Een Conditional Access-baseline voor Microsoft 365: met dit beleid begint u

De baseline

Microsoft levert voor elk van deze een template onder Entra ID > Conditional Access > Create new policy from templates (menunamen uit de Engelstalige portal). Begin met:

• Require multifactor authentication for admins.
• Require multifactor authentication for all users.
• Block legacy authentication.
• Require multifactor authentication for Azure management.
• Securing security info registration, zodat een aanvaller met alleen een wachtwoord geen eigen MFA-methode kan registreren.
• Require phishing-resistant multifactor authentication for administrators.

Voeg met Entra ID P2 het risicogebaseerde beleid toe: MFA bij riskante aanmeldingen, en een veilige wachtwoordwijziging of blokkade voor gebruikers met een hoog risico.

Door Microsoft beheerd beleid

Sinds eind 2023 maakt Microsoft zelf beleid aan in tenants. U herkent het aan 'Microsoft' in de kolom Created by. Het gaat onder meer om het blokkeren van legacy authenticatie, het blokkeren van device code flow, MFA voor beheerders op de beheerportalen, MFA voor alle gebruikers en, met P2, beleid voor riskante aanmeldingen en gebruikers met een hoog risico.

Het wordt aangemaakt in Report-only en op zijn vroegst 30 dagen later automatisch aangezet, na een melding in het berichtencentrum. U kunt het niet hernoemen of verwijderen, wel uitzetten, gebruikers uitsluiten of dupliceren naar eigen beleid. Lees het voordat het aangaat, zeker in tenants met serviceaccounts of oudere apparaten.

Zo rolt u uit zonder iemand buiten te sluiten

1. Maak een groep met uw twee break-glass-accounts en sluit die uit van elk beleid. Templates sluiten alleen de beheerder uit die ze aanmaakt.
2. Maak elk beleid aan in Report-only. De weergave Policy impact en de aanmeldlogboeken tonen wat het zou hebben gedaan.
3. Controleer een week: serviceaccounts, scanners, gastgebruikers en andere apparaten zonder moderne authenticatie komen hier boven.
4. Zet het beleid op On, één voor één. Security defaults moeten uit voordat eigen beleid aan kan, dus zorg dat de baseline klaarstaat voordat u ze uitzet.

Gaten om op te letten in een bestaande inrichting

• Beleid dat maanden in Report-only blijft staan. Dat beschermt niets.
• Uitsluitingslijsten die zijn gegroeid: 'tijdelijke' gebruikers, serviceaccounts, de directeur die klaagde. Elk daarvan is een account dat het beleid niet dekt.
• Beleid dat op geselecteerde apps is gericht in plaats van op alle resources, zodat een nieuwe app erbuiten valt.
• Gast- en externe gebruikers die buiten het MFA-beleid vallen.
• Geen break-glass-uitsluiting, waardoor de volgende vergissing iedereen buitensluit.

Vraag het beleid en de status op met Microsoft Graph PowerShell:

Connect-MgGraph -Scopes "Policy.Read.All"
Get-MgIdentityConditionalAccessPolicy |
  Select-Object DisplayName, State |
  Sort-Object State

De status 'enabledForReportingButNotEnforced' betekent Report-only.

Veelgestelde vragen