1.2K
En una infraestructura local tradicional, el administrador del sistema tiene control total sobre el acceso de los usuarios a los recursos corporativos. Al utilizar soluciones en la nube, el acceso a los recursos se puede realizar tanto desde la red corporativa como desde el exterior. Condición de acceso (CA) es una función de Azure Active Directory que se puede usar para permitir o denegar el acceso a los recursos de la empresa según el usuario, el dispositivo, la ubicación, la 2FA y otros factores. Condition Access le permite aumentar drásticamente la seguridad de sus recursos sin complicar el acceso de los usuarios.
El mecanismo de acceso condicional consiste en validar cada proceso de conexión al recurso en función de un escenario personalizado y una decisión que determina qué hacer con esa conexión. En una política de acceso condicional, puede denegar el acceso, permitir sin condiciones o permitir con condiciones.
El acceso condicional le permite usar diferentes condiciones al otorgar acceso a un usuario a un recurso:
- ¿El usuario es miembro de un grupo específico de Azure AD?
- ¿A qué aplicación en la nube está tratando de conectarse el usuario?
- ¿Está conectado desde un dispositivo controlado o no (se unió a Intune/Hybrid Azure AD)?
- ¿Desde qué dirección IP/subred intenta conectarse el usuario? ¿El usuario se está conectando desde fuera de la red de la empresa?
- ¿Qué tipo de cliente está usando el usuario (una aplicación en una computadora, teléfono o navegador)?
- etc.
Puede combinar estas condiciones para proporcionar el más alto nivel de protección al acceder a sus recursos corporativos.
Nota. Tenga cuidado al crear políticas de acceso condicional. Es recomendable excluir el grupo de administradores globales de sus políticas de acceso condicional para evitar perder el acceso al arrendatario de Azure.
Las políticas de acceso condicional de Azure Active Directory (AAD) están disponibles con las suscripciones de Microsoft 365 Business (anteriormente solo estaba disponible para los suscriptores premium de Azure AD).
Inicie sesión en su inquilino en Portal azur como administrador y vaya a Azure AD > Seguridad > Políticas de acceso condicional sección.
De forma predeterminada, las políticas de acceso condicional no se crean en un arrendatario de Azure. Puede crear una nueva política manualmente o usando plantillas (actualmente en modo de vista previa).
Hacer clic Nueva política a partir de plantilla (versión preliminar).
Relacionado. Consulte nuestro artículo sobre cómo crear una entidad de servicio de Azure.
Las siguientes plantillas de seguridad están disponibles para usted:
Políticas condicionales para identidades (le permite asegurarse de que todas las identidades realicen una autenticación sólida cuando estén conectadas):
- Requerir autenticación multifactor para administradores: la política requiere el uso obligatorio de MFA para algunas funciones administrativas;
- Asegurar el registro de información de seguridad: cuándo y cómo los usuarios se registran para la autenticación multifactor y la contraseña de autoservicio de Azure AD;
- Bloquear autenticación heredada: la política bloquea el acceso a través de protocolos de autenticación heredados que no admiten la autenticación multifactor (MFA);
- Requerir autenticación multifactor para todos los usuarios;
- Requerir autenticación multifactor para el acceso de invitados;
- Requerir autenticación multifactor para la administración de Azure: requisito de MFA para que los usuarios inicien sesión en servicios basados en la API de Azure Resource Manager (Azure Portal, Azure CLI, PowerShell);
- Requerir autenticación multifactor para inicios de sesión riesgosos, si se detecta que el riesgo de inicio de sesión es medio o alto (requiere una licencia de Azure AD Premium 2);
- Requerir cambio de contraseña para usuarios de alto riesgo.
Políticas condicionales para dispositivos (le permite configurar reglas para verificar los dispositivos que se conectan a su red):
- Requerir un dispositivo unido a Azure AD compatible o híbrido para los administradores;
- Bloquear el acceso para plataformas de dispositivos desconocidas o no compatibles;
- Sin sesión persistente del navegador: permite evitar que las sesiones del navegador permanezcan conectadas después de cerrar el navegador y establecer una frecuencia de inicio de sesión de 1 hora;
- Requerir aplicaciones de cliente aprobadas y protección de aplicaciones: implementar aplicaciones de cliente de autenticación modernas con protección de aplicaciones de Intune;
- Requerir dispositivo unido a Azure AD híbrido o compatible o autenticación multifactor para todos los usuarios, solo para dispositivos Windows y macOS;
- Use las restricciones impuestas por la aplicación para dispositivos no administrados.
Intentemos crear su propia política de acceso condicional en Azure.
Hacer clic Nueva politica en la hoja de política de acceso condicional de AAD y establezca el nombre de la política.
En el Tareas sección, debe especificar las condiciones para aplicar la política;
Usuarios y grupos — qué usuarios están cubiertos por la póliza. Estos pueden ser todos los usuarios de Azure AD o grupos/usuarios específicos. Las excepciones se pueden especificar por separado.
aplicaciones en la nube — seleccione aplicaciones registradas con Azure AD (puede seleccionar más de una aplicación en la nube de Azure).
referente. Aprenda a habilitar MFA en Azure AD.
Las condiciones adicionales se especifican en el Condiciones sección.
- Nivel de riesgo del usuario — configurar los niveles de riesgo del usuario necesarios para que se aplique la política (Alto, Medio o Bajo);
- Riesgo de inicio de sesión — un mecanismo para evaluar el riesgo de autorización (desde dónde, a qué hora, con qué cliente, qué tan común es este comportamiento, etc.). Azure puede verificar algunos riesgos de inicio de sesión: viajes atípicos, viajes imposibles, token anómalo, anomalía del emisor del token, navegador sospechoso, dirección IP vinculada a malware, actividad desde una dirección IP anónima, acceso masivo a archivos confidenciales, etc. Una licencia de Azure AD Premium 2 se requiere.
Nota. Consulte nuestra guía sobre cómo cambiar el tamaño del disco de la máquina virtual de Azure.
A continuación, debe configurar qué hará o requerirá exactamente la política.
Conceder — puede bloquear el acceso o permitir y solicitar medidas de seguridad adicionales.
Luego debe seleccionar su modo de política condicional:
- Solo informe — la política se usa solo para rastrear y registrar los eventos de violación. El acceso de usuarios y dispositivos no está bloqueado;
- En — la política está habilitada y aplicada;
- Apagado — la política está desactivada.
No podrá cambiar sus políticas de acceso condicional a En a menos que deshabilite los valores predeterminados de seguridad en Office 365 (Directorio activo de Azure > Propiedades > Administrar valores predeterminados de seguridad).
Configurar políticas de acceso condicional en Azure Portal es rápido y fácil. PowerShell se puede usar con Microsoft Graph para configurar políticas de CA complejas o en scripts de implementación de automatización.
