Conditional Access: Richtlinien zur Sicherung von Cloud-Ressourcen in Azure AD erstellen

Sobald Sie auf die Seite zur Konfiguration des bedingten Zugriffs gewechselt sind, klicken Sie auf die Schaltfläche New policy.

Nach der Benennung der Policy definiert man im ersten Bereich der Konfiguration die Benutzer oder Gruppen, denen die Richtlinie zugewiesen wird. Sie haben hier die Möglichkeit, Benutzer sowohl einzuschließen als auch auszuschließen.

Beachten Sie die Radio Buttons, die Ihnen eine granulare Auswahl ermöglichen, indem Sie entweder alle Benutzer oder bestimmte User und Gruppen auswählen.

Als Nächstes können Sie den Geltungs­bereich der Policy abhängig auf bestimmte Anwen­dungen einschränken. Ähnlich wie bei der Auswahl der Benutzer lassen sich Applikationen ein- oder ausschließen. Wir wählen in unserem Beispiel Office 365 als die Anwendung aus, für welche die Richtlinie gelten soll.

Der Abschnitt Conditions bzw. Bedingungen bietet zusätzliche Optionen, um die Richtlinie für den bedingten Zugriff weiter einzugrenzen. Hier können Sie wählen, ob die Policy abhängig von folgenden Kriterien angewendet werden soll:

• Geräteplattformen: Richtlinie gilt für ausgewählte Betriebssysteme
• Standorte: Policy greift abhängig von dem IP-Bereich, von dem aus sich der Benutzer anmeldet
• Client-Apps: Gültig für eine bestimmte Software, mit welcher der Benutzer auf die Cloud-App zugreift
• Gerätestatus: Gibt an, ob das Gerät, von dem sich der Benutzer anmeldet, Hybrid Azure AD beigetreten ist oder als konform markiert ist
• Benutzerrisiko: Stufen (hoch, mittel, niedrig), die für die Erzwingung der Richtlinie erforderlich sind
• Anmelderisiko: Die Wahrscheinlichkeit, dass die Anmeldung von einer anderen Person als dem Benutzer stammt

Wir wählen, wie in der nächsten Abbildung ersichtlich, die Geräte­plattform als Bedingung für die Anwendung der Richtlinie. Beachten Sie, dass man auch hier Betriebssysteme ein- oder ausschließen kann.

Nach dem Festlegen der Bedingungen, die für die Richtlinie gelten sollen, können Sie auswählen, ob Sie den Benutzerzugriff sperren oder gewähren möchten. Die Option Grant Access lässt sich über mehrere interessante Einstellungen differenzieren. Dazu gehören:

• Erfordert mehrstufige Authentifizierung
• Markieren des Geräts als kompatibel erforderlich
• In Azure AD eingebundenes Hybridgerät erforderlich
• Genehmigte Client-App erforderlich
• App-Schutzrichtlinie erforderlich

Wir gewähren in dieser Richtlinie den Zugriff und verlangen eine Multifaktor-Authentifizierung für Benutzer, die mit einem beliebigen Gerätetyp auf Office 365 zugreifen dürfen.

Der letzte Abschnitt betrifft die Konfiguration der Sitzung. Dort können Sie den Benutzerzugriff innerhalb bestimmter Cloud-Anwendungen einschränken. Die folgenden Einstellungen sind verfügbar:

• Von der App erzwungene Einschränkungen verwenden
• App-Steuerung für bedingten Zugriff verwenden
• Anmeldehäufigkeit
• Beständige Browser-Sitzung

Das Beispiel in der folgenden Anmeldung zeigt, wie man über die Anmeldehäufigkeit eine Zeitspanne festlegt, nach der sich ein Benutzer erneut authentifizieren muss, wenn er auf eine Ressource zuzugreifen möchte.

Nun kann die Richtlinie erstellt werden. Mit dem Schalter Richtlinie aktivieren haben Sie die Möglichkeit, die Policy auf folgende Arten zu betreiben:

• Nur Bericht: Die Richtlinie wird in einem Überwachungs­modus erstellt, in dem Verstöße protokolliert, aber nicht blockiert werden
• Ein: Die Richtlinie wird aktiviert und durchgesetzt
• Aus: Die Richtlinie wird erstellt, aber ausgeschaltet

Falls Sie die Sicherheits­standards aktiviert haben, die Microsoft als Best Practice empfiehlt, dann wird eine Warnung angezeigt, wonach Sie diese Vorgabewerte erst deaktivieren müssen, bevor Sie Ihre Umgebung mit eigenen Richtlinien steuern können.

Sie können die Sicherheits­standards ausschalten, indem Sie im Azure-Portal zu den Eigenschaften des Azure Active Directory navigieren. Wählen Sie Sicherheits­standards verwalten > Sicherheits­standards aktivieren und ändern Sie die Einstellung auf Nein.

Die Richtlinie für bedingten Zugriff wurde in unserem Beispiel erfolgreich im Nur-Bericht-Modus erstellt.

Zusammenfassung

Richtlinien für Microsofts Conditional Access bieten flexible Möglichkeiten für Unternehmen, die Sicherheit außerhalb der lokalen Active Directory-Umgebung zu erhöhen. Sie sichern die Verbindungen zu Cloud-Anwendungen wie Office 365 zusätzlich ab und vermindern die Risiken für Mitarbeiter, die sich an beliebigen Standorten außerhalb der Firma befinden.

Sie bieten verschiedenste Optionen, die auf Benutzer, Geräte, Standorte und Sitzungen angewendet werden können. Wie gezeigt, ist die Erstellung von Policies für Conditional Access ziemlich einfach und kann mit dem in Azure integrierten Assistenten erfolgen.