Kräv multifaktorautentiseringsstyrka för externa användare

  • Artikel

Autentiseringsstyrka är en kontroll för villkorsstyrd åtkomst som gör att du kan definiera en specifik kombination av MFA-metoder (multifaktorautentisering) som en extern användare måste slutföra för att få åtkomst till dina resurser. Den här kontrollen är särskilt användbar för att begränsa extern åtkomst till känsliga appar i din organisation. Du kan till exempel skapa en princip för villkorsstyrd åtkomst, kräva en nätfiskebeständig autentiseringsstyrka i principen och tilldela den till gäster och externa användare.

Microsoft Entra ID har tre inbyggda autentiseringsstyrkor:

  • Multifaktorautentiseringsstyrka (mindre restriktiv) rekommenderas i den här artikeln
  • Lösenordslös MFA-styrka
  • Nätfiskebeständig MFA-styrka (mest restriktiv)

Du kan använda en av de inbyggda styrkorna eller skapa en anpassad autentiseringsstyrka baserat på de autentiseringsmetoder som du vill kräva.

I externa användarscenarier varierar MFA-autentiseringsmetoderna som en resursklient kan acceptera beroende på om användaren slutför MFA i sin hemklient eller i resursklientorganisationen. Mer information finns i Autentiseringsstyrka för externa användare.

Kommentar

För närvarande kan du bara tillämpa autentiseringsprinciper för externa användare som autentiserar med Microsoft Entra-ID. För engångslösenord för e-post, SAML/WS-Fed och Google-federationsanvändare använder du MFA-beviljandekontrollen för att kräva MFA.

Konfigurera åtkomstinställningar mellan klientorganisationer för att lita på MFA

Principer för autentiseringsstyrka fungerar tillsammans med MFA-förtroendeinställningar i inställningarna för åtkomst mellan klientorganisationer för att avgöra var och hur den externa användaren måste utföra MFA. En Microsoft Entra-användare autentiserar först med sitt eget konto i sin hemklientorganisation. När den här användaren sedan försöker komma åt din resurs tillämpar Microsoft Entra-ID principen för villkorsstyrd åtkomst för autentiseringsstyrka och kontrollerar om du har aktiverat MFA-förtroende.

  • Om MFA-förtroende är aktiverat kontrollerar Microsoft Entra-ID användarens autentiseringssession för ett anspråk som anger att MFA har uppfyllts i användarens hemklientorganisation.
  • Om MFA-förtroende är inaktiverat ger resursklienten användaren en utmaning att slutföra MFA i resursklientorganisationen med hjälp av en acceptabel autentiseringsmetod.

De autentiseringsmetoder som externa användare kan använda för att uppfylla MFA-kraven skiljer sig beroende på om användaren slutför MFA i sin hemklient eller resursklientorganisation. Se tabellen i autentiseringsstyrkan för villkorsstyrd åtkomst.

Viktigt!

Innan du skapar principen för villkorsstyrd åtkomst kontrollerar du inställningarna för åtkomst mellan klientorganisationer för att se till att dina inställningar för inkommande MFA-förtroende har konfigurerats som avsett.

Användarundantag

Principer för villkorlig åtkomst är kraftfulla verktyg. Vi rekommenderar att du undantar följande konton från dina principer:

  • Nödåtkomst eller break-glass-konton för att förhindra utelåsning på grund av felkonfiguration av principer. I det osannolika scenariot är alla administratörer utelåst, kan ditt administratörskonto för nödåtkomst användas för att logga in och vidta åtgärder för att återställa åtkomsten.
  • Tjänstkonton och tjänstens huvudnamn, till exempel Microsoft Entra Connect Sync-kontot. Tjänstkonton är icke-interaktiva konton som inte är knutna till någon viss användare. De används normalt av serverdelstjänster som tillåter programmatisk åtkomst till program, men används även för att logga in på system i administrativa syften. Anrop som görs av tjänstens huvudnamn blockeras inte av principer för villkorsstyrd åtkomst som begränsas till användare. Använd villkorsstyrd åtkomst för arbetsbelastningsidentiteter för att definiera principer som riktar sig till tjänstens huvudnamn.
    • Om din organisation har dessa konton som används i skript eller kod kan du överväga att ersätta dem med hanterade identiteter.

Skapa en princip för villkorsstyrd åtkomst

Använd följande steg för att skapa en princip för villkorsstyrd åtkomst som tillämpar en autentiseringsstyrka för externa användare.

Varning

Om du använder externa autentiseringsmetoder är dessa för närvarande inkompatibla med autentiseringsstyrka och du bör använda beviljandekontrollen Kräv multifaktorautentisering .

  1. Logga in på Microsoft Entra admincenter som administratör för villkorsstyrd åtkomst.
  2. Bläddra till Skyddsprinciper> för villkorsstyrd åtkomst.>
  3. Välj Ny princip.
  4. Ge principen ett namn. Vi rekommenderar att organisationer skapar en meningsfull standard för namnen på sina principer.
  5. Under Tilldelningar väljer du Användare eller arbetsbelastningsidentiteter.
    1. Under Inkludera väljer du Välj användare och grupper och sedan Gästanvändare eller externa användare.
      1. Välj de typer av gästanvändare eller externa användare som du vill tillämpa principen på.
    2. Under Exkludera väljer du Användare och grupper och väljer organisationens konton för nödåtkomst eller break-glass.
  6. Under Målresurser>Resurser (tidigare molnappar), under Inkludera eller Exkludera, väljer du alla program som du vill inkludera i eller exkludera från kraven på autentiseringsstyrka.
  7. Under Åtkomstkontroller>Bevilja väljer du Bevilja åtkomst.
    1. Välj Kräv autentiseringsstyrka och välj sedan lämplig inbyggd eller anpassad autentiseringsstyrka i listan.
    2. Välj Välj.
  8. Bekräfta inställningarna och ange Aktivera princip till Endast rapport.
  9. Välj Skapa för att skapa för att aktivera principen.

När du har bekräftat inställningarna med läget endast rapport kan en administratör flytta växlingsknappen Aktivera princip från Endast rapport till På.

Relaterat innehåll