Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
如2023年10月 Microsoft数字防御报告 中所述，
...对数字和平的威胁降低了人们对技术的信任，凸显了在各个级别改善网络防御的迫切需要。
...在 Microsoft，我们的 10,000 多名安全专家每天分析超过 65 万亿个信号...推动了网络安全领域一些最具影响力的见解。 我们可以通过创新行动和集体防御来共同打造网络复原能力。
作为这项工作的一部分，我们将在全球的 Microsoft Entra 租户中提供由 Microsoft 管理的策略。 这些简化的条件访问策略需要多重身份验证，最近的研究发现，这可将入侵风险降低 99% 以上。
Microsoft管理的策略是如何工作的
至少分配有 Conditional Access Administrator 角色的管理员可以在 Azure Portal 中 Microsoft Entra ID 的 >安全性>条件访问>策略 下找到这些策略。
可以编辑策略的状态以及策略应排除的标识。 像其他条件访问策略一样，将中断或紧急访问帐户排除在管理策略之外。 如果需要进行的更改超出 Microsoft 托管策略允许的范围，请考虑复制这些策略。
在租户中引入这些策略后，如果这些策略处于“仅限报告”状态，Microsoft 将在不少于 45 天后启用这些策略。 可以更快地启用这些策略，也可以通过将策略状态设置为 “关闭”来选择退出。 在启用策略前 28 天，客户会收到电子邮件和 消息中心 帖子的通知。
注意
在某些情况下，策略的启用速度可能快于 45 天。 如果此更改适用于租户：
- 电子邮件和Microsoft 365邮件中心帖子中提到你收到的有关Microsoft托管策略的信息。
- Microsoft Entra管理中心的策略详细信息中提到了它。
策略
这些由 Microsoft 管理的策略允许管理员进行简单修改，例如排除用户或将其从仅报告模式转换为启用或停用。 组织无法重命名或删除任何 Microsoft 托管的策略。 当管理员更熟悉条件访问策略时，他们可能会选择复制策略以创建自定义版本。
随着威胁的发展，Microsoft可能会更新这些策略以使用新功能、功能或提高其有效性。 Microsoft 管理的条件访问策略会自动适应租户中的变化，从而保持一致的安全态势，而无需管理员采取任何行动。 由于Microsoft标识符合现有 MMP 策略资格条件的新用户、组或工作负载，因此它们将自动包含在策略的范围中。 这些更新不会修改策略的设置、条件或授予控件，并且始终保留任何管理员配置的排除项，以防止意外锁定。 这可确保随着租户的发展而保持最新覆盖范围，同时维护管理员的可预测行为。 Microsoft通过标准通知通道传达这些更新，以使租户保持知情。
阻止旧式身份验证
此策略阻止使用旧式身份验证和旧式身份验证协议进行登录尝试。 这些身份验证可能来自较旧的客户端（如 Office 2010）或使用 IMAP、SMTP 或 POP3 等协议的客户端。
根据Microsoft的分析，超过 99% 的密码喷射攻击使用这些旧式身份验证协议。 禁用或阻止基本身份验证即可阻止上述攻击。
阻止设备代码流
此策略阻止设备代码流，用户在一台设备上启动身份验证，在另一台设备上完成，其令牌将发送回原始设备。 这种类型的身份验证很常见，用户无法输入其凭据，例如智能电视、Microsoft Teams会议室设备、IoT 设备或打印机。
设备代码流很少被客户使用，但攻击者经常使用。 启用此由Microsoft管理的策略将有助于为您的组织消除此攻击向量。
用于访问Microsoft管理门户的管理员的多重身份验证
此策略涵盖高特权的 14 个管理员角色 ，这些角色访问 Microsoft管理门户，并要求他们执行多重身份验证。
此策略适用于 Microsoft Entra ID P1 和 P2 租户，其中未启用安全默认值。
提示
Microsoft管理的需要多重身份验证的策略不同于2024年宣布的强制要求Azure登录使用多重身份验证，该验证于2024年10月开始逐步推出。
针对所有用户的多重身份验证
此策略涵盖组织中的所有用户，并要求他们在登录时使用多重身份验证。 在大多数情况下，会话保留在设备上，用户与另一个应用程序交互时无需完成多重身份验证。
对按用户的多重身份验证用户进行多重身份验证
此策略涵盖了使用按用户 MFA（Microsoft 已不再推荐的一种配置）的用户。 条件访问提供了更好的管理员体验，其中包含许多额外功能。 将所有多重身份验证策略合并到条件访问中有助于更有针对性地要求进行多重身份验证，降低最终用户摩擦，同时保持安全态势。
此策略面向：
- 具有 Microsoft Entra ID P1 和 P2 许可用户的组织
- 未启用安全默认值的组织
- 启用或强制实施每用户 MFA 的用户数少于 500 人的组织
若要将此策略应用于更多用户，请复制该策略并更改分配。
提示
