Begränsningar för universell klientorganisation

Begränsningar för universell klientorganisation förbättrar funktionerna i klientbegränsning v2 med global säker åtkomst för att tagga all trafik oavsett operativsystem, webbläsare eller enhetsformulärfaktor. Det ger stöd för både klient- och fjärrnätverksanslutning. Administratörer behöver inte längre hantera proxyserverkonfigurationer eller komplexa nätverkskonfigurationer.

Universella klientbegränsningar tillämpar detta med hjälp av global säker åtkomstbaserad principsignalering för både autentiseringsplanet (allmänt tillgängligt) och dataplanet (förhandsversion). Klientbegränsningar v2 gör det möjligt för företag att förhindra dataexfiltrering av användare som använder externa klientidentiteter för Microsoft Entra-integrerade program som Microsoft Graph, SharePoint Online och Exchange Online. Dessa tekniker fungerar tillsammans för att förhindra dataexfiltrering universellt över alla enheter och nätverk.

I följande tabell beskrivs de steg som vidtagits vid varje punkt i föregående diagram.

Begränsningar för universella klientorganisationer hjälper till att förhindra dataexfiltrering mellan webbläsare, enheter och nätverk på följande sätt:

• Det gör det möjligt för Microsoft Entra-ID, Microsoft-konton och Microsoft-program att söka efter och tillämpa den associerade principen för klientbegränsningar v2. Den här sökningen möjliggör konsekvent principprogram.
• Fungerar med alla Microsoft Entra-integrerade appar från tredje part på autentiseringsplanet under inloggningen.
• Fungerar med Exchange, SharePoint och Microsoft Graph för dataskydd (förhandsversion)

Förutsättningar

• Administratörer som interagerar med funktioner för global säker åtkomst måste ha en eller flera av följande rolltilldelningar beroende på vilka uppgifter de utför.
  • Rollen Global administratör för säker åtkomst för att hantera funktionerna för global säker åtkomst.
  • Administratören för villkorlig åtkomst för att skapa och interagera med principer för villkorsstyrd åtkomst.
• Produkten kräver licensiering. Mer information finns i avsnittet om licensiering i Vad är global säker åtkomst. Om det behövs kan du köpa licenser eller få utvärderingslicenser.

Kända begränsningar

• Dataskyddsfunktionerna finns i förhandsversion (skydd mot autentiseringsplanet är allmänt tillgängligt)
• Om du har aktiverat begränsningar för universella klientorganisationer och du har åtkomst till administrationscentret för Microsoft Entra för en av de tillåtna klientorganisationer som anges kan felet "Åtkomst nekad" visas. Lägg till följande funktionsflagga i administrationscentret för Microsoft Entra:
  • ?feature.msaljs=true&exp.msaljsexp=true
  • Du arbetar till exempel för Contoso och du har angett Fabrikam som en partnerklientorganisation. Du kan se felmeddelandet för Fabrikam-klientorganisationens Administrationscenter för Microsoft Entra.
    • Om du fick felmeddelandet "åtkomst nekad" för den här URL:en lägger https://entra.microsoft.com/ du till funktionsflaggan på följande sätt: https://entra.microsoft.com/?feature.msaljs%253Dtrue%2526exp.msaljsexp%253Dtrue#home

Konfigurera princip för klientbegränsningar v2

Innan en organisation kan använda universella klientbegränsningar måste de konfigurera både standardbegränsningar för klientorganisationer och klientbegränsningar för specifika partner.

Mer information om hur du konfigurerar dessa principer finns i artikeln Konfigurera klientbegränsningar v2.

Aktivera taggning för klientbegränsningar v2

När du har skapat principerna för klientbegränsning v2 kan du använda Global säker åtkomst för att tillämpa taggning för klientbegränsningar v2. En administratör med både rollen Global administratör för säker åtkomst och säkerhetsadministratör måste vidta följande steg för att aktivera tillämpning med global säker åtkomst.

1. Logga in på administrationscentret för Microsoft Entra som global administratör för säker åtkomst.
2. Bläddra till Globala inställningar för säker åtkomst>>Sessionshantering>Universella klientbegränsningar.
3. Välj växlingsknappen för att aktivera klientbegränsningar för Entra-ID (omfattar alla molnappar).

