Sterkere security met Conditional Access: MDM en compliance vereist

Je beheert de laptops en telefoons van je organisatie met Intune en hebt compliance policies ingesteld. Toch kan een gebruiker zich nog steeds aanmelden bij Microsoft 365 vanaf een privélaptop die je niet kent, of vanaf een apparaat zonder pincode of versleuteling. De compliance-status zegt dan iets over het apparaat, maar blokkeert zelf geen toegang tot je cloud-apps.

Microsoft Entra heeft daarvoor een kant-en-klare Conditional Access-template: Require compliant device. In deze blogpost lees je hoe je met die template afdwingt dat alleen apparaten die in Intune zijn ingeschreven en aan je compliance policy voldoen bij je cloud-apps kunnen, op de accounts die je bewust uitsluit en een paar uitzonderingen van Microsoft na (zoals het inschrijven in Intune zelf), hoe de gebruiker dat merkt en hoe je het resultaat in de sign-in logs terugziet.

Wat is de template Require compliant device?

Conditional Access beslist bij elke aanmelding of iemand toegang krijgt en onder welke voorwaarden. Een van die voorwaarden is dat het apparaat als compliant is gemarkeerd. Die status komt uit Intune: een apparaat dat in Intune is ingeschreven, wordt geregistreerd in Microsoft Entra ID en Intune meldt daar of het aan je compliance policies voldoet.

De Conditional Access-templates zijn vooraf ingevulde policies volgens de aanbevelingen van Microsoft. De template Require compliant device is een policy voor alle gebruikers en alle resources, met als grant control Require device to be marked as compliant.

Wat heb je nodig?

• Microsoft Entra ID P1, bijvoorbeeld via Microsoft 365 Business Premium. Conditional Access vereist die licentie.
• Een Intune-abonnement voor de compliance policies.
• De rol Conditional Access Administrator of hoger, en in Intune een rol waarmee je de compliance-instellingen van de tenant mag wijzigen.
• Apparaten die in Intune zijn ingeschreven.
• Een compliance policy voor elk platform dat je toegang wilt geven, toegewezen aan je gebruikers of apparaten, en minstens één apparaat dat al compliant is. Zonder compliance policy werkt deze Conditional Access-policy niet zoals bedoeld.

Behandel apparaten zonder compliance policy als niet compliant

Standaard telt Intune een apparaat waaraan geen compliance policy is toegewezen als Compliant. Zo’n apparaat zou dan ook door de Conditional Access-policy komen. Pas daarom eerst deze tenantinstelling aan:

1. Meld je aan bij het Microsoft Intune admin center.
2. Navigeer naar Endpoint security > Device compliance > Compliance policy settings.
3. Zet Mark devices with no compliance policy assigned as op Not compliant.
4. Sla de instelling op.

Daarna krijgen alleen apparaten die aan een compliance policy zijn getoetst en daaraan voldoen de status compliant.

Maak de policy aan vanuit de template

1. Meld je aan bij het Microsoft Entra admin center met een account dat minstens de rol Conditional Access Administrator heeft.
2. Navigeer naar Entra ID > Conditional Access.
3. Kies Create new policy from templates. Gebruik Show more als je niet alle templates van een categorie ziet.
4. Selecteer de template Require compliant device.
5. Controleer het overzicht van de instellingen en maak de policy aan.

De screenshot hieronder komt uit een oudere interface en toont de template nog onder zijn oude naam; Microsoft noemt hem nu Require compliant device. De beschrijving in de screenshot noemt ook uitgesloten synchronisatieaccounts. De huidige template sluit alleen het account uit dat de policy maakt.

Een policy uit een template staat standaard in report-only mode. Hij wordt dan bij elke aanmelding geëvalueerd en gelogd, maar nog niet afgedwongen.

Pas de toewijzingen aan

De template vult de policy zo in:

• Users: alle gebruikers, met als enige uitzondering het account dat de policy heeft gemaakt.
• Target resources: All resources.
• Grant: Grant access, met Require device to be marked as compliant.

Pas de uitzonderingen aan voordat je de policy aanzet:

1. Navigeer naar Entra ID > Conditional Access > Policies en open de nieuwe policy.
2. Ga onder Users naar Exclude en kies Users and groups.
3. Voeg je emergency access-accounts toe.
4. Gebruik je Microsoft Entra Connect of Cloud Sync, kies dan ook Directory roles en selecteer Directory Synchronization Accounts.
5. Sla de policy op.

Het account waarmee je de policy hebt gemaakt, blijft uitgesloten. Moet ook dat account een compliant apparaat gebruiken, controleer dan eerst of het apparaat waarmee je beheert compliant is en haal daarna die uitsluiting onder Exclude weg.

