Freigeben über

Stärke der Multi-Faktor-Authentifizierung für externe Benutzer erfordern

Die Authentifizierungsstärke ist eine Steuerung für bedingten Zugriff, mit der Sie eine bestimmte Kombination aus Methoden der Multi-Faktor-Authentifizierung (MFA) definieren können, die ein externer Benutzer ausführen muss, um auf Ihre Ressourcen zugreifen zu können. Diese Zugriffssteuerung ist besonders nützlich, um den externen Zugriff auf vertrauliche Apps in Ihrer Organisation einzuschränken. Sie können beispielsweise eine Richtlinie für bedingten Zugriff erstellen, eine Phishing-resistente Authentifizierungsstärke in der Richtlinie erzwingen und diese Gastbenutzern und externen Benutzern zuweisen.

Microsoft Entra ID bietet drei integrierte Authentifizierungsstärken:

  • Stärke der Multi-Faktor-Authentifizierung (weniger restriktiv) empfohlen in diesem Artikel
  • Stärke der kennwortlosen MFA
  • Phishing-resistente MFA-Stärke (am restriktivsten)

Sie können eine der integrierten Stärken verwenden oder eine benutzerdefinierte Authentifizierungsstärke basierend auf den jeweils erforderlichen Authentifizierungsmethoden erstellen.

In Szenarien mit externen Benutzern variieren die MFA-Methoden, die ein Ressourcenmandant akzeptieren kann, abhängig davon, ob der Benutzer die MFA in seinem Basismandanten oder im Ressourcenmandanten durchführt. Ausführliche Informationen finden Sie unter Authentifizierungsstärke für externe Benutzer.

Hinweis

Derzeit können Sie Richtlinien zur Authentifizierungsstärke nur auf externe Benutzer anwenden, die sich mit Microsoft Entra ID authentifizieren. Verwenden Sie bei der Authentifizierung von Benutzern mit Einmal-Passcode per E-Mail, SAML-/WS-Fed- und Google-Verbund die MFA-Zugriffssteuerung „Gewähren“, um die MFA zu erzwingen.

Konfigurieren von mandantenübergreifenden Zugriffseinstellungen, um der MFA zu vertrauen

Richtlinien für die Authentifizierungsstärke arbeiten mit MFA-Vertrauensstellungseinstellungen in Ihren mandantenübergreifenden Zugriffseinstellungen zusammen, um zu bestimmen, wo und wie der externe Benutzer MFA durchführen muss. Zunächst authentifiziert sich ein Microsoft Entra-Benutzer mit seinem eigenen Konto bei seinem Heimmandanten. Wenn dieser Benutzer anschließend versucht, auf Ihre Ressource zuzugreifen, wendet Microsoft Entra ID die Richtlinie zur Authentifizierungsstärke für den bedingten Zugriff an und überprüft, ob Sie die MFA-Vertrauensstellung aktiviert haben.

  • Wenn die MFA-Vertrauensstellung aktiviert ist, überprüft Microsoft Entra ID die Authentifizierungssitzung des Benutzers auf einen Anspruch, der angibt, dass die MFA im Basismandanten des Benutzers ausgeführt wurde.
  • Wenn die MFA-Vertrauensstellung deaktiviert ist, fordert der Ressourcenmandant den Benutzer mittels einer Aufforderung auf, die MFA im Ressourcenmandanten mit einer zulässigen Authentifizierungsmethode abzuschließen.

Die Authentifizierungsmethoden, die externe Benutzer verwenden können, um die MFA-Anforderungen zu erfüllen, sind jeweils davon abhängig, ob der Benutzer die MFA in seinem Basismandanten oder im Ressourcenmandanten ausführt. Weitere Informationen finden Sie in der Tabelle unter Stärke der Authentifizierung für bedingten Zugriff.

Wichtig

Bevor Sie die Richtlinie für bedingten Zugriff erstellen, müssen Sie Ihre mandantenübergreifenden Zugriffseinstellungen überprüfen, um sicherzustellen, dass Ihre Einstellungen für eingehende Vertrauensstellungen für MFA ordnungsgemäß konfiguriert sind.

Ausschluss von Benutzern

Richtlinien für bedingten Zugriff sind leistungsstarke Tools. Es wird empfohlen, die folgenden Konten aus Ihren Richtlinien auszuschließen:

  • Notfallzugriffskonten oder Notfallkonten zum Verhindern einer Sperrung aufgrund von falsch konfigurierten Richtlinien. In dem unwahrscheinlichen Szenario, in dem alle Administratoren gesperrt sind, kann Ihr Administratorkonto für den Notfallzugriff verwendet werden, um sich anzumelden und den Zugriff wiederherzustellen.
  • Dienstkonten und Dienstprinzipale, z. B. das Konto für die Microsoft Entra Connect-Synchronisierung. Dienstkonten sind nichtinteraktive Konten, die nicht an einen bestimmten Benutzer gebunden sind. Sie werden in der Regel von Back-End-Diensten verwendet, um programmgesteuerten Zugriff auf Anwendungen zu ermöglichen, aber sie werden auch verwendet, um sich für administrative Zwecke bei Systemen anzumelden. Aufrufe von Dienstprinzipalen werden nicht durch Richtlinien für bedingten Zugriff blockiert, die für Benutzer gelten. Verwenden Sie bedingten Zugriff für Arbeitsauslastungsidentitäten, um Richtlinien zu definieren, die auf Dienstprinzipale abzielen.
    • Wenn Ihre Organisation diese Konten in Skripts oder Code verwendet, ersetzen Sie sie durch verwaltete Identitäten.

Richtlinie für bedingten Zugriff erstellen

Führen Sie die folgenden Schritte aus, um eine Richtlinie für bedingten Zugriff zu erstellen, die eine Authentifizierungsstärke auf externe Benutzer anwendet.

Warnung

Wenn Sie externe Authentifizierungsmethoden verwenden, sind diese derzeit nicht mit der Authentifizierungsstärke kompatibel, und Sie sollten die Steuerung der mehrstufigen Authentifizierungserteilung verwenden.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Unternehmen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
  5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
    1. Wählen Sie unter Einschließen die Option Benutzer und Gruppen auswählen aus, und wählen Sie dann Gastbenutzer oder externe Benutzer aus.
      1. Wählen Sie die Typen von Gastbenutzern oder externen Benutzern aus, auf die Sie die Richtlinie anwenden möchten.
    2. Wählen Sie unter Ausschließen die Option Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.
  6. Wählen Sie unter Zielressourcen>Ressourcen (früher Cloud-Apps) unter Einschließen oder Ausschließen alle Anwendungen aus, die Sie in die Anforderungen für die Authentifizierungsstärke einschließen oder ausschließen möchten.
  7. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff gewähren aus.
    1. Wählen Sie Authentifizierungsstärke erfordern aus, und wählen Sie dann in der Liste die geeignete integrierte oder benutzerdefinierte Authentifizierungsstärke aus.
    2. Wählen Sie Auswählen aus.
  8. Bestätigen Sie die Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
  9. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Zugehöriger Inhalt