Wat is Conditional Access?
Conditional Access is het beleidsmechanisme van Microsoft Entra ID, de identiteitsdienst achter Microsoft 365. Bij elke aanmelding beoordeelt Entra ID een aantal signalen: wie meldt zich aan, met welk apparaat, vanaf welke locatie en voor welke applicatie. Op basis daarvan wordt toegang toegestaan, toegestaan onder voorwaarden of geblokkeerd.
Een voorwaarde kan bijvoorbeeld zijn dat de gebruiker meervoudige authenticatie uitvoert, dat het apparaat door de organisatie wordt beheerd of dat de gebruiker de gebruiksvoorwaarden accepteert.
De opbouw van een policy
Elke policy bestaat uit toewijzingen en toegangsregels. De toewijzingen bepalen wanneer de policy geldt. De toegangsregels bepalen wat er dan gebeurt.
- Gebruikers en groepen: voor wie geldt de policy, en wie is uitgezonderd?
- Doelresources: om welke applicaties of acties gaat het?
- Voorwaarden: platform, locatie, type client, apparaatfilters en, met de juiste licentie, aanmeldrisico.
- Toekennen: blokkeren, of toestaan onder voorwaarden zoals MFA of een compatibel apparaat.
- Sessie: bijvoorbeeld hoe vaak opnieuw moet worden aangemeld.
Welke licentie hebt u nodig?
Conditional Access vraagt Microsoft Entra ID P1. Die licentie zit onder meer in Microsoft 365 Business Premium en Microsoft 365 E3. Policies op basis van gebruikers- of aanmeldrisico vragen Entra ID P2, onderdeel van Microsoft 365 E5 of los aan te schaffen. Hebt u geen van deze licenties, dan zijn de standaardinstellingen voor beveiliging uw belangrijkste basismaatregel.
Rapportagemodus en testen
Een nieuwe policy kunt u eerst in rapportagemodus zetten. Entra ID registreert dan wat de policy zou hebben gedaan, zonder hem af te dwingen. Met het aanmeldlogboek en de What If-functie ziet u welke gebruikers en aanmeldingen zouden worden geraakt. Zet een policy pas aan als duidelijk is wat de gevolgen zijn. Een policy die maandenlang in rapportagemodus blijft staan, beschermt niets.
Uitzonderingen zijn het grootste risico
In de praktijk zit de zwakte zelden in de policy zelf, maar in de uitzonderingen. Een groep die ooit is uitgezonderd voor een migratie, een serviceaccount zonder MFA of een vertrouwde locatie die het hele internet van een provider omvat. Leg elke uitzondering vast met een reden, een eigenaar en een einddatum, en controleer ze periodiek.