אבטחת גישה: Conditional Access, MFA ו־PIM

בענן אין פרימטר רשת — הזהות היא הפרימטר. לכן ההגנה המרכזית ב־Entra ID היא Conditional Access: מדיניות שבודקת מי מתחבר, מאיפה ובאיזה מכשיר, ורק אז מחליטה אם לאפשר גישה.

מבנה כלל Conditional Access

• Assignments — למי הכלל חל: משתמשים, קבוצות, תפקידי ניהול.
• Conditions — מאיפה: מיקום, פלטפורמת מכשיר, רמת סיכון הכניסה.
• Access controls — מה דורשים: MFA, מכשיר Compliant, או חסימה מלאה.
• Report-only — מצב בדיקה שמראה את ההשפעה בלי לחסום משתמשים אמיתיים.

שכבות הגנה נוספות

• MFA — אימות רב־שלבי; עדיף Authenticator או FIDO2 על פני SMS.
• PIM (Privileged Identity Management) — הרשאות אדמין זמניות לפי בקשה ואישור, במקום Global Admin קבוע.
• Identity Protection — זיהוי כניסות מסוכנות: Impossible travel, Password spray, דליפת סיסמה.
• Security defaults — סט הגנות בסיסי לארגונים קטנים בלי רישוי מתקדם.

# צפייה בכניסות אחרונות של משתמש (Microsoft Graph PowerShell)
Connect-MgGraph -Scopes "AuditLog.Read.All","Directory.Read.All"
Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'user@contoso.com'" -Top 20 |
  Select-Object createdDateTime, appDisplayName, ipAddress, status

# מי מחזיק תפקידי ניהול
Get-MgDirectoryRole | ForEach-Object { $_.DisplayName }