Einschränken des Gerätecodeflusses für Microsoft Teams Geräte mit bedingtem Zugriff

Mit dem Gerätecodefluss können sich Benutzer bei Geräten anmelden, die nicht über einen Browser oder eine umfassende Eingabeerfahrung verfügen. Einige Microsoft Teams-Geräte verwenden den Gerätecodefluss bei der erstmaligen Registrierung, der Neubereitstellung und in einigen Szenarien der erneuten Authentifizierung.

Der Gerätecodefluss ist auch ein Authentifizierungsfluss mit hohem Risiko. Ein Angreifer kann den Fluss starten, einem Benutzer einen Code senden und den Benutzer auffordern, diesen Code auf einer legitimen Microsoft Anmeldeseite einzugeben. Da die Anmeldeseite real ist, kann dieser Angriff für Benutzer schwieriger zu erkennen sein.

Microsoft empfiehlt, den Gerätecodeflow nach Möglichkeit zu blockieren. Wenn Ihre Organisation Teams-Geräte verwendet, die den Gerätecodefluss erfordern, beschränken Sie die Ausnahme auf bestimmte Teams-Geräteressourcenkonten, und schließen Sie die Geräteregistrierungsdienstressource aus Ihrer Richtlinie für bedingten Zugriff aus.

Wer sollte diese Anleitung verwenden?

Verwenden Sie diesen Artikel, wenn Ihre Organisation:

  • Verwendet Microsoft Teams-Räume, Teams-Android-Geräte, gemeinsam genutzte Teams-Geräte oder andere Teams-Gerätefunktionen, die den Gerätecodeflow erfordern.
  • Möchte den Gerätecodefluss mit bedingtem Zugriff einschränken.
  • Es muss sichergestellt werden, dass die Registrierung von Teams-Geräten weiterhin funktioniert, während gleichzeitig die mandantenweite Angriffsfläche des Device Code Flow reduziert wird.

Dieser Artikel konzentriert sich auf Teams-Geräteszenarien. Wenn Ihre Organisation gerätecodefluss für andere Tools verwendet, z. B. Azure CLI oder Entwickler-Befehlszeilentools, lesen Sie die zusätzlichen Anleitungen in diesem Artikel, bevor Sie eine Blockierungsrichtlinie erzwingen.

Bevor Sie anfangen

Sie benötigen:

Note

In diesem Artikel bedeutet ein Teams-Geräteressourcenkonto das Konto, das dem Raum, dem gemeinsamen Bereich oder dem freigegebenen Teams-Gerät zugewiesen ist. Es bedeutet nicht, dass das Techniker- oder Administratorkonto zum Ausführen der Einrichtung verwendet wird.

Beginnen Sie mit dem Modus "Nur Bericht". Überprüfen Sie das erwartete Teams-Geräteverhalten, bevor Sie die Richtlinie aktivieren.

In diesem Artikel wird ein Standardblockansatz mit zwei mehrstufigen Ausnahmen verwendet:

  • Eine persistente Sicherheitsgruppe, die die Teams-Geräteressourcenkonten enthält, die einen Gerätecodefluss benötigen.
  • Ein Ausschluss für die Device Registration Service-Ressource, sodass die Geräteregistrierung über den Gerätecodefluss nicht durch Ihre Richtlinie blockiert wird.

Führen Sie die Richtlinie schrittweise ein:

  1. Inventarisierung des Gerätecodeflusses in Anmeldeprotokollen.

  2. Erstellen von Ausnahmegruppen:

    • Eine dauerhafte Ausnahmegruppe für Teams-Geräte mit den Ressourcenkonten, die Ihren Teams-Geräten zugewiesen sind.
    • Eine dauerhaft genehmigte Nicht-Teams-Gruppe, wenn Sie Szenarien für den Gerätecodefluss ohne Teams genehmigt haben.

  3. Erstellen Sie eine Richtlinie für bedingten Zugriff, die den Gerätecodefluss blockiert, diese Gruppen ausschließt und die Device Registration Service-Ressource ausschließt.

  4. Testen Sie die Richtlinie mit ausgewählten Konten und Teams-Geräten im Modus „Nur Bericht“.

  5. Überprüfen Sie Ergebnisse im Modus „Nur Bericht“ und Anmeldeprotokolle.

  6. Aktivieren Sie die Richtlinie.

  7. Fügen Sie der Ausnahmegruppe neue Ressourcenkonten für Teams-Geräte hinzu, wenn Geräte bereitgestellt werden.

  8. Überwachen blockierter Anmeldungen und Ausnahmegruppenmitgliedschaft.

