Conditional Access a MFA v Microsoft 365
Kedy stačí heslo a kedy treba viac
Multifaktorová autentifikácia rieši otázku „ako presne dokáže používateľ, že je to naozaj on" — tomu sme sa podrobne venovali v samostatnom článku o MFA. Zostáva však druhá, rovnako dôležitá otázka: kedy presne má firma tento dôkaz vôbec vyžadovať, a kedy stačí bežné prihlásenie? V Microsoft 365 na to slúži Conditional Access (podmienený prístup) — súčasť Microsoft Entra ID, ktorá podľa vopred nastavených podmienok rozhoduje, či prístup povoliť, zablokovať, alebo ho podmieniť dodatočným krokom.
Čo je Conditional Access a ako súvisí s MFA
Conditional Access je „if-then" politický nástroj v Microsoft Entra ID (predtým Azure AD): ak nastane určitá kombinácia podmienok, vynúť konkrétnu akciu. MFA je pritom len jednou z možných akcií, ktoré takáto politika môže vyžadovať — nie je to náhrada za Conditional Access, ale jeho najčastejší nástroj. Bez Conditional Access sa dá MFA nastaviť len plošne pre všetkých a všade (napríklad cez zjednodušené „security defaults"), zatiaľ čo Conditional Access umožňuje rozlišovať: niekde stačí bežné prihlásenie, inde je nutná dodatočná kontrola.
Je to jeden zo základných stavebných kameňov prístupu Zero Trust — teda princípu, že sa dôvera k prihláseniu neudeľuje automaticky len preto, že heslo bolo správne, ale priebežne sa vyhodnocuje podľa kontextu.
Signály, ktoré politika vyhodnocuje
Každá politika Conditional Access kombinuje jeden alebo viacero signálov, na základe ktorých sa rozhoduje, čo s prihlásením ďalej.
| Signál | Čo sleduje |
|---|---|
| Identita a rola | Konkrétny používateľ, členstvo v skupine, alebo pridelená rola (napr. administrátorské role) |
| Lokalita a sieť | Krajina, IP adresa alebo pripojenie z dôveryhodnej firemnej siete |
| Zariadenie | Či je zariadenie spravované firmou a v súlade s politikami (compliant), alebo ide o neznáme súkromné zariadenie |
| Aplikácia | Ku ktorej cloudovej aplikácii sa používateľ pripája (napr. Outlook, Teams, SharePoint) |
| Riziko prihlásenia | Vyhodnotenie neobvyklého správania pri konkrétnom prihlásení (napr. nezvyčajná lokalita) cez Microsoft Entra ID Protection |
| Riziko používateľa | Podozrenie, že prihlasovacie údaje konkrétneho používateľa mohli byť kompromitované, opäť cez Entra ID Protection |
Akcie, ktoré politika môže vynútiť
Keď signály spustia politiku, Conditional Access môže vyžadovať jednu alebo kombináciu viacerých akcií naraz:
- Vyžadovať MFA — najčastejšia akcia; používateľ musí dodatočne potvrdiť svoju identitu.
- Vyžadovať spravované alebo kompatibilné zariadenie — prístup sa povolí len zo zariadenia zaregistrovaného a spravovaného firmou (napr. cez Intune).
- Vyžadovať schválenú klientsku aplikáciu — napríklad povoliť prístup k pošte len cez oficiálnu aplikáciu Outlook, nie cez ľubovoľného e-mailového klienta.
- Obmedziť reláciu — napríklad povoliť len prezeranie dokumentov v prehliadači bez možnosti sťahovania na nespravované zariadenie.
- Vyžadovať zmenu hesla — pri vysokom vyhodnotenom riziku používateľa.
- Úplne zablokovať prístup — najprísnejšia akcia, typicky pri jednoznačne rizikových scenároch alebo zastaraných protokoloch.
