Frage zur MFA Organisation in Unternehmen

Auf eine Lösung, die nur ein Profil unterstützt, würde ich nicht setzen, da zu unflexibel. Gerade bei SSO-Integrationen von Anwendungen höherer Sicherheitsstufen (Passwortmanager, PAM, Zertifikatverwaltung etc.) bietet sich MFA als Hebel zur Abgrenzung ggü. den sonstigen Authentifizierungsvorgängen im Unternehmen an, indem SSO mit einer anwendungsnativen MFA-Methode kombiniert wird und nicht die SSO-Sitzung per MFA erneuert wird. Dadurch sind zwangsläufig mehrere Profile erforderlich, ebenso wie in vielen anderen Fällen, an die man im Vorhinein nicht unbedingt denkt.

Aufgrund der Zahl der integrierten Anwendungen und dem Zielkonflikt zwischen SSO und ständiger MFA-Erneuerung der Sitzung, kann ansonsten eigentlich nur eine niedrigschwellige Methode verwendet werden, typischerweise Push-Confirmation. Dies schließt für sich genommen schon den Einsatz antiquierter Display-Token aus.

Grüße
Richard

Hi,

Interessiert mich auch, wie ihr das macht. Bin zwar nicht so tief im Thema, aber bei uns wurde den Usern ohne Firmenhandy gesagt, dass sie die App am privaten installieren sollen...
Das gefällt nicht allen.

Sg Dirm

Ich kann euch ja mal erzählen wir ich das bei einem meiner Privatkunden umgesetzt habe.

Setup: ( grob )
AAD Sync ( Entra ID Sync )
Office 365 Business Prem / MS 365 E3 Lizenzen und ein paar Business Basic Lizenzen
Größtenteils alles Lokal
In der Cloud wird derzeit genutzt:
Exchange Online
Teams
Sharepoint
Onedrive
Intune in kombi mit SCCM Endpoint Protection.
MS Sentinel + PIM + IDM
Alles für ca 100 User

MFA für alle Pflicht -
Abfederung des MFA durch Conditional Access
1 x Regel das alles was von der FESTEN IP der Standorte ( 3 Standorte / 3 Fixe IP´s ) nach Office / MS 365 Cloud will KEIN MFA braucht weil Aufenthaltsort ja bekannt ist durch die IP des Standortes.
MFA für alle außerhalb der Firma ebenfalls über Conditional Access entsprechend abgemildert - Auf den Intune Managed Devices gibts keine MFA da Intune MDM ja der Vertrauensanker ist aber nur wenn die Geräte Compliant sind. Non Compliant dann das volle Programm.
Homeoffice das selbe - Bekannte Geräte nur ab und zu MFA ( keine Ahnung nach was sich das richtet, sind aber zufrieden wie das läuft )

Einziges Problem waren damals die User die ab und zu mal HO machen wie z.B. die Azubis. Hier wurden dann einfach alte Handys als MFA Token ( MS Authenticator in verbindung mit Intune MDM auf dem Handy ) verwendet für die Anmeldung.

Wenn jemand versucht aus dem Ausland auf MS365 zuzugreifen dann IMMER MFA für alle und jeden.

Dann gibt es noch ein paar Gruppen für die verschiedenen MFA Möglichkeiten denn nicht jeder darf alle MFA Optionen nutzen.
Eine Gruppe z.b. nur den Authenticator als App, andere hingegen SMS und/oder MS Authenticator je nach Standort usw........

Man kann hier durchaus tolle Konstrukte bauen. Als nächstes wird das VPN dann auch in die Azure Cloud verlagert und dann darüber entsprechend die MFA Authentifizierung zu machen je nach dem was gefordert ist.

Das ganze wird durch PIM und MS Sentinel entsprechend Überwacht.

Defender usw. von MS auf den Endgeräten ist auch Pflicht denn ohne Defender = Gerät nicht Compliant und keine Anmeldung möglich AU?ER von der IP´s der Standorte. Ach ja das VPN geht über eine andere Externe IP ins große WWW raus.
ZScaler hängt da seit neustem auch noch mit drinne als Proxy Server / Webfilter usw usf.....
Die Firewalls werden ebenfalls bald getauscht gegen welche die sich in Sentinel einbinden lassen.


Alles was an Mitarbeitern raus fährt bzw. Home Office macht hat sowieso ein Firmenhandy.

Hallo

Wir haben nur ein MS Konto für VLSC.
M365 wird nicht eingesetzt.
Auch sonst keine Cloud, alles läuft auf internen Server.
Um sich vom Homeoffice oder unterwegs mit Citrix zu Verbinden nutzen wir OneSpan (on-premises).
Diese Mitarbeiter müssen auf ihrem persönlichen Smartphone die entsprechende App installieren.

Gruss
Feuerbrand