Teams-Geräte benötigen den Gerätecodefluss sowohl für die anfängliche Anmeldung als auch für Szenarien zur erneuten Authentifizierung, z. B. Kennwortänderungen oder Richtlinienänderungen für bedingten Zugriff. Die Ausnahme für Geräteressourcenkonten in Teams ist dauerhaft und nicht zeitlich befristet. Teams-Ressourcenkonten, die die kennwortlose Authentifizierung nutzen, sind eine Ausnahme von der Anforderung zur erneuten Authentifizierung: Sie benötigen den Gerätecodefluss nur bei der Erstbereitstellung. Behalten Sie diese Konten in der persistenten Ausnahmegruppe bei, damit die Erneute Bereitstellung und Wiederherstellungsszenarien nicht blockiert werden.

Eine Ausnahme ist account-scoped. Es gibt keine Möglichkeit, die Ausnahme nur auf eine Ressource oder ein Szenario zu beschränken. Während dieses Ausnahmezeitraums kann ein ausgeschlossenes Konto den Device Code-Flow für alle Apps oder Ressourcen verwenden, die in den Geltungsbereich der Richtlinie fallen. Beschränken Sie die Mitgliedschaft in der Ausnahmeliste auf echte Teams-Geräteressourcenkonten, die überwacht und vom Besitzer genehmigt sind.

Ausschluss von Benutzern

Richtlinien für bedingten Zugriff sind leistungsstarke Tools. Es wird empfohlen, die folgenden Konten aus Ihren Richtlinien auszuschließen:

  • Notfallzugriffskonten oder Notfallkonten zum Verhindern einer Sperrung aufgrund von falsch konfigurierten Richtlinien. In dem unwahrscheinlichen Szenario, in dem alle Administratoren gesperrt sind, kann Ihr Administratorkonto für den Notfallzugriff verwendet werden, um sich anzumelden und den Zugriff wiederherzustellen.
  • Dienstkonten und Dienstprinzipale, z. B. das Microsoft Entra Connect-Synchronisierungskonto. Dienstkonten sind nichtinteraktive Konten, die nicht an einen bestimmten Benutzer gebunden sind. Sie werden in der Regel von Back-End-Diensten verwendet, um programmgesteuerten Zugriff auf Anwendungen zu ermöglichen, aber sie werden auch verwendet, um sich für administrative Zwecke bei Systemen anzumelden. Anrufe von Dienstprinzipalen werden nicht durch Richtlinien für bedingten Zugriff blockiert, die auf Benutzer angewendet werden. Verwenden Sie bedingten Zugriff für Arbeitsauslastungsidentitäten, um Richtlinien zu definieren, die auf Dienstprinzipale abzielen.
    • Wenn Ihre Organisation diese Konten in Skripts oder Code verwendet, ersetzen Sie sie durch verwaltete Identitäten.

Erstellen Sie die Richtlinie für bedingten Zugriff

Erstellen Sie eine Richtlinie, die den Gerätecodefluss standardmäßig blockiert.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Unter Assignments wählen Sie Benutzer oder Workload-Identitäten aus.
    1. Wählen Sie unter "Einschließen" die gewünschten Benutzer im Gültigkeitsbereich für die Richtlinie aus (alle empfohlenen Benutzer ).
    2. Führen Sie unter Ausschließen die folgenden Schritte aus:
      • Wählen Sie Benutzer und Gruppen aus, und wählen Sie die Notfallzugriffs- oder Break-Glass-Konten Ihrer Organisation sowie die genehmigten Ausnahmegruppen für den Gerätecodefluss aus. Diese Ausschlussliste regelmäßig überwachen.
  6. Unter Zielressourcen>Ressourcen (ehemals Cloud-Apps):
    1. Wählen Sie unter "Einschließen" die Option "Alle Ressourcen" (früher "Alle Cloud-Apps") aus, es sei denn, Ihre Organisation hat einen schmaleren Ressourcenbereich für das Szenario überprüft.
    2. Wählen Sie unter "Ausschließen" die Option "Ausgeschlossene Cloud-Apps auswählen " aus, und fügen Sie den Geräteregistrierungsdienst hinzu. Dieser Ausschluss ist erforderlich, sodass die Geräteregistrierung über den Gerätecodefluss nicht durch Ihre Richtlinie blockiert wird. Weitere Informationen finden Sie unter Erzwingung von Richtlinien für Authentifizierungsabläufe für die Ressource des Device Registration Service.
  7. Legen Sie unter Bedingungen>Authentifizierungsflüsse " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie den Gerätecodefluss aus.
    2. Wählen Sie "Fertig" aus.
  8. Unter Access controls>Grant wählen Sie Block access aus.
    • Wählen Sie Select aus.
  9. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  10. Wählen Sie "Erstellen" aus, um Ihre Richtlinie zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Ausnahmen für Ressourcenkonten für Teams-Geräte verwalten

Fügen Sie Teams-Geräteressourcenkonten der persistenten Ausnahmegruppe hinzu, wenn Geräte bereitgestellt werden. Entfernen Sie ein Konto nur, wenn das Gerät zurückgezogen wird oder das Ressourcenkonto nicht mehr verwendet wird.

