Microsoft Entra ID – czym jest i jak z niego korzystać w firmie

Microsoft Entra ID to usługa tożsamości Microsoftu, do 2023 roku znana jako Azure Active Directory. Przechowuje konta pracowników i decyduje, kto może zalogować się do Microsoft 365, aplikacji firmowych i usług zewnętrznych. Każda firma korzystająca z Microsoft 365 ma Entra ID, nawet jeśli nigdy o nim nie słyszała – bo to właśnie tam mieszkają jej konta.
Poprzednia nazwaAzure Active Directory. W dokumentacji spotyka się obie
Za co odpowiadaKto się loguje, czym to potwierdza i do czego ma dostęp
Najważniejsza funkcjaDostęp warunkowy – reguły oceniające każde logowanie
Podstawa prawnaKontrola dostępu i uwierzytelnianie wieloskładnikowe – art. 8 ust. 1 pkt 2 lit. c, l i n ustawy o KSC

Co Entra ID robi na co dzień

  1. Przechowuje tożsamościKonta pracowników, konta gości z firm zewnętrznych, konta techniczne aplikacji. To jedno miejsce, w którym pracownik jest zakładany i z którego jest usuwany przy odejściu.
  2. Potwierdza tożsamośćHasło, drugi składnik, klucz sprzętowy albo logowanie bez hasła. Entra ID decyduje, co w danej sytuacji wystarczy.
  3. Ocenia każde logowanieKto, z jakiego urządzenia, z jakiego kraju, o jakiej porze. Nietypowa kombinacja skutkuje dodatkowym pytaniem albo blokadą.
  4. Wpuszcza do aplikacjiJedno logowanie otwiera pocztę, pliki, komunikator i aplikacje zewnętrzne podpięte do katalogu – bez osobnych haseł do każdej z nich.
  5. Zapisuje, co się wydarzyłoHistoria logowań i zmian uprawnień. To materiał do monitorowania i dowód przy wyjaśnianiu incydentu.

Entra ID a Active Directory – to nie to samo

Nazwy są mylące, a różnica zasadnicza. Active Directory to usługa działająca na serwerze w siedzibie firmy, zarządzająca komputerami w sieci lokalnej. Entra ID działa w chmurze i zarządza dostępem do usług sieciowych. Wiele firm ma oba naraz, połączone synchronizacją.

Cecha Active Directory Entra ID
Gdzie działa Na serwerze w firmie W chmurze Microsoftu
Czym zarządza Komputerami i serwerami w sieci lokalnej Dostępem do usług sieciowych i aplikacji
Zasady grupowe Tak, klasyczne zasady grupowe Nie – odpowiednikiem jest zarządzanie urządzeniami przez Intune
Praca poza biurem Wymaga połączenia z siecią firmy Działa wszędzie tam, gdzie jest internet
Uwierzytelnianie wieloskładnikowe Wymaga dodatkowych rozwiązań Wbudowane

Dostęp warunkowy – najważniejsza rzecz, jaką można tu włączyć

Dostęp warunkowy to zestaw reguł sprawdzanych przy każdym logowaniu. Zamiast pytać wszystkich o drugi składnik przy każdym otwarciu poczty, system pyta wtedy, gdy coś odbiega od normy. Dla pracownika oznacza to mniej przeszkód, dla firmy mniej otwartych drzwi.

Reguła Co blokuje Uciążliwość dla zespołu
Drugi składnik przy logowaniu z nieznanego urządzenia Wykorzystanie wykradzionego hasła Żadna przy pracy z własnego sprzętu
Blokada logowania spoza wybranych krajów Większość automatycznych prób z zagranicy Żadna, dopóki nikt nie wyjeżdża
Dostęp tylko z urządzeń zarejestrowanych w firmie Logowanie z prywatnego, niezabezpieczonego sprzętu Wymaga wcześniejszej rejestracji urządzeń
Wyższe wymagania dla kont administracyjnych Najgroźniejszy scenariusz – przejęcie konta z uprawnieniami Dotyczy kilku osób
Blokada starych protokołów logowania Metody omijające drugi składnik Żadna, o ile nie ma starych aplikacji

Ostatnia reguła bywa pomijana, a jest krytyczna. Starsze protokoły uwierzytelniania nie obsługują drugiego składnika – dopóki są włączone, napastnik z samym hasłem może ominąć całe zabezpieczenie.