Typické politiky v praxi
V praxi firmy zvyčajne nezačínajú jednou zložitou politikou, ale niekoľkými jednoduchými, ktoré sa vzájomne dopĺňajú. Typicky ide o kombinácie ako „Ak sa niekto prihlasuje do Outlooku alebo Teams z krajiny mimo Európy, alebo z nespravovaného súkromného zariadenia, vyžaduj MFA navyše" alebo „Prístup k citlivej SharePoint knižnici povoľ len zo zariadení spravovaných firmou."
| Názov politiky | Podmienka | Akcia |
|---|---|---|
| MFA pre administrátorov | Rola: globálny administrátor a ďalšie privilegované role | Vyžadovať MFA pri každom prihlásení |
| MFA mimo firemnej siete | Lokalita mimo dôveryhodných krajín alebo firemnej siete | Vyžadovať MFA |
| Spravované zariadenie pre SharePoint | Aplikácia: SharePoint Online a OneDrive | Vyžadovať kompatibilné alebo firmou spravované zariadenie |
| Blokovanie zastaranej autentifikácie | Protokol: legacy autentifikácia (staré e-mailové klienty) | Blokovať prístup |
| MFA pri rizikovom prihlásení | Sign-in risk: stredné alebo vysoké riziko (Entra ID Protection) | Vyžadovať MFA |
Licenčné požiadavky
Conditional Access vyžaduje licenciu Microsoft Entra ID P1 — tá je súčasťou balíkov ako Microsoft 365 Business Premium, E3 alebo E5, prípadne sa dá dokúpiť samostatne k nižším tarifám (napr. Business Basic či Standard). Rizikovo podmienené politiky (sign-in risk, user risk cez Entra ID Protection) vyžadujú o stupeň vyššiu licenciu, Entra ID P2, ktorá je súčasťou len E5, alebo sa tiež dá dokúpiť samostatne.
Organizácie bez P1/P2 majú k dispozícii len zjednodušenú alternatívu — takzvané security defaults (predvolené zabezpečenie), ktoré plošne vyžadujú MFA pre všetkých, no bez možnosti rozlišovať podľa lokality, zariadenia či aplikácie.
Ako začať: odporúčaný postup zavádzania
- Spustite politiku najprv v režime „iba na sledovanie" (report-only) — Conditional Access umožňuje vidieť, koho by politika ovplyvnila, bez toho, aby reálne niekomu zablokovala prístup.
- Vytvorte núdzové (break-glass) účty vyňaté zo všetkých politík, aby sa administrátor pri chybe v nastavení sám nezamkol mimo vlastnej administrácie.
- Začnite s privilegovanými účtami a citlivými aplikáciami, potom politiky postupne rozšírte na celú organizáciu.
- Zablokujte zastaranú (legacy) autentifikáciu — staré protokoly ju bežne obchádzajú úplne, bez ohľadu na ostatné politiky.
- Politiky pravidelne revidujte (napríklad štvrťročne) a sledujte prihlasovacie záznamy (sign-in logs), či sa niektorá z nich neobchádza alebo nepôsobí zbytočne obmedzujúco.
Časté chyby a odporúčania
- Vynútenie politiky rovno naostro, bez report-only fázy — riskuje neúmyselné zablokovanie časti organizácie hneď pri zapnutí.
- Chýbajúci núdzový účet — pri výpadku MFA poskytovateľa alebo chybe v politike sa nikto nedostane ani do administrácie na nápravu.
- Ponechaná zastaraná autentifikácia — obchádza aj MFA, aj Conditional Access úplne, bez ohľadu na to, aké prísne sú ostatné politiky.
- Priveľa prekrývajúcich sa politík bez jasného vlastníka — sťažuje dohľadanie, ktorá konkrétna politika používateľovi zablokovala prístup a prečo.
- Predpoklad, že Conditional Access stačí sám osebe — bez nastaveného MFA na strane používateľa (pozri článok o MFA) politika vyžadujúca MFA jednoducho nemá čo vynútiť.
Presne takéto vrstvenie politík Conditional Access a MFA — od privilegovaných účtov po bežných používateľov — nastavuje pre svojich klientov aj Verison.