Prova begränsningar för universell klientorganisation

Klientbegränsningar tillämpas inte när en användare (eller en gästanvändare) försöker komma åt resurser i klientorganisationen där principerna har konfigurerats. Klientbegränsningar v2-principer bearbetas endast när en identitet från en annan klient försöker logga in och/eller kommer åt resurser. Om du till exempel konfigurerar en princip för klientbegränsningar v2 i klientorganisationen contoso.com för att blockera alla organisationer utom fabrikam.comtillämpas principen enligt den här tabellen:

Verifiera autentiseringsplanets skydd

1. Se till att signaler om universella klientbegränsningar är inaktiverade i inställningarna för global säker åtkomst.
2. Använd webbläsaren för att navigera till https://myapps.microsoft.com/ och logga in med identiteten från en annan klientorganisation än din som inte är tillåten i en princip för klientbegränsningar v2. Observera att du kan behöva använda ett privat webbläsarfönster och/eller logga ut från ditt primära konto för att utföra det här steget.
   1. Om din klientorganisation till exempel är Contoso loggar du in som Fabrikam-användare i Fabrikam-klientorganisationen.
   2. Fabrikam-användaren bör kunna komma åt MyApps-portalen eftersom signaler om klientbegränsningar är inaktiverade i global säker åtkomst.
3. Aktivera universella klientbegränsningar i administrationscentret för Microsoft Entra –> Global säker åtkomst –> Sessionshantering –> Universella klientbegränsningar.
4. Logga ut från MyApps-portalen och starta om webbläsaren.
5. Som slutanvändare, med Global Secure Access-klienten igång, åtkomst https://myapps.microsoft.com/ med samma identitet (Fabrikam-användare i Fabrikam-klientorganisationen).
   1. Fabrikam-användaren bör blockeras från att autentisera till MyApps med felmeddelandet: Åtkomsten är blockerad, Contoso IT-avdelningen har begränsat vilka organisationer som kan nås. Kontakta Contoso IT-avdelningen för att få åtkomst.

Verifiera dataskyddet

1. Se till att signalering av universella klientbegränsningar är inaktiverad i inställningarna för global säker åtkomst.
2. Använd webbläsaren för att navigera till https://yourcompany.sharepoint.com/ och logga in med identiteten från en annan klientorganisation än din som inte är tillåten i en princip för klientbegränsningar v2. Observera att du kan behöva använda ett privat webbläsarfönster och/eller logga ut från ditt primära konto för att utföra det här steget.
   1. Om din klientorganisation till exempel är Contoso loggar du in som Fabrikam-användare i Fabrikam-klientorganisationen.
   2. Fabrikam-användaren bör kunna komma åt SharePoint eftersom klientbegränsningar v2-signaler är inaktiverade i global säker åtkomst.
3. Du kan också öppna Utvecklarverktyg i samma webbläsare med SharePoint Online eller trycka på F12 på tangentbordet. Börja samla in nätverksloggarna. Du bör se HTTP-begäranden som returnerar status 200 när du navigerar i SharePoint när allt fungerar som förväntat.
4. Kontrollera att alternativet Bevara logg är markerat innan du fortsätter.
5. Håll webbläsarfönstret öppet med loggarna.
6. Aktivera universella klientbegränsningar i administrationscentret för Microsoft Entra –> Global säker åtkomst –> Sessionshantering –> Begränsningar för universell klientorganisation.
7. Som Fabrikam-användare, i webbläsaren med SharePoint Online öppen, inom några minuter, visas nya loggar. Webbläsaren kan också uppdatera sig själv baserat på begäran och svar som sker i serverdelen. Om webbläsaren inte uppdateras automatiskt efter ett par minuter uppdaterar du sidan.
   1. Fabrikam-användaren ser att deras åtkomst nu blockeras med meddelandet: Åtkomst blockeras, Contoso IT-avdelningen har begränsat vilka organisationer som kan nås. Kontakta Contoso IT-avdelningen för att få åtkomst.
8. I loggarna letar du efter statusen 302. Den här raden visar universella klientbegränsningar som tillämpas på trafiken.
   1. I samma svar kontrollerar du rubrikerna för följande information som identifierar att universella klientbegränsningar tillämpades:
      1. Restrict-Access-Confirm: 1
      2. x-ms-diagnostics: 2000020;reason="xms_trpid claim was not present but sec-tenant-restriction-access-policy header was in requres";error_category="insufficiant_claims"

Nästa steg

• Aktivera förbättrad global signal för säker åtkomst
• Konfigurera klientbegränsningar v2
• Käll-IP-återställning
• Aktivera kompatibel nätverkskontroll med villkorsstyrd åtkomst