Cómo utilizar el contexto de autenticación de acceso condicional en Microsoft 365
Siempre ha sido difícil definir un control más granular sobre la información confidencial de nuestra organización bajo la política actual de acceso condicional.
Para abordar esta limitación, se introduce el nuevo contexto de autenticación de acceso condicional.
El contexto de autenticación de acceso condicional es una característica reciente que se encuentra actualmente en versión preliminar pública. Se puede complementar con la política de Acceso Condicional existente.
Repasemos brevemente la Política de acceso condicional antes de pasar al Contexto de autenticación de acceso condicional.
¿Qué es la política de acceso condicional?
Las políticas de acceso condicional se utilizan para proporcionar una capa adicional de protección para los recursos de una organización. Las políticas de CA se implementan solo después de que se cumple el primer factor de autenticación en un escenario de autenticación multifactor.
Una política de acceso condicional tiene como objetivo tomar decisiones basadas en las señales de las solicitudes de acceso. Las decisiones comunes son:
- Bloquear el acceso: decisión más restrictiva
- Conceder acceso: decisión menos restrictiva
Las señales comunes utilizadas en las políticas de acceso condicional para tomar decisiones son:
- Usuario o grupos
- información de ubicación IP
- Dispositivo
- Solicitud
- Detección de riesgos calculada y en tiempo real
- Seguridad de aplicaciones en la nube de Microsoft (MCAS)
Intentemos entenderlo todo con un ejemplo: una política de acceso condicional común: Requerir autenticación multifactor para usuarios con roles administrativos
En esta política, si un usuario con privilegios de administrador solicita acceso a los recursos, se requiere autenticación multifactor. Por lo tanto, si la señal coincide con un 'usuario con función administrativa' en una solicitud de acceso, se toma la decisión de 'otorgar acceso requiriendo autenticación multifactor'.
Además, los administradores pueden garantizar la aplicación de MFA con el informe de detalles de registro de MFA recientemente publicado en Azure AD.
¿Qué falta en la política de acceso condicional existente?
Las políticas de acceso condicional existentes son principalmente a nivel de aplicación y no brindan la granularidad de recursos que necesitamos.
Intentemos entender esto con un escenario de ejemplo.
Supongamos que una organización tiene un sitio de SharePoint específico donde se guardan algunos datos confidenciales. Como resultado, la empresa debe proporcionar una capa mejorada de seguridad para ese sitio de SharePoint específico.
Con las políticas de acceso condicional existentes, solo podemos brindar protección a nivel de aplicación o servicio. Además, podemos controlar el acceso solo en función de los usuarios y las asignaciones de roles del directorio. Es decir, solo podríamos hacer que la política se aplique a las actividades de los usuarios que elegimos aquí.
En cuanto a nuestra principal preocupación, sólo nos queda la opción de activar la política para toda la aplicación. Es decir, la política se activará tan pronto como se visiten las aplicaciones especificadas en las condiciones predefinidas.
Pero lo que necesitamos es protección granular que no está disponible en la política de acceso condicional.
¿Qué es el contexto de autenticación de acceso condicional?
El contexto de autenticación de acceso condicional es similar al concepto de etiquetas de confidencialidad. Es una característica que se puede utilizar junto con una política de acceso condicional. Con el contexto de autenticación, podemos etiquetar los recursos que deben protegerse y otorgar acceso a esos recursos etiquetados según ciertas condiciones. ¿No es genial?
Revisemos los pasos necesarios para implementar el contexto de autenticación de acceso condicional:
- Cree un contexto de autenticación y publíquelo.
- Agregue el contexto de autenticación con una política de acceso condicional existente.
- Finalmente, etiquete los recursos que necesitamos proteger con el contexto de autenticación de CA configurado.
Aquí el objetivo es hacer cumplir la política de acceso condicional cuando se accede a contenidos específicos (recursos etiquetados con contexto de autenticación de CA) de una aplicación o servicio. Para que podamos proteger los datos sensibles e importantes de nuestra organización del uso no deseado. Supongamos que un usuario no administrador intenta acceder a un sitio de SharePoint específico que ha sido etiquetado con un contexto de autenticación. La política de CA asociada con ese contexto de autenticación se ha configurado para requerir MFA para los que no son administradores.
Como resultado, el usuario que no es administrador ahora debe completar MFA para poder obtener acceso. Las restricciones de acceso condicional se pueden activar al requerir autenticación multifactor, un dispositivo compatible o incluso una ubicación basada en GPS.
Profundicemos en los pasos necesarios para implementar el contexto de autenticación de acceso condicional con las políticas de acceso condicional:
Paso 1: Configurar el contexto de autenticación
En el portal de Azure AD, vaya a Acceso condicional -> Contexto de autenticación (vista previa). Seleccione Nuevo contexto de autenticación.
Asigne al contexto de autenticación un nombre y una descripción relevantes.
Recuerde marcar la casilla de verificación "publicar en aplicaciones", ya que esto hará que el contexto de autenticación esté disponible para todas las aplicaciones compatibles en su organización.
Nota: Debido a que esta funcionalidad se encuentra en estado de vista previa, los contextos de autenticación que se han generado no se pueden eliminar. Además, está restringido a 25 definiciones de contexto de autenticación.
Paso 2: Etiquetar recursos con contexto de autenticación
Necesitamos etiquetar los recursos que queremos preservar. Aquí, etiquetemos un sitio de SharePoint con el contexto de autenticación.
Esto se puede hacer de dos formas:
- Usando la etiqueta de sensibilidad
- Usando el shell de administración de SharePoint.
Uso de etiquetas de confidencialidad:
Al crear una etiqueta de confidencialidad, podemos configurar nuestro contexto de autenticación con la configuración "compartición externa y acceso al dispositivo" de la etiqueta de confidencialidad. Consulte la imagen a continuación.
Ahora, los recursos que vamos a etiquetar con esta etiqueta de confidencialidad se etiquetarán automáticamente con el contexto de autenticación.
Uso del Shell de administración de SharePoint:
Para ello, ejecute el siguiente comando en el shell de administración del SP:
Set-SPOSite -Identity <site url> -ConditionalAccessPolicy AuthenticationContext -AuthenticationContextName "Name of authentication context"Nota: Si el sitio tiene una etiqueta de confidencialidad, entonces la etiqueta debe eliminarse antes de etiquetar el sitio con el contexto de autenticación.
Paso 3: utilizar el contexto de autenticación en la política de acceso condicional como señal para la toma de decisiones
Ahora vamos a utilizar el contexto de autenticación en las políticas de CA.
Para eso, puede crear una política de CA y asignarla al contexto de autenticación en lugar de asignar la política de CA a una aplicación en la nube.
De lo contrario, puede modificar una política de acceso condicional existente de tal manera que pueda activarse para los recursos con la etiqueta de contexto de autenticación.
Ahora la política se activará si se accede a los recursos etiquetados con el contexto de autenticación.
Confirmación del contexto de autenticación aplicado:
Podemos confirmar los contextos de autenticación activados observando los resultados de las políticas de acceso condicional aplicadas.
Navegue a Azure Active Directory > Monitoreo > Inicios de sesión y verifique la información de los inicios de sesión y compárelas con las políticas de acceso condicional configuradas en el contexto de autenticación.
En conclusión…
El nuevo contexto de autenticación de acceso condicional brinda una amplia gama de control técnico a los recursos de la organización. Además de ser una gran característica para granularizar el control dentro de nuestras aplicaciones, elegir el contexto de autenticación de acceso condicional adecuado para los recursos adecuados se convierte en una parte crucial.