Nastavení tenanta 06 Conditional Access Policies!

📘 Kompletní příručka Nastavení tenanta v jednom PDF Tento článek je součástí série. Všechny díly + screenshoty v jednom dokumentu: stáhnout PDF .

Conditional Access Policies neboli CAP jsou hlavním ochranným prvkem po silných a unikátních heslech, a proto pokud máte tu možnost, tak si je rozhodně nastavte.

V dnešní článku si ukáže prvních pár, v příštím článku si ukážeme zbytek. Velmi důležitá věc, než začneme, buďte s implementací CAP opatrní a mějte vždy alespoň jeden účet, který je ze všech politik vyjmutý a je Globální Administrátor!!! První věc, co musíte udělat před nastavením CAP je vypnout tzv. Security defaults.

Teď na nastavení CAP! První věc, kterou nastavíme je require MFA for admin (vynucení MFA pro administrátory) a použijeme na to už předvytvořenou šablonu od Microsoftu. Otevřete si portál Entra, přejděte k protection a pod tím Conditional Access. Poté klikněte na New policy from template. Zezačátku nechte politiky v módu Report Only, zjednoduší vám to doladění a testování. Taky silně doporučuji nastavit si jmennou konvenci u CAP a přidat do jména číslo politiky, velmi vám to usnadní řešení problémů. Rozklikněte si politiku a klikněte na Users. Do Exclude dejte skupinu/y nebo uživatele, kteří mají být vyřazeni. To znamená ten jeden Global Administrator účet. Tato politika se bude vztahovat na vybrané administrátorské role a nebude se vztahovat na vyřazený účet. Pod tím v Target resources vidíme, že se bude vztahovat na All cloud apps. Potom dlouho nic a až u Access Control pod záložkou Grant vidíme, že je vynucené více faktorové ověřování.

Jedna důležitá věc, kterou bych rád zmínil je, že politiky se můžou vztahovat, jak na zařízení, tak na uživatele, ale ne zároveň. Nesmí se míchat!

Teď přejdeme k další politice, a to je Block Legacy Authentication. Zase ji pojmenujte a nechte v módu Report Only. Toto nastavení mám zapnuté pro všechny uživatele vyjma dvou skupin, ve kterých mám účet poslední záchrany a vyřazené uživatele. Zase mám nastavené na All cloud apps. Kde se ale nastavení mění je u Conditions, kde mám nastavené blokování zastaralých autentizačních klientů, jako je SMTP, POP, IMAP a další. Pokud máte nějaká zařízení, která se přes profil ověřují u Entra ID pomocí některého z těchto protokolů, tak je přidejte do Exclude

Na závěr

Kuchařku najdete ZDE