  1. Identifizieren Sie das dem Gerät zugewiesene Teams-Geräteressourcenkonto.
  2. Fügen Sie das Ressourcenkonto zur Ausnahmegruppe für beständigen Teams-Geräte hinzu.
  3. Notieren Sie den Besitzer, das Gerät und eine Änderungs- oder Ticket-ID für die Überwachung.
  4. Registrieren oder das Teams-Gerät mit Gerätecodeflow erneut bereitstellen.
  5. Vergewissern Sie sich, dass das Gerät die Bereitstellung abgeschlossen hat, und meldet sich wie erwartet an.

So nehmen Sie ein Teams-Gerät außer Betrieb:

  1. Entfernen Sie das Ressourcenkonto aus der Ausnahmegruppe.
  2. Deaktivieren oder löschen Sie das Ressourcenkonto.
  3. Dokumentieren Sie die Außerbetriebnahme.

Überprüfen vor der Erzwingung

Bevor Sie die Richtlinie aktivieren, verwenden Sie die Ergebnisse des Modus „Nur Bericht“ und die Anmeldeprotokolle, um Folgendes zu bestätigen:

  • Die erwartete Registrierung des Teams-Geräts ist erfolgreich.
  • Die Registrierung wird nicht durch die Richtlinie für den Gerätecodefluss blockiert, wenn die Ausnahme für das Ressourcenkonto gilt.
  • Der Geräteregistrierungsdienst ist von der Richtlinie ausgeschlossen.
  • Teams-Geräte melden sich nach der Registrierung weiterhin an, einschließlich erneuter Authentifizierungsszenarien wie Kennwortänderungen oder Richtlinienänderungen für bedingten Zugriff.
  • Genehmigte Szenarien mit Nicht-Teams-Gerätecodefluss werden durch explizite Ausnahmegruppen dargestellt.
  • Unbekannter oder ungerechtfertigter Gerätecodefluss wird blockiert.
  • Notzugriffskonten bleiben ausgeschlossen.

Verwenden Sie das Authentifizierungsprotokoll = Gerätecodefluss , wenn Sie die Verwendung des aktiven Gerätecodeflusses vor dem Rollout inventarisieren. Verwenden Sie die Ursprüngliche Übertragungsmethode = Gerätecodefluss , wenn Sie wissen müssen, ob eine spätere Anmeldung oder Tokenaktualisierung noch an eine frühere Gerätecodeflusssitzung gebunden ist.

Szenario Zu verwendendes Feld Warum?
Inventarisierung der aktuellen Gerätecodeflussverwendung vor dem Rollout Authentifizierungsprotokoll = Gerätecodefluss Findet Anmeldungen, bei denen der Gerätecodefluss für dieses Ereignis verwendet wurde.
Nur Berichtswirkungen überprüfen Beide Felder Zeigt die Verwendung des direkten Gerätecodeflusses und spätere Sitzungen an, die noch als vom Gerätecode abgeleitete Sitzungen ausgewertet werden.
Überprüfen der laufenden Nutzung des Gerätecodeflusses durch Teams-Geräteressourcenkonten Authentifizierungsprotokoll = Gerätecodefluss Es wird erwartet, dass der Gerätecodefluss für die anfängliche Anmeldung und die erneute Authentifizierung für Konten in der Ausnahmegruppe angezeigt wird.
Beheben einer unerwarteten Sperre bei einem Teams-Gerät Ursprüngliche Übertragungsmethode = Gerätecodefluss Das aktuelle Anmeldeereignis zeigt den Gerätecodeflow möglicherweise nicht als Authentifizierungsprotokoll an, aber der Bedingte Zugriff kann die Sitzung dennoch als vom Gerätecode abgeleitet bewerten.
Genehmigte Ausnahmen für Nicht-Teams prüfen Beide Felder Zeigt die Verwendung des neuen Gerätecodeflusses und fortlaufende Aktivitäten aus gerätecodebasierten Sitzungen an.

Eine Sitzung, die mit dem Gerätecodefluss gestartet wurde, kann bei späteren Tokenaktualisierungen protokollgetrackt bleiben, auch wenn das aktuelle Anmeldeereignis den Gerätecodefluss nicht als Authentifizierungsprotokoll anzeigt. Weitere Informationen finden Sie unter Protokollnachverfolgung.

Troubleshooting

Ein Teams-Gerät ist unerwartet blockiert.