使用顶部的“编辑”铅笔图标修改 Microsoft 管理的按用户多重身份验证策略可能会导致“更新失败”错误。 若要解决此问题，请在该策略的“排除的标识”部分下选择“编辑”。
安全默认值策略
从使用安全默认值进行升级时，可以使用以下策略。
阻止旧式身份验证
此策略阻止旧式身份验证协议访问应用程序。 旧式身份验证是指通过以下方式发出的身份验证请求：
- 不使用新式身份验证的客户端（例如 Office 2010 客户端）
- 使用 IMAP、SMTP 或 POP3 等旧式邮件协议的任何客户端
- 任何登录都会尝试使用传统身份验证。
大部分存在危害性的登录尝试都来自旧式身份验证。 由于旧式身份验证不支持多重身份验证，因此攻击者可以使用较旧的协议绕过多重身份验证要求。
需要启用多重身份验证来管理 Azure
此策略涵盖所有用户尝试访问通过 Windows Azure 服务管理 API 管理的各种Azure服务，包括：
- Azure门户
- Microsoft Entra管理中心
- Azure PowerShell
- Azure CLI
用户必须完成多重身份验证才能访问这些资源。
要求管理员进行多重身份验证
此策略适用于具有高特权管理员角色的用户：
- 全局管理员
- 应用程序管理员
- 身份验证管理员
- 计费管理员
- 云应用管理员
- 条件访问管理员
- Exchange 管理员
- 服务台管理员
- 密码管理员
- 特权身份验证管理员
- 特权角色管理员
- 安全管理员
- SharePoint管理员
- 用户管理员
这些帐户必须使用多重身份验证登录到任何应用程序。
要求所有用户进行多重身份验证
此策略适用于组织中的所有用户，并要求对每次登录进行多重身份验证。 在大多数情况下，会话会保留在设备上，因此用户在与其他应用程序交互时无需完成多重身份验证。
监控和审查
托管策略和登录日志是两个位置，可在其中查看这些策略对组织的影响。
查看托管策略的 “策略影响 ”选项卡，查看策略如何影响环境的摘要。
分析 Microsoft Entra 登录日志以查看策略如何影响登录活动的详细信息。
- 登录到 Microsoft Entra 管理中心至少需要具备 Reports Reader 角色。
- 浏览到 Entra ID>监控和运行状况>登录日志。
- 使用以下部分或全部筛选器：
- 想要调查的特定事件时，请添加关联 ID。
- 通过Conditional Access查看策略失败和成功的情况。
- 使用用户名查看与特定用户相关的信息。
- 添加已限定到相关时间范围的日期。
- 选择特定的登录事件，然后选择 条件访问。
- 若要进一步调查，请选择 “策略名称 ”，向下钻取到策略的配置。
- 浏览其他选项卡以查看用于条件访问策略评估的客户端用户和设备详细信息。
常见问题
什么是条件访问？
条件访问是一项Microsoft Entra功能，允许组织在访问资源时强制实施安全要求。 条件访问通常用于强制实施多重身份验证、设备配置或网络位置要求。
这些策略可以视为“如果……那么……”的逻辑表达式。
如果分配（用户、资源和条件）为真，那么便应用策略中的访问控制（授权和/或会话）。 如果 (If) 你是想要访问某个 Microsoft 管理门户的管理员，那么 (then) 你必须执行多重身份验证来证明确实是你自己。
如果想要进行更多更改，该怎么办？
管理员可以选择在策略列表视图中使用“复制”按钮来复制这些策略，从而对其进行进一步更改。 此新策略可使用与任何其他条件访问策略相同的配置方式，从 Microsoft 推荐的位置开始。 请小心那些更改可能导致安全态势下降。
这些策略涵盖了哪些管理员角色？
- 全局管理员
- 应用程序管理员
- 身份验证管理员
- 计费管理员
- 云应用管理员
- 条件访问管理员
- Exchange 管理员
- 服务台管理员
- 密码管理员
- 特权身份验证管理员
- 特权角色管理员
- 安全管理员
- SharePoint管理员
- 用户管理员
如果我使用不同的解决方案进行多重身份验证，该怎么办？
使用 外部身份验证方法 的多重身份验证满足Microsoft托管策略的 MFA 要求。
通过联合标识提供者（IdP）完成多重身份验证后，它可能会满足Microsoft Entra ID MFA 要求，具体取决于配置。 有关详细信息，请参阅 使用来自联合 IdP 的 MFA 声明来满足 Microsoft Entra ID 的多重身份验证 (MFA) 控制。
如果我使用自定义控制措施，会发生什么？
自定义控件不满足多重身份验证声明要求。 如果你的组织使用自定义控件，则应 迁移到外部身份验证方法，以取代自定义控件。 外部身份验证提供程序必须支持外部身份验证方法，并提供集成所需的配置指南。
如何监视Microsoft更改这些策略或添加新策略时？
具有 AuditLog.Read.All 和 Directory.Read 权限的管理员可以查询审核日志，了解策略类别中Microsoft托管策略管理器启动的条目。