicional em Atribuições,>aplicativos ou ações na nuvem e selecionar Contexto de autenticação no menu Selecione a que esta política se aplica.
Excluir um contexto de autenticação
Ao excluir um contexto de autenticação, verifique se nenhum aplicativo ainda o está usando. Caso contrário, o acesso aos dados do aplicativo não estará mais protegido. Você pode confirmar esse pré-requisito verificando os logs de entrada para casos em que as políticas de Acesso Condicional do contexto de autenticação estão sendo aplicadas.
Para excluir um contexto de autenticação, ele não deve ter políticas de Acesso Condicional atribuídas e não deve ser publicado em aplicativos. Esse requisito ajuda a evitar a exclusão acidental de um contexto de autenticação que ainda está em uso.
Marcar recursos com contextos de autenticação
Para obter mais informações sobre o uso do contexto de autenticação em aplicativos, consulte os artigos a seguir.
- Usar rótulos de sensibilidade para proteger conteúdo no Microsoft Teams, grupos do Microsoft 365 e sites do SharePoint
- Aplicativos do Microsoft Defender para Nuvem
- Aplicações personalizadas