Villkorsstyrd åtkomst: Filtrera för enheter

När administratörer skapar principer för villkorsstyrd åtkomst är möjligheten att rikta in sig på eller exkludera specifika enheter i deras miljö en vanlig uppgift. Villkorsfiltret för enheter ger administratörer möjlighet att rikta in sig på specifika enheter. Administratörer kan använda operatorer och egenskaper som stöds för enhetsfilter längs de andra tillgängliga tilldelningsvillkoren i dina principer för villkorsstyrd åtkomst.

Vanliga scenarier

Det finns flera scenarier som organisationer nu kan aktivera med hjälp av filter för enheters villkor. Följande scenarier innehåller exempel på hur du använder det här nya villkoret.

• Begränsa åtkomsten till privilegierade resurser. I det här exemplet kan vi säga att du vill tillåta åtkomst till Windows Azure Service Management API från en användare som:
  • Tilldelas en privilegierad roll.
  • Slutförd multifaktorautentisering.
  • Finns på en enhet som är privilegierad eller säker administratör arbetsstationer och som intygas som kompatibel.
  • I det här scenariot skulle organisationer skapa två principer för villkorsstyrd åtkomst:
    • Princip 1: Alla användare med administratörsroll, åtkomst till Windows Azure Service Management API-molnappen och åtkomstkontroller, Bevilja åtkomst, men kräver multifaktorautentisering och kräver att enheten markeras som kompatibel.
    • Princip 2: Alla användare med en administratör som har åtkomst till Windows Azure Service Management API-molnappen, exklusive ett filter för enheter som använder regeluttrycket device.extensionAttribute1 är lika med SAW och för åtkomstkontroller, Blockera. Lär dig hur du uppdaterar tilläggetAttributes på ett Microsoft Entra-enhetsobjekt.
• Blockera åtkomst till organisationsresurser från enheter som kör ett operativsystem som inte stöds. I det här exemplet kan du säga att du vill blockera åtkomst till resurser från Windows OS-version som är äldre än Windows 10. I det här scenariot skulle organisationer skapa följande princip för villkorsstyrd åtkomst:
  • Alla användare, som har åtkomst till alla resurser, exklusive ett filter för enheter som använder regeluttryck device.operatingSystem är lika med Windows och device.operatingSystemVersion startsWith "10.0" och för Åtkomstkontroller, Blockera.
• Kräver inte multifaktorautentisering för specifika konton på specifika enheter. I det här exemplet kan du säga att du inte vill kräva multifaktorautentisering när du använder tjänstkonton på specifika enheter som Teams-telefoner eller Surface Hub-enheter. I det här scenariot skulle organisationer skapa följande två principer för villkorsstyrd åtkomst:
  • Princip 1: Alla användare exklusive tjänstkonton, åtkomst till alla resurser och åtkomstkontroller, Bevilja åtkomst, men kräver multifaktorautentisering.
  • Princip 2: Välj användare och grupper och inkludera grupper som endast innehåller tjänstkonton, åtkomst till alla resurser, exklusive ett filter för enheter som använder regeluttrycket device.extensionAttribute2 är inte lika med TeamsPhoneEnhet och för åtkomstkontroller, Blockera.

Skapa en princip för villkorsstyrd åtkomst

Filter för enheter är en valfri kontroll när du skapar en princip för villkorsstyrd åtkomst.

Följande steg hjälper dig att skapa två principer för villkorsstyrd åtkomst som stöder det första scenariot under Vanliga scenarier.

Princip 1: Alla användare med administratörsroll, åtkomst till Windows Azure Service Management API-molnappen och åtkomstkontroller, Bevilja åtkomst, men kräver multifaktorautentisering och kräver att enheten markeras som kompatibel.

1. Logga in på Microsoft Entra admincenter som administratör för villkorsstyrd åtkomst.
2. Bläddra till Skyddsprinciper> för villkorsstyrd åtkomst.>
3. Välj Ny princip.
4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.

