Proteja el flujo de autorización del código del dispositivo con acceso condicional
Las políticas de acceso condicional se han ampliado en Microsoft Entra para permitirle controlar cómo su organización utiliza protocolos y concesiones de autenticación y autorización particulares.
Esto se hace a través de la condición Flujos de autenticación en Acceso condicional. En esta publicación, le mostraré cómo implementar una condición para apuntar al flujo de autenticación del código del dispositivo con políticas de acceso condicional.
Nota: esta función se encuentra actualmente en versión preliminar y es posible que aún no funcione como se esperaba
¿Cuál es el flujo de código del dispositivo?
El flujo de concesión del código de dispositivo (o autorización de dispositivo) es un proceso que permite que los dispositivos con funcionalidad de entrada limitada (como televisores, impresoras u otros dispositivos IoT) inicien sesión en Microsoft Entra y obtengan un token de acceso.
El proceso ocurre en una serie de pasos:
1. El usuario iniciará la aplicación en el dispositivo e iniciará sesión.
2. Luego, el dispositivo enviará una solicitud de autorización al punto final /oauth2/v2.0/devicecode para el inquilino de destino o el inquilino común.
3. Luego se envía de vuelta al dispositivo un código de dispositivo, un código de usuario y la URL de verificación.
4. La aplicación presentará al usuario la URL de verificación y el código de usuario y le pedirá que navegue hasta la URL y complete el inicio de sesión.
5. Mientras el usuario inicia sesión, la aplicación sondeará continuamente el punto final del token en busca de un token de acceso; /oauth2/v2.0/token. Una vez que se complete el proceso de inicio de sesión, el servidor de autorización responderá con un token de acceso.
6. El dispositivo puede entonces interactuar con los servicios relevantes de Microsoft como usuario.
¿Por qué apuntar al flujo de código del dispositivo?
En términos generales, el flujo de código del dispositivo está destinado a los dispositivos IoT que mencioné anteriormente; Si bien potencialmente necesitan acceso a Microsoft Entra, no se pueden bloquear ni proteger como dispositivos completamente inscritos en soluciones de Endpoint Management como Microsoft Intune. Con el aumento cada vez mayor de los ataques a dispositivos IoT, es más esencial que nunca asegurarse de establecer restricciones más estrictas al permitir que estos dispositivos inseguros obtengan tokens de acceso a su entorno y, por lo tanto, accedan a sus datos.
Sin estos controles adicionales, como restringir este flujo a dispositivos dentro de su red corporativa, es posible que los usuarios no se den cuenta del impacto de la tarea aparentemente inocente de iniciar sesión en un dispositivo IoT con su cuenta corporativa.
Asegurar el flujo del código del dispositivo
Se pueden aplicar controles estrictos sobre el flujo de código del dispositivo rápidamente con el acceso condicional. Siga los pasos a continuación para configurar la condición de flujo del código del dispositivo.
1. Inicie sesión en Microsoft Entra.
2. Expanda Protección y seleccione Acceso condicional.
4. Haga clic en Políticas > Nueva política.
5. Le recomiendo que se dirija a todos los usuarios con esta tarea y excluya a los usuarios que rompen cristales como de costumbre.
6. Defina Todas las aplicaciones en la nube para sus recursos de destino.
7. En la pestaña Condiciones, seleccione Flujos de autenticación, luego establezca la opción de configuración en Sí y marque Flujo de código de dispositivo. >.
En este punto, también debes considerar si planeas bloquear el flujo de códigos del dispositivo según la ubicación. Esto ofrecería la mejor protección; luego, puede configurar esta política en Todas las ubicaciones de confianza. Para hacer esto, configuraría una política de bloqueo separada para ubicaciones que no sean de confianza.
8. En la sección Controles de acceso, considere configurar una política de concesión para requerir solidez de autenticación y dispositivo compatible.
Prueba con Microsoft Graph PowerShell
Para mí, la forma más sencilla de probar nuestra nueva política de acceso condicional es utilizar la función de flujo de inicio de sesión del código del dispositivo en Microsoft Graph PowerShell. Si no ha instalado Microsoft Graph PowerShell, consulte mi publicación aquí: Cómo instalar el módulo Microsoft Graph PowerShell.
Comience ingresando el siguiente comando para iniciar la secuencia de inicio de sesión:
Connect-MgGraph -UseDeviceCodeRecibirá una respuesta en su pantalla con la URL y el código de usuario, como se describió anteriormente en los pasos del flujo del código del dispositivo.
Navegue hasta https://microsoft.com/devicelogin y cuando se le solicite, ingrese su código de usuario.
Si se acepta el código de usuario, se le pedirá que inicie sesión con su cuenta corporativa. Siga los pasos que aparecen en pantalla para iniciar sesión.
En el ejemplo de que su dispositivo no cumpla con los controles de concesión definidos en la política de acceso condicional, se le impedirá obtener un token de acceso.
