Olá, pessoal. No artigo de hoje, vamos explicar passo a passo como criar uma política de acesso condicional que solicita ao usuário o MFA com exceções baseadas em localidade. Essa política permite ao administrador criar exceções de necessidade do MFA para usuários localizados em redes conhecidas pela companhia, melhorando a experiência do usuário sem abrir mão da segurança.
Exceção de políticas de acesso condicional
As exceções contidas nas condições de acesso das políticas de acesso condicional permitem definir características específicas para se permitir ou não o acesso a recursos no Azure e, podem ser definidas como:
- Sign-in Risk – Utiliza o nível do risco de acesso, se o sign-in está sendo efetuado pelo usuário correto, baseado em informações obtidas pelo AAD Identity Protection. É possível definir o nível a ser aceito como condição de liberação ou bloqueio do acesso.
- Device Plataforms – Permite definir quais sistemas operacionais instalados nos dispositivos dos usuários serão afetados pela política, podendo ser permitidos ou bloqueados.
- Locations – Permite definir condições baseadas em localidades, podendo utilizar redes corporativas seguras (named locations) previamente cadastradas no Azure ou países/regiões que devem ser permitidos ou bloqueados pela política.
- Client apps (preview) – Permite definir condições baseadas no aplicativo utilizado pelo usuário para acessar o recurso no Azure. É possível configurar a condição para aplicativos com suporte à autenticação moderna ou que não possuem esse suporte. Para mais informações entre neste link.
- Device state (preview) – Permite tratar como exceção os dispositivos conhecidos ou gerenciados pela empresa, evitando que esses dispositivos recebam a política.
Para mais informações sobre as condições listadas acima, clique neste link.
Criando uma localização
Antes de criar a política de acesso condicional baseada em localização, precisamos ter pelo menos uma localidade nomeada cadastrada no Azure.
Acesse a blade de localidades nomeadas acessando este link.
Vamos criar uma localidade baseada em países/Regiões e atribuir ao Brasil uma localização conhecida.
Clique em New location.
Entre com o nome da localização e selecione a opção Countries/Regions.
Selecione o país que deseja cadastrar e clique em Create.
Criando uma política de uso do MFA
Vamos agora criar uma política que usará a localidade criada para permitir que usuários localizados no Brasil não sejam solicitados a fazer a dupla autenticação quando tentarem acessar o portal do Azure.
Para acessar a blade de políticas de acesso condicional, clique neste link.
Clique em New policy.
Entre com o nome da política na caixa Name.
Definindo candidatos a receberem a política
Para ilustrar, vamos selecionar apenas um usuário a ser afetado pela política.
Selecione o menu Users and groups > Include > Select users and groups > Select > selecione o usuário ou grupo.
Definindo as aplicações afetadas pela política
Vamos definir que o usuário identificado no passo anterior ao tentar acessar o portal de gerenciamento do Azure receberá uma solicitação de confirmação de dupla autenticação caso esteja acessando de fora do Brasil.
Selecione o menu Cloud apps or actions > Include > Select apps > Select > Microsoft Azure Management.
Clique em Select e em Done.
Definindo condições de aplicação da política
Nesse passo, definiremos em quais condições a política de acesso ao portal de gerenciamento do Azure será aplicada.
Selecione o menu Conditions > Locations > Configure = YES > Exclude > Selected locations > Select.
Marque a localização que criou no início do artigo. No nosso caso, Brasil.
Clique em Select e em Done.
Selecione a opção On para ativar a política e em Create.
Definindo o controle de acesso
Vamos definir agora qual controle será feito para os usuários que atingirem os requisitos definidos anteriormente.
Selecione o menu Grant > Grant access > Require multi-factor authentication.
Clique em Select.
Testando o acesso ao portal de gerenciamento do Azure
Vamos testar o acesso do usuário josh@carlosms.com.br ao portal de gerenciamento do Azure do Brasil.
Acesse o endereço portal.azure.com e entre com as credenciais do usuário de teste e senha.
Entre com a senha do usuário de teste.
Conforme abaixo, o acesso foi permitido sem solicitar a dupla autenticação pois o usuário está logando de uma localidade nomeada configrada na exceção da regra do MFA, no caso o Brasil.
Vamos agora remover o Brasil da regra de localização nomeada e testar se será solicitada a dupla autenticação.
Acesse novamente a política criada e selecione o menu Conditions > Locations > Exclude.
Selecione a opção ao lado do nome da localização nomeada criada e selecione Remove.
Clique em Done e em Done novamente.
Novamente, vamos acessar o portal do azure e testar se o MFA será aplicado ao usuário Josh.
Ao abrir o portal, percebemos que o navegador nos oferece a opção de logar no usuário com as credenciais usadas no logon anterior.
Vamos clicar no nome do usuário Josh para logar no portal.
Logo que tentamos logar com o usuário Josh no portal do Azure sem a localidade nomeada configurada na exceção, nos é solicitada a dupla autenticação.
Vamos configurar clicando em Next.
Se decidir selecionar a opção Authentication phone com envio de um código por SMS, entre com o código do seu país + número de telefone celular.
Marque a opção Send me a code by text message.
Clique em Next.
Entre com o código recebido por SMS no dispositivo cadastrado e clique em Verify.
Após cadastrar o dispositivo e prover a dupla autenticação para acesso ao portal do Azure.
Agora, sempre que o usuário afetado por essa política tentar acessar o porta de gerenciamento do Azure, receberá a solicitação do código antes de se logar.
Resumo
No artigo de hoje, falamos sobre como configurar exceção de solicitação do MFA usando política de acesso condicional e localidade nomeada. Mostramos passo a passo como definir uma política para excluir uma localidade nomeada como condição para forçar o uso da dupla autenticação. No próximo artigo, vamos falar sobre o gerenciamento de dispositivos no Azure AD.
Espero que este conteúdo tenha contribuído com o enriquecimento do conhecimento de vocês em Azure.
Gostaram do post? Curtam e compartilhem. 🙂
Tem alguma sugestão ou observação, comente.
[ ]’s
Ulysses Neves
