V rámci politik podmíněného přístupu v Microsoft Entra ID lze velmi granulárně konfigurovat, kdo má k čemu přístup a za jakých podmínek. A jednou z těchto podmínek může být i platforma (operační systém), ze které uživatel přistupuje.
Obecně se doporučuje blokovat vše, co není potřeba. Pokud tedy v rámci firmy používáte pouze počítače s Windows a mobilní telefony s Android a iOS, je vhodné blokovat všechny ostatní platformy. Co bychom rozhodně doporučili je blokování Windows Phone (aktuálně již dlouho neexistující platforma bez podpory) a všechny ostatní neznámé platformy. Neznámé platformy totiž mohou značit například podvržený User Agent String, podle kterého se určuje platforma ve webovém prohlížeči.
Jak blokovat neznámé platformy v Microsoft Entra ID pomocí politik podmíněného přístupu
Abychom mohli blokovat různé typy platforem, je potřeba vytvořit novou politiku podmíněného přístupu. Tu vytvoříme z Microsoft Entra admin center. V části Protection zvolte Conditional Access – Policies. Vytvořte novou politiku a libovolně si ji pojmenujte dle vaší standardní jmenné konvence pro politiky podmíněného přístupu.
Ideálně byste touto politikou měli cílit na všechny uživatele (kromě break-glass účtu samozřejmě) a všechny aplikace. V části Conditions si otevřete Device platforms a volbu zapněte. V Include nechte Any device a do Exclude dejte ty platformy, které chcete mít povolené. V části Access controls otevřete Grant a vyberte možnost Block access.
Je důležité to konfigurovat tímto způsobem, protože to je jediný bezpečný způsob. Viděli jsme u mnoha firem, že na to šli opačně – do Include zadali ty platformy, které chtěli zakázat, například již zmíněný Windows Phone nebo Linux. Jenže to nezahrnuje všechny ostatní a neznámé platformy, protože taková kategorie tam není. Je potřeba jít tedy tou cestou, že blokujete vše kromě vybraných platforem, které chcete mít povolené.
Chcete poradit s nastavením politik podmíněného přístupu? Projít společně s naším expertem best practices i u dalších politik? Nebo se společně podívat, jestli vám tam třeba nějaká důležitá politika nechybí? Ozvěte se nám!
