Identitet som den nye perimeter: betinget adgang

Politikker for Conditional Access evaluerer flere signalkategorier samtidigt. Bruger-/gruppesignaler identificerer, hvem der anmoder (administrator, gæst, kontraktansat). Enhedssignaler kontrollerer compliance-status fra MDM. Applikationssignaler identificerer, hvilken app der tilgås (høj eller lav følsomhed). Placeringssignaler sammenligner IP-adressen med navngivne placeringer og betroede lande. Signaler for loginrisiko fra threat intelligence markerer mistænkelige loginmønstre.

En politik for Conditional Access giver et af flere mulige resultater. Grant tillader adgang, muligvis med krav om MFA eller en compliant enhed. Block nægter adgangen fuldstændigt — for eksempel ved at blokere al adgang fra lande med høj risiko. Sessionsstyring kan begrænse, hvad brugere gør, efter at adgangen er givet: kræve ny autentifikation efter en timeout, blokere downloads eller gennemtvinge skrivebeskyttet tilstand i cloudapplikationer.

Risikobaseret Conditional Access integrerer threat intelligence i adgangsbeslutningen i realtid. Identitetsudbydere som Azure AD Identity Protection tildeler login risikoscorer baseret på signaler som umulig rejse (login fra to lande inden for få minutter), brug af kendte ondsindede IP-adresser, lækkede legitimationsdatabaser og afvigende adfærdsmønstre. Login med høj risiko kan automatisk blokeres, eller brugeren kan blive bedt om at bekræfte sin identitet igen.

Conditional Access kan kræve enhedsoverholdelse som forudsætning for adgang til følsomme ressourcer. En compliant enhed er tilmeldt i MDM (Intune, Jamf), kører en understøttet OS-version, har aktiveret diskkryptering og har ingen kendte sårbarheder, som er markeret af EDR. Ikke-administrerede enheder eller enheder, der ikke overholder kravene, omdirigeres til en tilmeldingsportal i stedet for at få adgang — selv hvis brugerens legitimationsoplysninger er gyldige.

Navngivne placeringer i Conditional Access definerer betroede IP-intervaller — kontorers IP-adresser, filialnetværk eller VPN-exitnoder. Politikker kan kræve yderligere autentifikation (MFA) ved al adgang fra placeringer uden for de navngivne placeringer eller blokere adgangen fuldstændigt fra bestemte lande eller anonyme proxy-netværk. Det tilføjer et placeringslag til identitetsverifikationen uden at vende tilbage til en perimeterbaseret tankegang baseret på IP.

Traditionelle adgangstokens er gyldige i hele deres levetid (ofte en time), uanset hvad der sker med brugerkontoen efter udstedelsen. Continuous Access Evaluation (CAE) gør det muligt for ressourceudbyderen at tilbagekalde tokens næsten i realtid, når kritiske hændelser opstår — kontoen deaktiveres, adgangskoden ændres, eller brugeren markeres som risikabel. Applikationen kontrollerer tokenets gyldighed under sessionen og ikke kun ved login, hvilket lukker det hul, hvor kompromitterede tokens forbliver gyldige.

Organisationer har ofte behov for at give partnere og kontraktansatte adgang uden at oprette interne konti. Fødereret identitet gør det muligt for en ekstern identitetsudbyder (partnerens Azure AD, Google Workspace) at autentificere brugere og videregive bekræftede identitetsoplysninger. Politikker for Conditional Access kan gælde for fødererede brugere — de kan kræve MFA, begrænse enhedstyper eller begrænse, hvilke applikationer brugerne må tilgå — så organisationen bevarer kontrollen uden at administrere deres konti direkte.

Ud over at tillade eller blokere adgang kan Conditional Access håndhæve sessionskontroller. For cloudapps, der er integreret med Microsoft Defender for Cloud Apps eller lignende CASB-løsninger (Cloud Access Security Broker), kan politikker begrænse følgende: blokere fildownloads på ikke-administrerede enheder, kræve ny autentifikation efter 8 timers inaktivitet, vise advarsler ved adgang til følsomme data eller forhindre kopiering og indsættelse af fortroligt indhold uden for virksomhedens miljø.

At implementere identitet som perimeter kræver integration af flere teknologier: en Identity Provider (IdP), der understøtter moderne protokoller (SAML, OIDC), en MDM/EMM-løsning til data om enheders compliance, en politikmotor til Conditional Access og multifaktorautentifikation som minimumsgrundlag. Målet er at sikre, at ingen adgang finder sted uden bekræftet identitet og enhedstilstand, uanset netværksplacering — og dermed fjerne begrebet om et betroet internt netværk.

I denne lektion lærte du, at identitet erstatter netværksperimeteren som den primære tillidsforankring i Zero Trust, at Conditional Access evaluerer flere signaler (bruger, enhed, placering og risiko), før adgang gives, og at sessionsstyring og Continuous Access Evaluation opretholder sikkerheden under hele adgangssessionen og ikke kun ved login. Nu ser vi på Zero Trust-modenhedsmodellen som grundlag for planlægning af implementering i hele virksomheden.