Plany – co jest w którym

Plan Co daje Dla kogo
Wersja bezpłatna Konta, grupy, logowanie jednokrotne, podstawowe uwierzytelnianie wieloskładnikowe Firmy, które dopiero zaczynają
P1 Dostęp warunkowy, zarządzanie grupami, samodzielny reset hasła, hybrydowe połączenie z Active Directory Większość firm – tu jest realna wartość
P2 Wykrywanie ryzykownych logowań, dostęp uprzywilejowany na czas, przeglądy uprawnień Organizacje z rozbudowaną strukturą uprawnień

Plan P1 wchodzi w skład części pakietów Microsoft 365 dla firm – warto sprawdzić, co już jest opłacone, zanim kupi się cokolwiek osobno. Zdarza się, że firma płaci za pakiet z dostępem warunkowym i go nie używa. Ceny i zawartość pakietów Microsoft zmienia okresowo, więc przed decyzją zawsze potwierdzamy stan bieżący u dostawcy.

Od czego zacząć

Krok 1Drugi składnik dla wszystkichZaczynając od kont administracyjnych i zarządu
Krok 2Blokada starych protokołówBez tego drugi składnik da się obejść
Krok 3Osobne konta administracyjneAdministrator nie czyta poczty z konta z uprawnieniami
Krok 4Reguły dostępu warunkowegoKraje, urządzenia, wymagania dla ról wrażliwych
Krok 5Przegląd uprawnieńKto ma dostęp do czego i czy nadal powinien mieć

Pierwsze trzy kroki są wykonalne w wersji bezpłatnej albo w pakiecie, który firma już opłaca, i dają największą część efektu. To ta sama kolejność, którą opisujemy przy Zero Trust – bo Entra ID jest narzędziem, którym ten model się realizuje.

Co mówią przepisy

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga kontroli dostępu – art. 8 ust. 1 pkt 2 lit. c – bezpiecznych środków komunikacji uwzględniających uwierzytelnianie wieloskładnikowe – lit. l – oraz polityk kontroli dostępu – lit. n.

Entra ID jest narzędziem, którym te wymogi się realizuje w środowisku Microsoftu. Włączenie drugiego składnika i reguł dostępu warunkowego pokrywa literę l i praktyczną stronę litery c.

Litera n mówi jednak o politykach, a nie o ustawieniach. Sama konfiguracja nie wystarczy – potrzebny jest dokument opisujący, kto przyznaje dostęp, na jakiej podstawie, kto go odbiera przy odejściu pracownika i jak często lista jest przeglądana. Kontrola sprawdzi jedno i drugie, a ustawienia bez dokumentu są równie niepełne jak dokument bez ustawień.

Ustawa o krajowym systemie cyberbezpieczeństwa.

Najczęstsze pytania

Czy Entra ID to to samo co Azure AD?

Tak. Microsoft zmienił nazwę w 2023 roku, funkcje pozostały te same. W starszej dokumentacji, artykułach i częściach interfejsu nadal spotyka się dawną nazwę.

Czy muszę mieć serwer, żeby z tego korzystać?

Nie. Entra ID działa w chmurze i nie wymaga niczego w siedzibie firmy. Serwer z Active Directory bywa potrzebny do starszych aplikacji i wtedy oba katalogi łączy się synchronizacją.

Co się dzieje przy odejściu pracownika?

Zablokowanie konta w Entra ID odcina dostęp do poczty, plików i aplikacji podpiętych do katalogu. Dlatego jedno miejsce zarządzania tożsamością jest tak istotne – bez niego trzeba pamiętać o kilkunastu systemach osobno.

Czy dostęp warunkowy przeszkodzi w pracy?

Przy rozsądnych regułach nie. Logowanie ze znanego urządzenia w normalnych warunkach przebiega bez dodatkowych pytań. Reguły warto wprowadzać stopniowo, obserwując raporty, i dopiero potem egzekwować.

Czy warto dopłacać do wyższego planu?

Zależy od skali. Przy kilkunastu osobach dostęp warunkowy i drugi składnik załatwiają większość ryzyka. Przy rozbudowanej strukturze uprawnień i wielu administratorach sensu nabierają przeglądy dostępu i podnoszenie uprawnień na czas.

Sprawdź, co masz włączone w swoim katalogu

Zaczynamy od raportu: czy drugi składnik działa na wszystkich kontach, czy stare protokoły są zablokowane i kto ma uprawnienia administracyjne. Zwykle wystarczy to, by wiedzieć, gdzie jest ryzyko.

Porozmawiajmy o Microsoft 365 Audyt gotowości Microsoft 365

Powiązane pojęcia i narzędzia

Intune
Zero Trust
Phishing
SIEM
Audyt Microsoft 365