Hvad er conditional access? Betinget adgang i Entra ID

Sådan virker conditional access

Hver gang en bruger logger ind på Microsoft 365, vurderer Microsoft Entra ID loginet op mod jeres regler. En regel består af tre dele:

Hvem og hvad

Hvilke brugere, grupper og programmer reglen gælder for, fx alle brugere, administratorer eller kun økonomisystemet.

Betingelser

Signaler som enhedens type og tilstand, land eller IP-adresse, risikoniveau og hvilken app der logges ind med.

Handling

Giv adgang, kræv MFA, kræv en styret enhed, begræns sessionen eller bloker adgangen helt.

Eksempler på regler, de fleste virksomheder bør have

Kræv MFA for alle brugere: Grundreglen, der gør en stjålet adgangskode langt mindre værd. Læs mere om multifaktor-godkendelse.
Stærkere krav til administratorer: Phishing-resistent MFA som passkeys eller en sikkerhedsnøgle for alle med administratorrettigheder.
Bloker gamle loginmetoder: Ældre protokoller kan ikke håndtere MFA og bruges ofte til at gætte adgangskoder.
Kun styrede enheder til virksomhedens data: Adgang til mail og filer kræver en computer, der er tilmeldt Microsoft Intune og lever op til jeres krav.
Bloker lande, I ikke arbejder fra: Et login fra et land, hvor ingen medarbejdere opholder sig, afvises eller kræver ekstra godkendelse.
Reager på risikable login: Med Entra ID P2 kan et login, der ligner et angreb, automatisk kræve ny godkendelse eller blokeres.

Conditional access eller sikkerhedsstandarder?

Microsoft tilbyder sikkerhedsstandarder, security defaults, som en gratis grundpakke, der slår MFA til for alle. Det er bedre end ingenting, men det er alt eller intet. Conditional access giver mulighed for at tilpasse reglerne, fx undtage en servicekonto, stille skrappere krav til administratorer eller kræve styrede enheder. Man kan ikke bruge begge dele på samme tid.

Licenser

Conditional access kræver Microsoft Entra ID P1, som er inkluderet i Microsoft 365 Business Premium og Microsoft 365 E3. Risikobaserede regler kræver Entra ID P2, som er med i Microsoft 365 E5 eller kan købes som tilkøb.

Typiske fejl i opsætningen

Ingen nødkonto: En fejl i en regel kan låse alle ude, også administratorerne. Der bør altid være en sikret nødkonto, der er undtaget.
Regler, der aldrig er sat i drift: Mange regler står i rapporttilstand og gør derfor ingenting.
For mange undtagelser: Hver undtagelse er et hul. De skal dokumenteres og gennemgås jævnligt.
Ingen kobling til enheder: Uden krav om styrede enheder kan en angriber med en stjålet adgangskode og en godkendt MFA logge ind fra sin egen computer.

Er jeres login sat sikkert op?

Vi gennemgår jeres conditional access-regler og MFA-opsætning og lukker de huller, vi typisk finder, så en stjålet adgangskode ikke bliver til et brud.

Ofte stillede spørgsmål om conditional access

Hvad betyder conditional access?

Conditional access betyder betinget adgang. Det er regler i Microsoft Entra ID, der afgør, om et login godkendes, kræver ekstra godkendelse eller blokeres, ud fra signaler som bruger, enhed, placering og risiko.

Hvilken licens kræver conditional access?

Conditional access kræver Microsoft Entra ID P1, som er inkluderet i Microsoft 365 Business Premium og E3. Risikobaserede regler kræver Entra ID P2, som er med i E5.

Hvad er forskellen på conditional access og MFA?

MFA er en ekstra godkendelse ved login. Conditional access er reglerne, der bestemmer, hvornår MFA kræves, og som også kan stille andre krav, fx at enheden skal være styret, eller at loginet skal komme fra Danmark.

Kan conditional access låse os ude?

Ja, en forkert regel kan blokere alle brugere. Derfor bør nye regler først testes i rapporttilstand, og der bør altid være en sikret nødkonto, der er undtaget fra reglerne.

Hjælper conditional access med NIS2?

Ja. NIS2 stiller krav om adgangsstyring og multifaktor-godkendelse. Conditional access er den måde, de krav typisk håndhæves og dokumenteres på i Microsoft 365.