Microsoft fasst alle Authentifizierungsmethoden des Azure AD in einer Policy zusammen

Hinzu kommen weitere Methoden wie SMS, Sprachanrufe, OATH-TOTP-Tokens (Open Authentication Time-based One-time Password) mit Software von Drittanbietern wie etwa dem Google Authenticator sowie E-Mail-OTP (One-time Password).

Admins müssen nun die Methoden nicht mehr allen Benutzern zuweisen, sondern auch auf einzelne Gruppen beschränken. Dadurch lassen sich beispielsweise Pilotgruppen für den Test eines Verfahrens definieren oder auch weniger sichere Methoden wie SMS und Sprachanrufe auf ausgesuchte User eingrenzen.

Microsoft stellt ein Migration-Tool zur Verfügung, um Authentisierungs-Methoden in die neue Policy zu übertragen und sie dort zu testen.

Erweiterte Betrugserkennung

Anwender erhalten über die Authenticator-App oder per Telefon von Zeit zu Zeit verdächtige Authentisierungs­anfragen. Sie konnten sich dann bisher zu einer Block-Liste hinzufügen lassen, was Administratoren einige manuelle Arbeitsschritte abverlangte. Außerdem benötigten sie dafür globale Admin-Rechte.

Nun hat Microsoft die Betrugserkennung zusammen mit den Berichten über verdächtige Vorfälle in die neue Policy für die Authentisierungs­methoden verlegt und die Betrugswarnungen in den Identitäts­schutz integriert.

Sobald nun ein Anwender eine verdächtige Authentifizierungs­aufforderung meldet, wird sein Konto mit Benutzerrisiko hoch markiert. Der Administrator kann in einem solchen Fall per Policy durchsetzen, dass der Anwender beispielsweise sein Passwort ändert oder sich bei sämtlichen Diensten nur noch per MFA anmelden darf.