设置Azure条件访问+多因素身份验证MFA

教程

建立Azure条件访问+多因素认证MFA。今天的网络威胁环境不断演变。以前，可以认为您的帐户只需要密码就安全了。现在不行了。网络犯罪已经演变，网络罪犯已经设计出新的、复杂的方法来窃取密码，使密码不再足够安全，公司已经注意到了。

因此，Azure AD中的条件访问策略是为了让您根据不同的条件和标准保护Microsoft 365应用程序而设计的对策。该策略允许您在特定情况下提示用户进行多因素认证。

本文是对Microsoft Azure中条件访问和多因素认证策略的全面分析，以及如何为您的帐户设置这些策略。还可阅读Azure安全最佳实践 – 合规性（清单）

Azure中的条件访问策略是什么？

现代安全系统的边界不仅包括网络，还包括用户的设备及其身份。因此，当今许多组织基于身份驱动的信号来做出访问控制决策。这就是为什么，Azure是这一点的优秀例证。Azure AD条件访问将信号集成用于决策制定和策略执行。

I’d phrase Conditional Access policies as a statement: if a certain user wants to access a certain resource, then they need to pass a security measure. For example, if a user wants to access their account in Azure, then they need to do multi factor authentication to access it.

需要注意的是，条件访问策略是在完成第一因素认证之后执行的。根据用户是否通过了前面的条件，条件访问策略要么授予访问权限，要么阻止访问。

最常见的条件访问策略包括：

要求管理用户进行多因素认证。
阻止来自显示可疑行为的设备的登录。
要求对Azure管理任务进行多因素认证。
限制或允许从指定位置访问。
要求可信位置进行Azure AD多因素认证注册。

另请阅读使用PowerShell创建Active Directory安全报告

什么是多因素认证？

这里有一个有趣的统计数据：网络犯罪分子已经从不安全的系统中窃取了几乎150亿个机密凭据。如果他们获取了您的凭据，可能会导致机密数据丢失，以及对您的公司造成重大的财务和声誉损害。这就是为什么多因素认证变得至关重要。

简而言之，多因素认证旨在加强您的系统防御，以防止此类攻击。

采用多因素认证并不会消除用户名和密码。相反，它是在另一种验证方法上增加了一层，以确保只有授权人员才能获得访问权限，而欺诈者则被拒之门外。

此外，多因素认证已被证明在防止黑客攻击方面非常有效。据微软称，MFA的有效性如此之高，以至于它几乎可以100%阻止账户被黑。它虽然简单，但非常有效。

超过55%的组织使用多因素认证来保护他们的系统，而且这个数字每年都在增长，越来越多的组织认识到实施它的重要性。微软Azure在这方面处于领先地位，这并不令人意外。

还请阅读Azure AD组类型解析 – 安全/Microsoft 365组

它是如何工作的？

多因素认证通过结合至少两个不同的因素来加强系统的防御。一个是您熟悉的东西，例如您的电子邮件地址或用户名和密码。然后另一个因素是：

您拥有的东西（您的手机、钥匙卡，甚至是您的USB）或您是的东西（虹膜扫描、指纹或其他任何生物识别数据）

A typical MFA process in Azure has the following sequence of events:

注册：一个人将某些东西链接到系统，例如，他们的电话号码。
登录：用户然后输入他们的用户名和密码以进入系统。
验证：系统随后与已注册的物品连接。接着，向用户的手机发送一个验证码。如果用户使用的是身份验证器应用程序，则系统会显示一个二维码，用户扫描该二维码后，会得到一个验证码。
获取访问权限：用户输入发送给他们的验证码后，即可获得访问权限。