   1. Under Inkludera väljer du Katalogroller och sedan alla roller med administratören i namnet.

      Varning

      Principer för villkorlig åtkomst stöder inbyggda roller. Principer för villkorsstyrd åtkomst tillämpas inte för andra rolltyper, inklusive administrativa enhetsomfattningar eller anpassade roller.

   2. Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.

   3. Välj Klar.

6. Under Målresurser>Resurser (tidigare molnappar)>Inkludera>Välj resurser väljer du Windows Azure Service Management API och väljer Välj.
7. Under Åtkomstkontroller>Bevilja väljer du Bevilja åtkomst, Kräv multifaktorautentisering och Kräv att enheten markeras som kompatibel och väljer sedan Välj.
8. Bekräfta inställningarna och ange Aktivera princip till På.
9. Välj Skapa för att skapa för att aktivera principen.

Princip 2: Alla användare med administratörsrollen åtkomst till Windows Azure Service Management API-molnappen, exklusive ett filter för enheter som använder regeluttrycket device.extensionAttribute1 är lika med SAW och för åtkomstkontroller, Blockera.

1. Välj Ny princip.
2. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
3. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.

   1. Under Inkludera väljer du Katalogroller och sedan alla roller med administratören i namnet

      Varning

      Principer för villkorlig åtkomst stöder inbyggda roller. Principer för villkorsstyrd åtkomst tillämpas inte för andra rolltyper, inklusive administrativa enhetsomfattningar eller anpassade roller.

   2. Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.

   3. Välj Klar.

4. Under Målresurser>Resurser (tidigare molnappar)>Inkludera>Välj resurser väljer du Windows Azure Service Management API och väljer Välj.
5. Under Villkor filtrerar du efter enheter.
   1. Växla Konfigurera till Ja.
   2. Ange Enheter som matchar regeln till Exkludera filtrerade enheter från principen.
   3. Ange egenskapen till ExtensionAttribute1, operatorn till Equals och värdet till SAW.
   4. Välj Klar.
6. Under Åtkomstkontroller>Bevilja väljer du Blockera åtkomst och sedan Välj.
7. Bekräfta inställningarna och ange Aktivera princip till På.
8. Välj Skapa för att skapa för att aktivera principen.

Ange attributvärden

Det går att ställa in tilläggsattribut via Microsoft Graph API. Mer information om hur du anger enhetsattribut finns i artikeln Uppdatera enhet.

Filtrera för enheter Graph API

Filtret för enhets-API:et är tillgängligt i Microsoft Graph v1.0-slutpunkten och kan nås med hjälp av slutpunkten https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Du kan konfigurera ett filter för enheter när du skapar en ny princip för villkorsstyrd åtkomst eller uppdatera en befintlig princip för att konfigurera filtret för enheternas villkor. Om du vill uppdatera en befintlig princip kan du göra ett korrigeringsanrop på Microsoft Graph v1.0-slutpunkten genom att lägga till princip-ID:t för en befintlig princip och köra följande begärandetext. Exemplet här visar hur du konfigurerar ett filter för enheters villkor, exklusive enheter som inte har markerats som SAW-enheter. Regelsyntaxen kan bestå av mer än ett enda uttryck. Mer information om syntaxen finns i regler för dynamiska medlemskapsgrupper för grupper i Microsoft Entra-ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Operatorer och enhetsegenskaper som stöds för filter

Följande enhetsattribut kan användas med filtret för enhetsvillkoret i villkorsstyrd åtkomst.

Principbeteende med filter för enheter

Filtret för enheters villkor i villkorsstyrd åtkomst utvärderar principen baserat på enhetsattribut för en registrerad enhet i Microsoft Entra-ID och därför är det viktigt att förstå under vilka omständigheter principen tillämpas eller inte tillämpas. Följande tabell illustrerar beteendet när ett filter för enheters villkor har konfigurerats.

Relaterat innehåll

• Tillbaka till skolan – Använda boolesk algebra korrekt i komplexa filter
• Uppdatera graph-API:et för enheten
• Villkor för villkorsstyrd åtkomst
• Vanliga principer för villkorsstyrd åtkomst