Acesso condicional: filtro para dispositivos

Quando administradores criam políticas de Acesso Condicional, a capacidade de direcionar ou excluir dispositivos específicos em seu ambiente é uma tarefa comum. O filtro de condição para dispositivos oferece aos administradores a capacidade de direcionar dispositivos específicos. Os administradores podem usar operadores e propriedades com suporte para filtros de dispositivos e outras condições de atribuição disponíveis nas suas políticas de acesso condicional.

Cenários comuns

Há diversos cenários que as organizações podem habilitar usando filtro para a condição dos dispositivos. Os cenários a seguir fornecem exemplos de como usar essa nova condição.

• Restringir o acesso a recursos privilegiados. Para este exemplo, digamos que você queira permitir o acesso à API de Gerenciamento de Serviços do Windows Azure de um usuário que:
  • Está atribuído a uma função com privilégios.
  • Concluiu a autenticação multifator.
  • Está em um dispositivo com privilégios ou estações de trabalho de administrador seguras e atestado como conforme.
  • Para esse cenário, as organizações criariam duas políticas de Acesso Condicional:
    • Política 1: todos os usuários com uma função Administrador, acessando o aplicativo de nuvem da API de Gerenciamento de Serviços do Windows Azure e para controles de acesso, concedam acesso, mas exigem autenticação multifator e exigem que o dispositivo seja marcado como compatível.
    • Política 2: Todos os usuários com administrador acessando o aplicativo de nuvem da API de gerenciamento de serviços do Windows Azure, excluindo um filtro para dispositivos que usam a expressão de regra device.extensionAttribute1 é igual a SAW e para controles de acesso, Bloquear. Saiba como atualizar extensionAttributes em um objeto de dispositivo do Microsoft Entra.
• Bloquear o acesso a recursos da organização de dispositivos que executam uma versão do Sistema Operacional sem suporte. Para este exemplo, vamos supor que você deseja bloquear o acesso a recursos de Windows de uma versão do sistema operacional mais antiga do que o Windows 10. Para esse cenário, as organizações criariam a seguinte política de Acesso Condicional:
  • Todos os usuários, acessando todos os recursos, excluindo um filtro para dispositivos que usam a expressão de regra device.operatingSystem é igual a Windows e device.operatingSystemVersion startsWith "10.0" e para controles do Access, Bloquear.
• Não exigir autenticação multifator de contas específicas em dispositivos específicos. Para este exemplo, digamos que você não queira exigir autenticação multifator ao usar contas de serviço em dispositivos específicos, como telefones Teams ou dispositivos Surface Hub. Para esse cenário, as organizações criarão as duas políticas de Acesso Condicional abaixo:
  • Política 1: todos os usuários excluindo contas de serviço, acessando todos os recursos e para controles do Access, concedem acesso, mas exigem autenticação multifator.
  • Política 2: Selecione usuários e grupos e inclua um grupo que contenha somente contas de serviço, acessando todos os recursos, excluindo um filtro para dispositivos que usam dispositivos de expressão de regra.extensionAttribute2 não é igual a TeamsPhoneDevice e para controles do Access, Bloquear.

Criar uma política de Acesso Condicional

O filtro para dispositivos é um controle opcional ao criar uma política de acesso condicional.

As etapas a seguir ajudam a criar duas políticas de Acesso Condicional para dar suporte ao primeiro cenário em Cenários comuns.

Política 1: todos os usuários com uma função Administrador, acessando o aplicativo de nuvem da API de Gerenciamento de Serviços do Windows Azure e para controles de acesso, concedam acesso, mas exigem autenticação multifator e exigem que o dispositivo seja marcado como compatível.

1. Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
2. Navegar para Proteção> de acesso condicional de >Políticas.
3. Selecione Nova política.
4. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
5. Em Atribuições, selecione Usuários ou identidades de carga de trabalho.

   1. Em Incluir, selecione Funções de Diretório e, em seguida, todas as funções com o administrador no nome.

      Aviso

      As políticas de acesso condicional dão suporte às funções internas. As políticas de Acesso Condicional não são impostas para outros tipos de função, incluindo funções personalizadas ou no escopo da unidade administrativa.