💡 Emergency access-accounts, ook wel breakglass-accounts, zijn bedoeld voor het geval dat je normale beheerdersaccounts niet meer kunnen aanmelden, bijvoorbeeld door een verkeerd ingestelde policy. Sluit ze uit van elke Conditional Access-policy die aanmelden blokkeert of beperkt, zoals deze. Microsoft beschrijft hoe je ze inricht in Manage emergency access accounts in Microsoft Entra ID.

Zet de policy aan

1. Controleer in de sign-in logs wat de policy in report-only mode zou doen (zie hieronder).
2. Heb je macOS, iOS en Android tijdens report-only mode uitgesloten (zie hieronder), dan heb je voor die platforms geen voorspelling gezien. Controleer in Intune of die apparaten compliant zijn en haal daarna de uitsluiting weg.
3. Open de policy en zet Enable policy van Report-only op On.
4. Sla de policy op.

De grant control blokkeert de inschrijving in Intune zelf niet. Een gebruiker met een nieuw apparaat kan dat dus nog steeds inschrijven en daarna compliant worden.

Bekijk het resultaat in de sign-in logs

Of de policy doet wat je verwacht, zie je in de sign-in logs. Om ook de Conditional Access-policies in de logs te zien, heb je minstens de rol Security Reader nodig; met alleen Reports Reader zie je de logs, maar niet de policies (Conditional Access and Microsoft Entra activity logs).

1. Navigeer in het Microsoft Entra admin center naar Entra ID > Monitoring & health > Sign-in logs.
2. Open een aanmelding van een gebruiker die onder de policy valt.
3. Kijk op het tabblad Report-only zolang de policy in report-only mode staat, en daarna op het tabblad Conditional Access.

In report-only mode zie je bij een apparaat dat niet compliant is het resultaat Report-only: Failure en bij een compliant apparaat Report-only: Success. Er bestaat ook Report-only: User action required: dan zou de gebruiker eerst zelf iets moeten doen om aan de policy te voldoen. Zo zie je vóór het aanzetten bij welke aanmeldingen de policy zou blokkeren.

Staat de policy aan, dan is het resultaat Failure of Success, of Not applied voor accounts en platforms die je hebt uitgesloten. De twee screenshots hieronder komen van een policy die al aanstond, en tonen ook de oude naam van de template. Bij een apparaat dat niet compliant is:

Bij een ingeschreven, compliant apparaat:

Een overzicht van alle mogelijke resultaten staat in Conditional Access report-only mode.

💡 Een report-only policy die een compliant apparaat vereist, kan gebruikers op macOS, iOS en Android al vragen een apparaatcertificaat te kiezen, ook al wordt er nog niets afgedwongen. Wil je dat voorkomen, sluit die platforms dan uit zolang de policy in report-only mode staat.

Gebruikerservaring

Zodra de policy aanstaat, controleert Conditional Access bij het aanmelden bij een cloud-app of het apparaat compliant is. Is het dat niet, dan krijgt de gebruiker geen toegang.

Op iOS, Android en macOS, en in sommige browsers die niet van Microsoft zijn, herkent Microsoft Entra ID het apparaat aan een certificaat dat bij de registratie is geplaatst. Bij de eerste aanmelding in de browser vraagt de browser de gebruiker dat certificaat te kiezen; pas daarna kan hij verder.

Op een Windows-laptop

De screenshots hieronder laten zien wat een gebruiker op een Windows-apparaat dat niet compliant is te zien kreeg. In de browser verscheen een melding, zoals in deze screenshot:

Welke eisen gelden, hangt af van je Windows compliance policy: bijvoorbeeld een wachtwoord, versleuteling met BitLocker of een minimale versie van Windows. Is de versie te oud, dan krijgt de gebruiker een link met uitleg over de update. In deze screenshot werd gevraagd het besturingssysteem bij te werken:

Vereist je compliance policy Require BitLocker, houd er dan rekening mee dat Windows die instelling alleen bij het opstarten meet. Na het inschakelen van BitLocker moet het apparaat dus opnieuw opstarten voordat het compliant wordt. Dat blijft zo met de snellere compliance-evaluatie voor Windows; zie Snellere compliance-updates voor Windows in Intune.

Op een iPhone

Op iOS meldt de Company Portal-app de gebruiker welke compliance-problemen er zijn, bijvoorbeeld een te korte pincode of een te oude versie van iOS. Zo zag dat eruit in de screenshot:

In deze screenshot vroeg de app om de toegangscode van het apparaat bij te werken:

Na een aanpassing hoeft de gebruiker niet op de volgende check-in te wachten. Hij kan de controle zelf starten in de Company Portal-app: onder Devices kiest hij zijn apparaat en tikt hij op Check status. Daarna ziet hij of hij toegang heeft.

Tot slot

Met de template Require compliant device koppel je je Intune compliance policies aan de toegang tot je cloud-apps. Behandel apparaten zonder compliance policy als niet compliant, begin in report-only mode, sluit je emergency access-accounts uit en controleer de sign-in logs voordat je de policy aanzet.