Условный доступ: фильтр для устройств

Когда администраторы создают политики условного доступа, возможность нацеливать или исключать определенные устройства в своей среде является общей задачей. Фильтр условий для устройств предоставляет администраторам возможность нацеливать на определенные устройства. Администраторы могут использовать поддерживаемые операторы и свойства для фильтров устройств вместе с другими доступными условиями назначения в политиках условного доступа.

Распространенные сценарии

Есть несколько сценариев, в которых организации теперь могут использовать фильтр для состояния устройств. В следующих сценариях приведены примеры использования этого нового условия.

• Ограничение доступа к привилегированным ресурсам. В этом примере можно сказать, что вы хотите разрешить доступ к API управления службами Windows Azure от пользователя, который:
  • Назначается привилегированная роль.
  • Завершена многофакторная проверка подлинности.
  • Находится на устройстве с привилегированными или безопасными рабочими станциями администрирования и подтверждается как соответствующее.
  • В этом сценарии организации создадут две политики условного доступа:
    • Политика 1. Все пользователи с ролью администратора, доступ к облачному приложению API управления службами Windows Azure, а также для управления доступом, предоставление доступа, но требуют многофакторной проверки подлинности и требуют, чтобы устройство было помечено как соответствующее.
    • Политика 2. Все пользователи с администратором, обращающиеся к облачному приложению API управления службами Windows Azure, за исключением фильтра для устройств, использующих устройство выражения правил device.extensionAttribute1, равно SAW и для элементов управления доступом, блокировать. Узнайте, как обновить extensionAttributes в объекте устройства Microsoft Entra.
• Блокировка доступа к ресурсам организации с устройств, работающих с неподдерживаемой операционной системой. В этом примере, допустим, требуется заблокировать доступ к ресурсам из ОС Windows версии старше, чем Windows 10. В этом сценарии организации создадут следующую политику условного доступа:
  • Все пользователи, обращающиеся ко всем ресурсам, за исключением фильтра для устройств, использующих устройство выражения правила.operatingSystem, равные Windows и device.operatingSystemVersion, запускают "10.0" и для элементов управления доступом, блокировать.
• Не требовать многофакторной проверки подлинности для определенных учетных записей на определенных устройствах. В этом примере можно сказать, что при использовании учетных записей служб на определенных устройствах, таких как Teams Phone или Surface Hub, не требуется многофакторная проверка подлинности. В этом сценарии организации создадут следующие две политики условного доступа:
  • Политика 1. Все пользователи, за исключением учетных записей служб, доступ ко всем ресурсам и элементы управления доступом, предоставление доступа, но требуют многофакторной проверки подлинности.
  • Политика 2. Выберите пользователей и группы и включите группу, содержащую только учетные записи служб, доступ ко всем ресурсам, за исключением фильтра для устройств, использующих выражение правила device.extensionAttribute2, не равных TeamsPhoneDevice и для элементов управления доступом, блокировать.

Создание политики условного доступа

Фильтр для устройств является необязательным элементом управления при создании политики условного доступа.

Следующие шаги помогут создать две политики условного доступа для поддержки первого сценария в общих сценариях.

Политика 1. Все пользователи с ролью администратора, доступ к облачному приложению API управления службами Windows Azure, а также для управления доступом, предоставление доступа, но требуют многофакторной проверки подлинности и требуют, чтобы устройство было помечено как соответствующее.

1. Войдите в Центр администрирования Microsoft Entra в качестве администратора условного доступа.
2. Перейдите к политикам условного доступа>защиты>.
3. Выберите Новая политика.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени.

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются к ролям других типов, включая роли административных единиц или пользовательские роли.

   2. В разделе Исключить выберите Пользователи и группы, а затем выберите учетные записи для аварийного доступа или для обхода стандартной системы контроля доступа в вашей организации.

   3. Нажмите кнопку Готово.

6. В разделе "Целевые ресурсы>" (ранее облачные приложения)>Включить>ресурсы выберите ресурсы, выберите API управления службами Windows Azure и нажмите кнопку "Выбрать".
7. В разделе ">Предоставление доступа" выберите "Предоставить доступ", "Требовать многофакторную проверку подлинности" и "Требовать, чтобы устройство было помечено как соответствующее" и нажмите кнопку "Выбрать".
8. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
9. Нажмите Создать, чтобы создать и включить политику.

Политика 2. Все пользователи с ролью администратора, доступ к облачному приложению API управления службами Windows Azure, за исключением фильтра для устройств, использующих устройство выражения правила device.extensionAttribute1, равно SAW и для элементов управления доступом, блокировать.

1. Выберите Новая политика.
2. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
3. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.

   1. В разделе "Включить" выберите роли каталога, а затем все роли с администратором в имени

      Предупреждение

      Политики условного доступа поддерживают встроенные роли. Политики условного доступа не применяются к ролям других типов, включая роли административных единиц или пользовательские роли.

   2. В разделе Исключить выберите Пользователи и группы, а затем выберите учетные записи для аварийного доступа или для обхода стандартной системы контроля доступа в вашей организации.

   3. Нажмите кнопку Готово.

4. В разделе "Целевые ресурсы>" (ранее облачные приложения)>Включить>ресурсы выберите ресурсы, выберите API управления службами Windows Azure и нажмите кнопку "Выбрать".
5. В разделе Условия выберите Фильтр для устройств.
   1. Задайте для параметра Настроить значение Да.
   2. Задайте для параметра Devices matching the rule (Устройства, соответствующие правилу) значение Exclude filtered devices from policy (Исключить отфильтрованные устройства из политики).
   3. Укажите свойство ExtensionAttribute1, оператор Equals и значение SAW.
   4. Нажмите кнопку Готово.
6. В разделе Управление доступом>Предоставить разрешение выберите Блокировать доступ и нажмите Выбрать.
7. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
8. Нажмите Создать, чтобы создать и включить политику.

Указание значений атрибутов

Настройка атрибутов расширения возможна с помощью API Microsoft Graph. Дополнительные сведения о настройке атрибутов устройства см. в статье Обновление устройства.

Фильтр для устройств API Graph

Фильтр для API устройств доступен в конечной точке Microsoft Graph версии 1.0 и может быть доступен с помощью конечной точки https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Вы можете настроить фильтр для устройств при создании новой политики условного доступа или обновить доступную политику, чтобы настроить фильтр для состояния устройств. Чтобы обновить существующую политику, можно выполнить вызов исправления в конечной точке Microsoft Graph версии 1.0, добавив идентификатор политики существующей политики и выполнив следующий текст запроса. В этом примере показано, как настроить фильтр для условий устройств, за исключением устройств, которые не помечены как устройства SAW. Синтаксис правила позволяет использовать несколько выражений. Дополнительные сведения о синтаксисе см . в правилах динамических групп членства для групп в идентификаторе Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Поддерживаемые операторы и свойства устройств для фильтров

В условном доступе можно использовать следующие атрибуты устройства с фильтром для состояния устройств.

Реакция на событие политики с фильтром для устройств

Фильтр для условий устройств в условном доступе оценивает политику на основе атрибутов устройства зарегистрированного устройства в идентификаторе Microsoft Entra ID, поэтому важно понимать, в каких обстоятельствах политика применяется или не применяется. В следующей таблице показано поведение при настройке фильтра для условий устройств.

Связанный контент

• Повторение. Правильное использование логических значений в сложных фильтрах
• Обновление устройства: API Graph
• Условный доступ. Условия
• Распространенные политики условного доступа