Ein Teams-Gerät sollte nicht durch die Richtlinie für bedingten Zugriff blockiert werden, wenn sich das Ressourcenkonto in der Ausnahmegruppe befindet und der Geräteregistrierungsdienst von der Richtlinie ausgeschlossen ist.

Wenn ein Teams-Gerät unerwartet blockiert wird:

  1. Vergewissern Sie sich, dass sich das Ressourcenkonto in der persistenten Ausnahmegruppe befindet.
  2. Bestätigen Sie, dass der Geräteregistrierungsdienst in der Richtlinie aus den Zielressourcen ausgeschlossen ist.
  3. Überprüfen Sie die Anmeldeprotokolle. Wenn die ursprüngliche Übertragungsmethode den Gerätecodefluss anzeigt, wird die Sitzung möglicherweise von einer früheren Authentifizierung protokolliert, auch wenn der aktuelle Authentifizierungsprotokollwert kein Gerätecodefluss ist.

Wenn das Gerät nach diesen Prüfungen noch blockiert wird, öffnen Sie ein Supportticket, um dies zu untersuchen.

Persönliche Teams-Geräte benötigen Gerätecodefluss

Persönliche Teams-Geräteszenarien sind schwieriger einzugrenzen, da das Benutzerkonto möglicherweise auch den Gerätecodefluss für Szenarien ohne Teams verwenden kann. Vermeiden Sie allgemeine Benutzerausschlüsse. Wenn eine benutzerbasierte Ausnahme erforderlich ist, dokumentieren Sie das Risiko, überwachen Sie die Verwendung, und überprüfen Sie die Ausnahme regelmäßig.

Wenn Sie den Gerätecodefluss außerhalb von Teams-Geräten verwenden

Einige Organisationen verwenden den Gerätecodefluss für andere Szenarien, z. B. Azure CLI, Entwicklertools, Administratortools oder ältere Befehlszeilenfunktionen. Berücksichtigen Sie diese Szenarien als Teil Ihrer konfigurierten Richtlinien, um Auswirkungen zu vermeiden.

Bevor Sie einen mandantenweiten Gerätecodeflussblock erzwingen:

  1. Überprüfen Sie Anmeldeprotokolle, gefiltert nach Authentifizierungsprotokoll = Gerätecodefluss, sowie Anmeldungen, bei denen Ursprüngliche Übertragungsmethode = Gerätecodefluss gilt.
  2. Identifizieren Sie den Benutzer, die App oder Ressource, den Standort, den Gerätekontext und den Geschäftsbesitzer für jede Abhängigkeit.
  3. Verschieben Sie Szenarien nach Möglichkeit zu sichereren Authentifizierungsmethoden. Bevorzugen Sie bei Benutzern die browserbasierte oder brokergestützte Anmeldung. Bevorzugen Sie für die Automatisierung verwaltete Identitäten oder den Workload-Identitätsverbund.
  4. Erstellen Sie Ausnahmegruppen nur für genehmigte Gerätecodeflussabhängigkeiten.
  5. Behandeln Sie alle verbleibenden nicht Teams-bezogenen Ausnahmen als dokumentierte Risikoakzeptanz mit einem Verantwortlichen und einem festgelegten Überprüfungsrhythmus.

Fügen Sie keine breiten Benutzergesamtheiten zu Ausnahmegruppen hinzu. Eine weit gefasste Benutzerausnahme kann den Gerätecodefluss über das vorgesehene Tool oder Szenario hinaus zulassen.

Beibehalten der Richtlinie nach der Erzwingung

Nachdem die Richtlinie durchgesetzt wurde, überwachen Sie die Verwendung des Device Code Flow weiterhin und halten Sie Ausnahmen aktuell.

Empfehlung Tue nicht
Überprüfen Sie die Ausnahmemitgliedschaft regelmäßig. Ausnahmen beim persistenten Gerätecodefluss ohne laufende Überprüfung als permanente Standardwerte behandeln.
Überwachen Sie Anmeldungen, bei denen die ursprüngliche Methode der Übertragung der Gerätecodeflow ist. Verlassen Sie sich nur auf das Authentifizierungsprotokoll , wenn Sie Protokollverfolgungssitzungen untersuchen.
Verschieben von Nicht-Teams-Abhängigkeiten vom Gerätecodefluss weg, wenn sicherere Authentifizierungsmethoden verfügbar sind. Fügen Sie nicht-Teams-Konten zur Ausnahmegruppe "Teams-Geräte" hinzu.
Warnung bei unerwarteter Verwendung des Gerätecodeflusses durch privilegierte Benutzer, Notfallzugriffskonten, nicht vertraute Apps oder unerwartete Standorte. Angenommen, genehmigte Ausnahmen bleiben ohne wiederkehrende Überprüfung sicher.

Verwandte Inhalte

  • Last updated on