Verwalten von Risiken mit der bedingten Zugriffssteuerung

• Wichtige Konzepte: Bedingte Zugriffssteuerung in AD FS

• Verwalten von Risiken mit der bedingten Zugriffssteuerung

Wichtige Konzepte – Bedingte Zugriffssteuerung in AD FS

Die allgemeine Funktion von AD FS besteht in der Ausstellung eines Zugriffstokens, das eine Gruppe von Ansprüchen enthält. Die Entscheidung, welche Ansprüche von AD FS akzeptiert und anschließend ausgegeben werden, unterliegt Anspruchsregeln.

Die Zugriffssteuerung in AD FS wird mit Anspruchsregeln für die Ausstellungsautorisierung implementiert, mit denen Zulassungs- oder Verweigerungsansprüche ausgegeben werden. Diese Ansprüche bestimmen, ob ein Benutzer oder eine Benutzergruppe auf mit AD FS gesicherte Ressourcen zugreifen können. Autorisierungsregeln können nur für Vertrauensstellungen der vertrauenden Seite festgelegt werden.

Weitere Informationen zu diesen Regeloptionen und der entsprechenden Logik finden Sie unter Verwendung einer Autorisierungsanspruchsregel.

In AD FS unter Windows Server 2012 R2 wurde die Zugriffssteuerung durch mehrere Faktoren, einschließlich Benutzer, Gerät, Standort und Authentifizierungsdaten, verbessert. Dies wird durch eine größere Vielfalt an für die Autorisierungsanspruchsregeln verfügbaren Anspruchstypen ermöglicht. Mit anderen Worten: In AD FS unter Windows Server 2012 R2 können Sie bedingte Zugriffssteuerung auf der Grundlage von Benutzeridentität oder Gruppenmitgliedschaft, Netzwerkadresse, Gerät und Authentifizierungsstatus erzwingen. Bei Verwendung der Geräteoption muss das Gerät mit dem Arbeitsplatz verbunden sein. (Weitere Informationen finden Sie unter Verbinden mit einem Arbeitsplatz von einem beliebigen Gerät für SSO und nahtlose zweistufige Authentifizierung bei allen Unternehmensanwendungen.) Die Verwendung der Authentifizierungsstatusoption setzt voraus, dass die Multi-Faktor-Authentifizierung (Multi-Factor Authentication, MFA) ausgeführt wurde.

Die bedingte Zugriffssteuerung in AD FS unter Windows Server 2012 R2 bietet die folgenden Vorteile:

• Flexible und deutliche Autorisierungsrichtlinien pro Anwendung, wodurch der Zugriff basierend auf Benutzer, Gerät, Netzwerkadresse und Authentifizierungsstatus zugelassen oder verweigert werden kann

• Erstellen von Ausstellungsautorisierungsregeln für Anwendungen der vertrauenden Seite

• Komfortable Benutzeroberfläche für die allgemeinen Szenarien der bedingten Zugriffssteuerung

• Umfassende Unterstützung von Anspruchssprachen und Windows PowerShell für erweiterte Szenarien der bedingten Zugriffssteuerung

• Benutzerdefinierte Meldungen (pro Anwendung der vertrauenden Seite) des Typs „Zugriff verweigert“. Weitere Informationen finden Sie unter Anpassen der AD FS-Anmeldeseiten. Da diese Meldungen angepasst werden können, können Sie erläutern, warum einem Benutzer der Zugriff verweigert wird und außerdem die eigenständige Wartung dort vereinfachen, wo es möglich ist. Fordern Sie beispielsweise Benutzer dazu auf, eine Verbindung zwischen ihren Geräten und dem Arbeitsplatz herzustellen. Weitere Informationen finden Sie unter Join to Workplace from Any Device for SSO and Seamless Second Factor Authentication Across Company Applications.

Die folgende Tabelle enthält Anspruchstypen, die in AD FS unter Windows Server 2012 R2 verfügbar sind und für die Implementierung der bedingten Zugriffssteuerung verwendet werden sollen.

Verwalten von Risiken mit der bedingten Zugriffssteuerung

Mithilfe der verfügbaren Einstellungen können Risiken durch Implementierung der bedingten Zugriffssteuerung verwaltet werden.

Häufige Szenarios

Ein einfaches Szenario ist beispielsweise die Implementierung der bedingten Zugriffssteuerung auf Grundlage der Gruppenmitgliedschaftsdaten eines Benutzers für eine bestimmte Anwendung (Vertrauensstellung der vertrauenden Seite). Anders ausgedrückt: Sie können eine Ausstellungsautorisierungsregel auf Ihrem Verbundserver einrichten, um Benutzern aus einer bestimmten Gruppe in Ihrer AD-Domäne Zugriff auf eine bestimmte Anwendung zu gewähren, die durch AD FS geschützt ist. Die ausführlichen Schritte (auf der Benutzeroberfläche und mit Windows PowerShell) zum Implementieren dieses Szenarios werden unter Walkthrough Guide: Manage Risk with Conditional Access Controlbehandelt. Damit die Schritte in dieser exemplarischen Vorgehensweise ausgeführt werden können, müssen Sie eine Testumgebung einrichten und den Anweisungen unter Einrichten der Labumgebung für AD FS unter Windows Server 2012 R2.

Erweiterte Szenarien

Weitere Beispiele für das Implementieren der bedingten Zugriffssteuerung in AD FS unter Windows Server 2012 R2:

• Lassen Sie den Zugriff auf eine durch AD FS geschützte Anwendung nur zu, wenn die Identität des Benutzers mit MFA bestätigt wurde.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessWithMFA"
  c:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Lassen Sie den Zugriff auf eine durch AD FS gesicherte Anwendung nur zu, wenn die Zugriffsanforderung von einem mit dem Arbeitsplatz verbundenen Gerät stammt, das für den Benutzer registriert ist.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessFromRegisteredWorkplaceJoinedDevice"
  c:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Lassen Sie den Zugriff auf eine durch AD FS gesicherte Anwendung nur zu, wenn die Zugriffsanforderung von einem mit dem Arbeitsplatz verbundenen Gerät stammt, das für einen Benutzer registriert ist, dessen Identität mit der MFA bestätigt wurde.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Lassen Sie den Extranetzugriff auf eine durch AD FS gesicherte Anwendung nur zu, wenn die Zugriffsanforderung von einem Benutzer stammt, dessen Identität mit der MFA bestätigt wurde.

  Sie können den folgenden Code verwenden:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAForExtranetAccess"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value =~ "^(?i)false$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

Weitere Informationen

Exemplarische Vorgehensweise: Bewältigen von Risiken mithilfe der bedingten ZugriffssteuerungEinrichten der Labumgebung für AD FS unter Windows Server 2012 R2