Защита доступа: Conditional Access, MFA и PIM

В облаке нет сетевого периметра — периметром становится идентификация. Поэтому основная защита в Entra ID — Conditional Access: политика, которая смотрит, кто входит, откуда и с какого устройства, и только потом решает, дать ли доступ.

Из чего состоит правило Conditional Access

• Assignments — к кому применяется: пользователи, группы, административные роли.
• Conditions — откуда: расположение, платформа устройства, уровень риска входа.
• Access controls — что требуем: MFA, совместимое (compliant) устройство или полный запрет.
• Report-only — тестовый режим: показывает эффект политики, никого не блокируя.

Дополнительные уровни защиты

• MFA — многофакторная аутентификация; Authenticator или FIDO2 лучше, чем SMS.
• PIM (Privileged Identity Management) — временные права администратора по запросу и согласованию вместо постоянного Global Admin.
• Identity Protection — обнаружение рискованных входов: impossible travel, password spray, утечка пароля.
• Security defaults — базовый набор защит для небольших организаций без продвинутых лицензий.

# Просмотр последних входов пользователя (Microsoft Graph PowerShell)
Connect-MgGraph -Scopes "AuditLog.Read.All","Directory.Read.All"
Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'user@contoso.com'" -Top 20 |
  Select-Object createdDateTime, appDisplayName, ipAddress, status

# Кто имеет административные роли
Get-MgDirectoryRole | ForEach-Object { $_.DisplayName }