एक अभिगम नियंत्रण तंत्र के रूप में सशर्त पहुंच

पिछले लेख में, मैंने इनट्यून स्टैंडअलोन के स्विच का उल्लेख किया, जिसने हमें एज़्योर एक्टिव डायरेक्ट्री की क्षमताओं का उपयोग करने की अनुमति दी, जो कि सशर्त पहुंच के साथ काम करने के लिए अधिक से अधिक है। इसमें, मैं आपको इसके बारे में अधिक बताऊंगा कि यह कैसे किया जा सकता है।

यह क्या है



सशर्त पहुंच (CA) कॉन्फ़िगर स्क्रिप्ट के आधार पर सिस्टम से जुड़ने की प्रत्येक प्रक्रिया की जाँच करने के लिए एक तंत्र है और निर्णय जो यह निर्धारित करता है कि इस कनेक्शन के साथ क्या करना है। और इसे निषिद्ध किया जा सकता है, बिना शर्तों के अनुमति दी जा सकती है या शर्तों के साथ अनुमति दी जा सकती है। यह Azure AD का एक घटक है।

यह परिदृश्य निम्नलिखित सेटिंग्स द्वारा वर्णित है:

असाइनमेंट - किन मामलों में स्क्रिप्ट को ट्रिगर किया जाना चाहिए।
अभिगम नियंत्रण - क्या करना है।


असाइनमेंट अनुभाग में शामिल हैं:

- उपयोगकर्ता और समूह - जो उपयोगकर्ता नीति के अधीन हैं। यह Azure AD या विशिष्ट समूहों / उपयोगकर्ताओं के सभी उपयोगकर्ता हो सकते हैं। अलग से, आप अपवाद निर्दिष्ट कर सकते हैं। आप एकल समूह को छोड़कर सभी उपयोगकर्ताओं के लिए नीति लागू कर सकते हैं।


- क्लाउड ऐप्स - स्क्रिप्ट को Azure AD में पंजीकृत किसी भी एप्लिकेशन पर लागू किया जा सकता है। यही है, आप केवल Office 365 अनुप्रयोगों के साथ काम करने तक सीमित नहीं हैं।


- स्थितियाँ - अतिरिक्त शर्तें।
- साइन-इन जोखिम - प्राधिकरण जोखिम मूल्यांकन तंत्र का उपयोग करने की क्षमता। यह अनुमान लगाया जाता है कि किस समय, किस क्लाइंट का उपयोग करते हुए, यह व्यवहार आमतौर पर कितना है, आदि। Azure AD प्रीमियम 2 लाइसेंस की आवश्यकता है।


- डिवाइस प्लेटफॉर्म - यह इंगित करना संभव है कि पॉलिसी किस प्लेटफॉर्म पर लागू होगी। उदाहरण के लिए, केवल मोबाइल ग्राहकों के लिए या केवल विंडोज़ मशीनों के लिए एक नीति बनाना।


- स्थान - मतलब नेटवर्क स्थान। आप विश्वसनीय आईपी पतों की सूची का उपयोग कर सकते हैं।


- क्लाइंट ऐप्स (पूर्वावलोकन) - क्लाइंट के प्रकार का मूल्यांकन करता है। केवल ब्राउज़र या ईएएस (एक्सचेंज एक्टिव सिंक) के लिए एक नीति बनाने के लिए उपयोग करना संभव है। उन लोगों के लिए जो मोबाइल उपकरणों पर OWA का उपयोग बंद करना चाहते हैं, लेकिन डेस्कटॉप कंप्यूटर के लिए विकल्प छोड़ दें।


- डिवाइस स्थिति (पूर्वावलोकन) - एक निश्चित स्थिति में उपकरणों को बाहर करना संभव बनाता है।


अगला, आपको यह कॉन्फ़िगर करने की आवश्यकता है कि नीति वास्तव में क्या करेगी या आवश्यकता होगी।


इसके लिए दो खंड हैं:

अनुदान - यह वह जगह है जहाँ परिदृश्य कॉन्फ़िगर किया गया है: पहुँच को अवरुद्ध करना या अतिरिक्त सुरक्षा उपायों की आवश्यकता।


सत्र - सत्र में ही नियंत्रण। अभी के लिए, केवल Exchange Online और Sharepoint ऑनलाइन के साथ उपयोग संभव है। अधिक जानकारी यहाँ ।

अब कुछ उपयोग मामलों को देखते हैं।

परिदृश्य 1. इन्ट्यू द्वारा प्रबंधित मोबाइल उपकरणों पर केवल एज़्योर एडी अनुप्रयोगों के लिए ओपन एक्सेस।

