Begin met noodaccounts
Voordat u policies aanzet, richt u minimaal twee noodaccounts in. Dit zijn cloudaccounts met de rol Globale beheerder die u alleen gebruikt als normale beheertoegang niet meer werkt, bijvoorbeeld door een fout in een policy. Bescherm ze met een sterke, phishingbestendige aanmeldmethode, bewaar de gegevens veilig en stel een melding in bij elke aanmelding. Microsoft adviseert deze accounts uit te sluiten van de meeste Conditional Access-policies.
De basisset
De volgende policies vormen voor de meeste organisaties een goed vertrekpunt. Microsoft biedt hiervoor ook sjablonen aan in het Entra-beheercentrum.
- MFA vereisen voor alle gebruikers, voor alle resources.
- Verouderde authenticatie blokkeren, zodat protocollen zonder MFA-ondersteuning niet meer kunnen worden gebruikt.
- Phishingbestendige MFA vereisen voor beheerdersrollen.
- MFA vereisen voor gastgebruikers.
- Een beheerd of compatibel apparaat vereisen voor toegang tot bedrijfsdata, of downloads beperken op onbeheerde apparaten.
- MFA vereisen voor het registreren of koppelen van apparaten en voor het registreren van beveiligingsgegevens.
Aanvullend met Entra ID P2
Met Entra ID P2 kunt u risicogebaseerde policies toevoegen. Bij een verhoogd aanmeldrisico vraagt Entra ID om aanvullende verificatie. Bij een verhoogd gebruikersrisico, bijvoorbeeld wanneer inloggegevens zijn uitgelekt, moet de gebruiker een veilige wachtwoordwijziging doorlopen of wordt toegang geblokkeerd tot een beheerder ingrijpt.
Uitrollen zonder verrassingen
Zet elke policy eerst in rapportagemodus en bekijk een of twee weken de resultaten in het aanmeldlogboek. Inventariseer serviceaccounts, scanners en koppelingen die nog via verouderde protocollen werken. Informeer gebruikers voordat MFA of apparaatvereisten ingaan en zorg dat de servicedesk weet wat er verandert. Rol daarna gefaseerd uit, bijvoorbeeld eerst voor ICT, dan per afdeling.
Geef policies een duidelijke naam
Met tien of twintig policies wordt het overzicht snel lastig. Gebruik een vaste naamgeving die laat zien voor wie de policy geldt, voor welke resource en wat hij doet. Documenteer per policy het doel en de uitzonderingen. Bij een wijziging of incident ziet een beheerder dan direct welke policy een aanmelding heeft toegestaan of geblokkeerd.