Microsoft 365 mit Intune-Compliance und Conditional Access absichern

Wird nämlich die Identität eines Anwenders kompromittiert, dann können sich Angreifer auf weitere Cloud-Dienste und damit verbundene Konten (Lateral Movement) ausbreiten.

Häufig implementieren Unternehmen daher eine so genannte Zero-Trust-Strategie. In diesem Zusammenhang könnten Sie sich beispielsweise fragen, ob der Zugriff auf M365-Services von jedem beliebigen Endgerät erlaubt sein soll oder ob Sie höhere Anforderungen stellen möchten.

Die Rolle von Intune

Intune kann nicht nur Endgeräte verwalten, die von Mitarbeitern im eigenen Unternehmen verwendet werden. Vielmehr eignet es sich auch für BYOD-Szenarien, etwa für Notebooks von Außen­dienst­mitarbeitern oder private PCs im Home-Office.

Intune überprüft dann registrierte Endgeräte daraufhin, ob sie mit den Compliance-Richtlinien eines Unternehmens übereinstimmen (zum Beispiel Secure-Boot, BitLocker-Verschlüsselung, Viren-Scanner, u.v.m.) und verleiht bei bestandener Prüfung eine Art Gütesiegel.

Das Konzept erinnert an die Network Access Protection (NAP) in früheren Versionen von Windows Server.

Richtlinie für Conditional Access einrichten

Eine Conditional-Access-Richtlinie im Azure AD könnte dann die Registrierung eines Gerätes in Intune als Bedingung (Condition) verwenden, um den Zugriff auf Cloud-Dienste wie Microsoft 365 oder Teams zu steuern.

Eine Conditional Access Policy für den Zugriff auf M365-Dienste lässt sich mit einer Bedingung vom Typ Intune Enrolled and Compliant Device erstellen ("Require device to be marked as compliant").

Fazit

Die Kombination aus Azure AD Hybrid Join, der Azure AD-Geräte­verwaltung und einem Intune-Enrollment der AD DS-Clients sowie einer Richtlinie für Conditional Access erhöht die Sicherheit für den Zugriff auf M365-Dienste ganz erheblich. Sie lässt sich relativ einfach einrichten, wenn man das Zusammen­spiel der Komponenten verstanden hat.