मान लें कि हमें Azure AD में पंजीकृत एप्लिकेशन तक पहुंच को प्रतिबंधित करना है और इसे केवल उन डिवाइसों को देना है जिन्हें Intune द्वारा प्रबंधित किया जाता है। और यह सभी उपकरणों पर लागू होना चाहिए।


हम सभी उपयोगकर्ताओं के लिए नीति लागू करना चुनते हैं।


इसके बाद सभी एप्लिकेशन को चुनें।

महत्वपूर्ण: एज़्योर मैनेजमेंट पोर्टल (portal.azure.com) को एक एप्लिकेशन के रूप में भी माना जाता है, इसलिए सावधान रहें। एक कहानी है - यदि आप सभी उपयोगकर्ताओं और सभी अनुप्रयोगों के लिए एक नीति बनाते हैं जो किसी भी कनेक्शन को अवरुद्ध कर देगा, तो कोई भी कभी भी आपके किरायेदार में नहीं जाएगा और यहां तक ​​कि Microsoft समर्थन भी आपकी मदद नहीं करेगा।

अब हमें केवल मोबाइल उपकरणों पर उपयोग के लिए नीति को कॉन्फ़िगर करने की आवश्यकता है। ऐसा करने के लिए, डिवाइस प्लेटफार्मों पर जाएं और मोबाइल ओएस (आईओएस, एंड्रॉइड, विंडोज फोन) का चयन करें।


हमने नीति लागू करने के लिए सभी आवश्यक शर्तों को चुना है, अब हम कनेक्शन की अनुमति देने के लिए शर्त का चयन करते हैं। इस मामले में, आवश्यक विकल्प डिवाइस के लिए इंट्यून (अनुपालन नीति) में सुरक्षा नीतियों का अनुपालन करने की आवश्यकता है। डिवाइस की स्थिति Intune से ली गई है।


नीति बनाने और लागू करने के बाद, Intune द्वारा प्रबंधित उपकरणों वाले उपयोगकर्ता अनुप्रयोगों का उपयोग करना जारी रखेंगे। जिन लोगों ने Intune से कनेक्ट नहीं किए गए डिवाइस का उपयोग किया है, उन्हें डिवाइस को पंजीकृत करने के लिए एक संदेश दिखाई देगा।

परिदृश्य 2. कॉर्पोरेट कंप्यूटर से केवल कॉर्पोरेट पोर्टल तक पहुंच।

आपको सक्रिय निर्देशिका और Azure सक्रिय निर्देशिका के बीच सिंक्रनाइज़ेशन को कॉन्फ़िगर करना होगा। इस प्रकार, हाइब्रिड Azure AD के जुड़ने से AD के कंप्यूटर मौजूद रहेंगे। आंतरिक पोर्टल को Azure AD के साथ पंजीकृत होना चाहिए। आप SSO को भी कॉन्फ़िगर कर सकते हैं।

अब यह पॉलिसी पर निर्भर है, जिसे सही उपयोगकर्ताओं पर लागू किया जाएगा और निर्दिष्ट पोर्टल या एप्लिकेशन से कनेक्ट होने पर केवल हाइब्रिड सम्मिलित उपकरणों से कनेक्शन की आवश्यकता होगी। सब कुछ IE और एज के साथ बॉक्स से बाहर काम करेगा। क्रोम को एक्सटेंशन की आवश्यकता होगी।

और अगर कुछ टूटता है?

कुछ समय में, आपको ऐसी परिस्थितियाँ मिल सकती हैं जहाँ उपयोगकर्ता एप्लिकेशन में लॉग इन नहीं कर सकता है और आपको यह समझ में नहीं आता है कि इसके लिए कौन सी पॉलिसी को दोष देना है।

इस स्थिति में, Azure AD में साइन-इन लॉग नीति प्रवर्तन स्थिति द्वारा फ़िल्टरिंग के साथ मदद करेगा।


प्रत्येक घटना के विवरण में, आप देख सकते हैं कि किस नीति ने काम किया और क्यों।

निष्कर्ष

सशर्त पहुंच आपको अनुप्रयोगों और सेवाओं तक लचीले ढंग से अंतर करने की अनुमति देता है। स्थितियों और उपयोग के मामलों की एक अनंत संख्या हो सकती है। यह सेवा Microsoft सेवाओं के साथ सबसे अच्छा खुलासा करती है। उदाहरण के लिए, यह आंतरिक संसाधनों तक पहुंच को प्रतिबंधित करने या कॉर्पोरेट नेटवर्क तक पहुंच को अवरुद्ध करते हुए एंडपॉइंट सुरक्षा के साथ एकीकृत करने के लिए एज़्योर एप्लिकेशन प्रॉक्सी के साथ एकीकृत किया जा सकता है।