En regel om betinget adgang er kun så god som det, den ikke dækker. IT-afdelingen har måske regler, der kræver tofaktor, blokerer gamle loginmetoder og stiller krav til enheder, og på papiret ser opsætningen fornuftig ud. Fundene i en test handler ikke nødvendigvis om, at reglerne mangler. De handler om undtagelser, der blev lavet midlertidigt, grupper, der ikke er med, og programmer, som ingen regel rammer. Svaret på, hvordan I lukker hullerne, hviler på Microsofts egen planlægningsvejledning: start med reglerne for alle, hold undtagelserne få og kendte, og afprøv ændringen, før den slås til.
Sådan virker reglerne, kort fortalt
Betinget adgang kombinerer signaler om bruger, enhed, sted og program og træffer derefter en beslutning: giv adgang, kræv noget mere, eller bloker. Hver regel er et hvis-så-udsagn. Hvis brugeren er i en bestemt gruppe og åbner et bestemt program, så kræves tofaktor.
Microsoft fremhæver en vigtig egenskab ved den model: hvis ingen regel rammer en anmodning, udstedes adgangen som udgangspunkt. En bruger, der ikke er omfattet af reglen, kommer altså ind uden det ekstra krav. Det er derfor, huller i reglerne ikke giver en fejlmeddelelse. De giver bare adgang.
Reglerne kan være bygget op over tid. Den første kom, da tofaktor blev indført. Den næste, da mobiltelefoner skulle have adgang til mail. Den tredje, da en kunde krævede, at administratorer brugte stærkere login. Efter nogle år er der mange regler, skrevet af forskellige personer, og ingen har det samlede billede af, hvordan de spiller sammen. Det samlede billede kan testen give. Microsoft anbefaler da også faste navne på reglerne, så formål, målgruppe og ejer kan ses uden at åbne dem, og en løbende oprydning i regler, der overlapper eller modsiger hinanden.
De fund, der går igen
En test ser på, hvad reglerne samlet set dækker, og på hvad en konto uden for dem kan. Typiske fund er:
- Brede undtagelser · en gruppe, der er undtaget fra kravet om tofaktor, fordi den skulle bruges under en overgang, og som siden har fået flere medlemmer.
- Programmer uden regel · reglerne dækker de kendte programmer, men ikke alle, så et nyt eller glemt program kan nås med adgangskode alene.
- Gæster uden for reglerne · regler, der kun gælder egne medarbejdere, mens inviterede gæster logger ind på andre vilkår. → Gæstebrugere og eksterne konti
- Tjenestekonti som brugere · konti, der bruges af programmer, men logger ind som almindelige brugere og derfor er undtaget fra krav, de ikke kan opfylde. → Tjenestekonti
- Steder, der er betroede · netværk, der er markeret som sikre, så kravet bortfalder, selv om nettet er bredere, end nogen husker.
- Regler i rapporteringstilstand · regler, der blev sat til kun at registrere og aldrig blev slået til.
Hvert fund for sig kan se lille ud. Samlet viser de, om reglerne beskytter alle veje ind eller kun de mest brugte.
Hvorfor undtagelserne vokser
Undtagelser er nødvendige. Microsoft anbefaler selv, at nødadgangskonti holdes uden for regler, der kan blokere login, så I ikke låser jer selv ude. → Nødadgangskonti
Problemet er de andre. En leder, der ikke kunne få tofaktor til at virke på rejse. En leverandør, der skulle ind i en fart. Et ældre system, der ikke kan bruge moderne login. Hver undtagelse løste et problem den dag, den blev lavet. Ingen satte en slutdato på. Microsoft skriver, at undtagelser bør bruges sparsomt, kun for brugere, der er betroede, og fjernes igen hurtigst muligt.
Testen kan ikke vide, hvilke undtagelser der er bevidste. Derfor er det jeres liste over kendte undtagelser og deres begrundelse, der gør fundene brugbare. Det samme gælder de undtagelser, der eventuelt laves, for at testen kan komme i gang. De skal registreres og fjernes igen, så testen ikke selv efterlader et hul. → Midlertidige undtagelser til testen
Det, testen skal have med
- Oversigt over reglerne · en eksport eller beskrivelse af gældende regler, så testeren ikke skal gætte.
- Kendte undtagelser · hvem der er undtaget, fra hvad, og hvorfor.
- Testkonti i forskellige grupper · en almindelig medarbejder, en konto i en undtaget gruppe, hvis det er aftalt, og eventuelt en gæst.
- Licenser · hvilke muligheder abonnementet giver, fordi nogle regler kræver bestemte licenser.
- Navngivne steder · hvilke netværk der regnes som betroede.
Aftal også, om testen skal afprøve regler for enheder. Det kræver, at testeren har en enhed, der enten opfylder kravene eller bevidst ikke gør.
Sådan lukker I hullerne
Microsofts anbefalinger giver en rækkefølge, der også passer til rettelser efter en test.
- Regler for alle · start med regler, der gælder alle brugere og alle programmer, og lav undtagelser derfra, i stedet for at tilføje programmer ét ad gangen.
- Få og navngivne undtagelser · hver undtagelse har en ejer, en begrundelse og helst en slutdato.
- Tjenestekonti på deres egne vilkår · konti, der bruges af programmer, håndteres med de muligheder, der findes til programmer, ikke ved at undtage dem fra brugerregler.
- Afprøvning før håndhævelse · nye eller ændrede regler køres først i en tilstand, hvor de kun registrerer, så I kan se, hvem de ville ramme.
- Afprøv også undtagelserne · Microsoft anbefaler at teste, om undtagne brugere faktisk bliver bedt om tofaktor af en anden regel.
- Beskyt ændringer · ændringer af reglerne kræver ekstra bekræftelse og bliver registreret.
Den sidste rettelse er let at overse. Hvis mange kan ændre reglerne, er et hul hurtigt åbnet igen. → Administrative roller i Entra ID
Det skal I lade være med
- At lukke alle undtagelser på én gang. Nogle er nødvendige, og en forkert lukning kan låse centrale brugere ude.
- At undtage nødadgangskonti fra overvågning. De skal være uden for blokerende regler, ikke uden for opsyn.
- At dække nye programmer ét ad gangen. Det næste program bliver glemt.
- At lade regler stå i registreringstilstand i månedsvis. De beskytter ikke, før de er slået til.
- At give mange konti ret til at ændre reglerne. Det åbner for, at nye huller opstår uden at nogen ser det.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke veje ind der ikke var omfattet af reglerne, og hvad de testkonti, der indgik, kunne nå. Den kan ikke vise, hvilke undtagelser jeres forretning har brug for. Det er en intern beslutning. Reglerne ændres let, så et resultat siger mest, hvis der også er styr på, hvem der må ændre dem. Programmer og grupper, der ikke var med i testen, er ikke vurderet.
Tjekliste til reglerne for betinget adgang
- ☐ Gælder der regler for alle brugere og alle programmer?
- ☐ Har hver undtagelse en ejer og en begrundelse?
- ☐ Er gæster omfattet af reglerne?
- ☐ Håndteres tjenestekonti uden at undtage dem fra brugerregler?
- ☐ Er regler i registreringstilstand enten slået til eller fjernet?
- ☐ Er ændringer af reglerne beskyttet og registreret?
Kilder
- Microsoft Learn: Plan a Microsoft Entra Conditional Access deployment: adgang udstedes, hvis ingen regel rammer, regler for alle programmer, undtagelser for nødadgang og tjenestekonti, sparsom brug af undtagelser, registreringstilstand, test af undtagelser og beskyttelse af ændringer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Entra ID-test · Midlertidige undtagelser til testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
