MFA-Durchsetzungsausnahme

Häufig gestellte Fragen im Zusammenhang mit der MFA-Durchsetzungsausnahme und warum sie wichtig ist.

1. Wie kann das MFA-Mandat für bestimmte Anwender gelockert werden?

   Im Yokohama-Release wird eine neue Anwendergruppe und ein MFA-Ausnahmeanwendergruppendatensatz hinzugefügt. Basierend auf der Standardbedingung wurde eine MFA-Richtlinie hinzugefügt. Jeder Anwender, der Mitglied dieser Gruppe ist, wird mit MFA erzwungen.

   

   Um MFA für bestimmte Anwender zu entspannen, befolgen Sie das folgende Verfahren:

   • Navigieren Sie zu MFA-Kontext . Die dem MFA-Kontextdatensatz zugeordnete Step-up-MFA-Richtlinie muss „MFA für nicht-SSO-Anmeldungen erzwingen“ lauten.
   • Unter Richtlinieneingabe Zugehörige Liste, wählen Sie aus Ist Mitglied der MFA-befreiten Gruppe Filterkriteriendatensatz.
   • Wählen Sie Aus MFA – ausgenommene Anwendergruppe .
   • Fügen Sie dieser Gruppe Anwender als Mitglied hinzu, um sie von der MFA-Durchsetzung zu befreien.
   Hinweis:

   Wenn dem MFA-Kontext eine andere Richtlinie zugeordnet ist, können Sie Ihrer Richtlinie Filterkriterien „ist Mitglied der MFA-befreiten Gruppe“ hinzufügen und die Richtlinienbedingungen ändern, um Anwender dieser Gruppe von der MFA-Durchsetzung zu befreien.
2. Wie kann das MFAs-Mandat für bestimmte Rollen gelockert werden?

   Im Yokohama-Release eine leere neue Rolle Hat von MFA befreite Rolle Filterkriterium wird hinzugefügt. Der MFA-Richtlinie wurden Bedingungen hinzugefügt, um Anwender, deren Rollen Teil der Kriterien für ausgenommene Rollen sind, von der MFA-Durchsetzung auszunehmen.

   

   Befolgen Sie das Verfahren, um MFA für bestimmte Rollen zu entspannen:

   • Navigieren Sie zu MFA-Kontext . Die dem MFA-Kontextdatensatz zugeordnete MFA-Richtlinie muss sein MFA für nicht-SSO-Anmeldungen erzwingen .
   • Unter Richtlinieneingabe Zugehörige Liste, wählen Sie aus Hat von MFA befreite Rolle Filterkriteriendatensatz.
   • Fügen Sie die Rollen hinzu, die Sie der Bedingung hinzufügen möchten. Sie können mehrere Rollen mit dem Operator ODER hinzufügen.
   Hinweis:

   Wenn dem MFA-Kontext eine andere Richtlinie zugeordnet ist, können Sie hinzufügen Hat von MFA befreite Rolle Filterkriterien für Ihre Richtlinie. Ändern Sie die Richtlinienbedingungen, um Anwender mit ausgenommenen Rollen von der MFA-Durchsetzung zu befreien.
3. Wie kann das MFAs-Mandat für bestimmte Gruppen gelockert werden?

   Im Yokohama-Release eine Anwendergruppe MFA – ausgenommene Anwendergruppe Wird hinzugefügt. Basierend auf der Standardbedingung, die der MFA-Richtlinie hinzugefügt wurde, wird der Anwender oder die Gruppe, der bzw. die Mitglied dieser Gruppe ist, nicht mit MFA erzwungen.

   

   Um MFA für bestimmte Gruppen zu entspannen, befolgen Sie das folgende Verfahren:

   • Navigieren Sie zu MFA-Kontext . Die dem MFA-Kontextdatensatz zugeordnete MFA-Richtlinie muss sein MFA für nicht-SSO-Anmeldungen erzwingen .
   • Unter Richtlinieneingabe Zugehörige Liste, wählen Sie aus Ist Mitglied der MFA-befreiten Gruppe Filterkriteriendatensatz.
   • Wählen Sie Aus MFA – ausgenommene Anwendergruppe .
   • Fügen Sie dieser Gruppe die Gruppen hinzu, die Sie von der MFA-Durchsetzung ausnehmen möchten.
4. Wie kann das MFAs-Mandat für vertrauenswürdige Netzwerke gelockert werden?
   • Navigieren zu Adaptive Authentifizierung > Filterkriterien > IP-Filterkriterienan.
   • Erstellen Sie ein Kriterium, um ein vertrauenswürdiges Netzwerk anzugeben. Sie können eine Liste von IP-Bereichen oder Subnetzen als Teil des vertrauenswürdigen Netzwerks angeben.
   • Navigieren zu Adaptive Authentifizierung > Kontexte der Authentifizierungsrichtlinie > MFA-Kontextan.
   • Öffnen Sie die Richtlinie, die dem Kontext zugeordnet ist.
   • Wählen Sie die Bearbeitung aus, um hinzuzufügen IP-Filterkriterien Die Sie für erstellt haben Richtlinieneingaben bezogen Liste.
   • Ändern Sie die Richtlinienbedingung, um zu bestätigen, dass sie als „falsch“ ausgewertet wird, wenn Anwender Teil des vertrauenswürdigen Netzwerks sind.

   Hinweis:

   Wenn dem MFA-Kontext eine andere Richtlinie zugeordnet ist, können Sie Ihrer Richtlinie die als Teil von Schritt 1 erstellten IP-Filterkriterien hinzufügen und die Richtlinienbedingungen ändern, um die MFA-Durchsetzung im vertrauenswürdigen Netzwerk auszunehmen.
5. Wie kann die MFAs-Anforderung für vertrauenswürdige Standorte gelockert werden?

   Sie können Standortfilterkriterien verwenden, die mit verfügbar sind Zero Trust: Standortbasierter Zugriff Plugin (erfordert ein zusätzliches Abonnement).

6. Wie kann die häufige MFA-Durchsetzung gesteuert werden?

   Verwenden Sie die Standortfilterkriterien, die mit verfügbar sind Zero Trust: Standortbasierter Zugriff Plugin (erfordert ein zusätzliches Abonnement).

   Auf der MFA-Validierungsseite ist ein Kontrollkästchen zum Speichern eines Browsers vorhanden. MFA wird im gespeicherten Browser nicht erzwungen:

   
   • Die von dieser Systemeigenschaft angegebene Dauer. glide.authenticate.multifactor.browser.fingerprint.validity . Der Standardwert der Eigenschaft ist 8 Stunden. Diese Dauer kann um bis zu 24 Stunden verlängert werden. Verwenden Sie in ähnlicher Weise glide.authenticate.multifactor.remember.browser.default Systemeigenschaft der Standardwert des Kontrollkästchens kann auf „wahr“ festgelegt werden.
   • Navigieren zu Multi-Faktor-Authentifizierung > Eigenschaften Und passen Sie diese vier Eigenschaften an, um die gespeicherte Browserfunktion zu steuern.
7. Wie funktioniert MFA für Accounts, die von Anwendern freigegeben werden?

   Einzelne Accounts, die von mehreren Anwendern geteilt werden, stellen ein Sicherheitsrisiko dar. Es wird nicht empfohlen, einen Account für mehrere Anwender freizugeben.