   2. Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.

   3. Selecione Concluído.

6. Em Recursos de destino>Recursos (anteriormente aplicativos de nuvem)>Incluir>Selecionar recursos, escolha a API de Gerenciamento de Serviços do Windows Azure e selecione Selecionar.
7. Em Controles de acesso>Conceder, selecione Conceder acesso, Solicitar a autenticação multifator e Solicitar que o dispositivo seja marcado como em conformidade, e, então, selecione Selecionar.
8. Confirme suas configurações e defina Habilitar política como Ativado.
9. Selecione Criar para criar e habilitar sua política.

Política 2: todos os usuários com a função administrador acessando o aplicativo de nuvem da API de gerenciamento de serviços do Windows Azure, excluindo um filtro para dispositivos que usam a expressão de regra device.extensionAttribute1 são igual a SAW e para controles de acesso, Bloquear.

1. Selecione Nova política.
2. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
3. Em Atribuições, selecione Usuários ou identidades de carga de trabalho.

   1. Em Incluir, selecione Funções de Diretório e, em seguida, todas as funções com o administrador no nome

      Aviso

      As políticas de acesso condicional dão suporte às funções internas. As políticas de Acesso Condicional não são impostas para outros tipos de função, incluindo funções personalizadas ou no escopo da unidade administrativa.

   2. Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.

   3. Selecione Concluído.

4. Em Recursos de destino>Recursos (anteriormente aplicativos de nuvem)>Incluir>Selecionar recursos, escolha a API de Gerenciamento de Serviços do Windows Azure e selecione Selecionar.
5. Em Condições, Filtro para dispositivos.
   1. Alterne Configurar para Sim.
   2. Configure os Dispositivos que correspondem à regra como Excluir os dispositivos filtrados da política.
   3. Defina a propriedade como ExtensionAttribute1, o operador como Equals e o valor como SAW.
   4. Selecione Concluído.
6. Em Controles de acesso>Conceder, selecione Bloquear acesso e depois Selecionar.
7. Confirme suas configurações e defina Habilitar política como Ativado.
8. Selecione Criar para criar e habilitar sua política.

Definindo valores de atributo

A definição de atributos de extensão é possibilitada por meio da API do Microsoft Graph. Para obter mais informações sobre como configurar atributos de dispositivo, confira o artigo Atualizar dispositivo.

Filtro para dispositivos API do Graph

O filtro para dispositivos de API está disponível no ponto de extremidade do Microsoft Graph versão v1.0, e podem ser acessados usando o ponto de extremidade https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Você pode configurar um filtro para dispositivos ao criar uma nova política de Acesso Condicional ou pode atualizar uma política existente para configurar o filtro para a condição dos dispositivos. Para atualizar uma política existente, você pode fazer uma chamada de patch no ponto de extremidade do Microsoft Graph versão v1.0, acrescentando a ID de política de uma política existente e executando o corpo da solicitação a seguir. Este exemplo mostra a configuração de um filtro para a condição dos dispositivos excluindo os dispositivos que não estão marcados como dispositivos SAW. A sintaxe da regra pode ser composta por mais de uma única expressão. Para saber mais sobre a sintaxe, consulte regras de grupos de associação dinâmica para grupos no Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Operadores e propriedades de dispositivo com suporte para filtros

Os seguintes atributos do dispositivo podem ser usados com o filtro para a condição do dispositivo no Acesso Condicional.

Comportamento da política com filtro para dispositivos

O filtro para a condição dos dispositivos no Acesso Condicional avalia a política com base nos atributos do dispositivo de um dispositivo registrado no Microsoft Entra ID e, portanto, é importante reconhecer em quais circunstâncias a política será aplicada ou não. A tabela a seguir ilustra o comportamento quando um filtro para a condição dos dispositivos é configurado.

Conteúdo relacionado

• Volta às aulas – Como usar a álgebra booleana corretamente em filtros complexos
• Atualizar a API do Graph do dispositivo
• Acesso Condicional: condições
• Políticas de acesso condicional comuns