Entra Nutzungsbedingungen: Annahme mit Conditional Access verlangen

Was Entra Nutzungsbedingungen tatsächlich durchsetzen

Entra Nutzungsbedingungen zeigen bei einer interaktiven Anmeldung ein Dokument an und können dessen Annahme zur Voraussetzung für den Zugriff machen. Entscheidend ist, ob die vorgesehenen Personen das genehmigte Dokument annehmen müssen, bevor sie die vorgesehene Anwendung erreichen. Eine PDF-Datei im Mandanten beantwortet nur einen Teil dieser Frage.

Beginnen Sie mit einer fachlichen Anforderung: Wer muss welche Regeln für welche Ressourcen bestätigen, und wer verantwortet den Text? Lassen Sie das Dokument von den zuständigen fachlichen und rechtlichen Prüfern genehmigen, bevor Sie die Durchsetzung konfigurieren. Eine fehlende Vereinbarung ist ein zu untersuchendes Konfigurationssignal, kein Beleg für einen universellen Verstoß gegen regulatorische Vorgaben. Für manche Mandanten gibt es möglicherweise keinen begründeten Anwendungsfall für diese Funktion. Dokumentieren Sie diese Entscheidung, statt eine leere Vereinbarung anzulegen, um einen Befund zu beseitigen.

Ein praktischer Pilot könnte einen Partnerarbeitsbereich abdecken, dessen Verantwortlicher von externen Mitwirkenden die Bestätigung seiner Regeln für den Umgang mit Daten verlangt. Definieren Sie Personenkreis und Anwendung ausdrücklich. Gehen Sie nicht davon aus, dass jeder externe Freigabeweg ein Entra-Gastkonto erstellt oder denselben Anmeldeablauf durchläuft. Nutzen Sie die Prüfung von Conditional Access für Gäste und externer Zusammenarbeit, um diesen Personenkreis und seine Ausnahmen abzugrenzen, bevor Sie die Dokumentannahme hinzufügen.

Die Bereitstellung sollte Nachweise für drei getrennte Fragen liefern: Existiert die Vereinbarung? Verlangt eine durchsetzende Richtlinie sie für den gewählten Personenkreis und die Ressource? Zeigen die Benutzerantworten, dass das erwartete Dokument angenommen oder abgelehnt wurde? Halten Sie diese Antworten im Änderungsprotokoll getrennt fest.

Wie Vereinbarung und Conditional Access zusammenwirken

Microsofts Anleitung zur Einrichtung von Nutzungsbedingungen setzt eine Entra ID P1-Lizenzierung und eine PDF-Datei voraus. Sie nennt Security Reader als Mindestrolle zum Lesen der Konfiguration und Conditional Access Administrator zum Erstellen oder Ändern. Prüfen Sie das Abonnement und die Rollenzuweisung des Administrators, bevor Sie den Pilot planen.

Die Vereinbarung enthält die Dokumenteinstellungen; eine Conditional Access-Zugriffssteuerung verknüpft sie mit Zugriffsentscheidungen. Auch die Auswahl von Sprachen und Versionen gehört in die Planung. Eine Vereinbarung, die ohne die vorgesehene Richtlinienverknüpfung existiert, kann eine Existenzprüfung erfüllen, während die fachliche Anforderung unerfüllt bleibt.

Die Graph-Ressource agreement stellt einen Bezeichner, Anzeigeanforderungen und Anforderungen pro Gerät, einen Ablaufplan sowie eine Dauer für die erneute Annahme pro Benutzer bereit. Ihre Beziehung file bezeichnet die Standard-PDF-Datei; files wird laut Dokumentation zugunsten von file eingestellt. Die Beziehung acceptances ist eine eigene Sammlung von Benutzerantworten.

Nutzen Sie diese Unterscheidungen bei der Nachweisplanung. Halten Sie die Vereinbarungs-ID und die genehmigte PDF-Version zusammen fest und dokumentieren Sie anschließend die Richtlinie, die diese Vereinbarung verlangt. Ein Anzeigename ist für Menschen praktisch, der Bezeichner ist jedoch der sicherere Verknüpfungsschlüssel für Konfigurations- und Antwortdatensätze. Benennen Sie einen Verantwortlichen für die Pflege des Dokuments und seiner Übersetzungen sowie einen Richtlinienverantwortlichen für den Geltungsbereich. Wenn sich eine Seite ändert, prüfen Sie auch die andere Seite der Verbindung.

Erkennung: Existenz, Verknüpfung und Antworten getrennt prüfen

Vereinbarungen inventarisieren, ohne einen fehlgeschlagenen Lesezugriff mit Abwesenheit zu verwechseln

Öffnen Sie im Entra admin center Entra ID > Conditional Access > Terms of use. Identifizieren Sie die für das fachliche Szenario vorgesehene Vereinbarung, ihre Dokumentsprachen und ihren Versionsverlauf. Wenn die Seite leer ist, prüfen Sie vor dem Festhalten einer Abwesenheit, ob Sie den richtigen Mandanten mit einer geeigneten Leserolle untersuchen.

Für eine unabhängige API-Inventarisierung dokumentiert Microsoft diese Anfrage in List agreements:

GET https://graph.microsoft.com/v1.0/identityGovernance/termsOfUse/agreements
Authorization: Bearer {token}

Dies ist eine dokumentierte Anfragevorlage, keine für diesen Artikel in einem Kundenmandanten ausgeführte Abfrage. Die Seite nennt das delegierte Agreement.Read.All für Geschäfts- oder Schulkonten und Security Reader als am wenigsten privilegierte unterstützte Rolle. Anwendungsberechtigungen werden für diesen Vorgang als nicht unterstützt aufgeführt. Prüfen Sie das aktuelle Berechtigungsmodell Ihres Clients, statt davon auszugehen, dass ein Anwendungstoken und ein delegiertes Token dieselbe Abdeckung bieten.

Behandeln Sie einen Autorisierungsfehler, eine unterbrochene Erfassung oder eine unlesbare Antwort als ungeklärte Beobachtung. Nur eine erfolgreiche, vollständige Inventarisierung stützt die Schlussfolgerung, dass keine Vereinbarungen zurückgegeben wurden. Bewahren Sie Mandantenkontext, Erfassungszeit und etwaige Fehler zusammen mit dem Ergebnis auf.

Die Richtlinie untersuchen, die die Vereinbarung verlangen soll

Öffnen Sie die relevante Conditional Access-Richtlinie und prüfen Sie ihren Zustand, eingeschlossene Benutzer oder Gruppen, Ausnahmen, Zielressourcen und Zugriffssteuerungen. Bestätigen Sie, dass unter Grant access die vorgesehene Vereinbarung ausgewählt ist und damit die Anforderung Require terms of use bereitstellt. Prüfen Sie die Kombination der Zugriffssteuerungen, damit die geplante Zugriffsentscheidung tatsächlich eine Annahme verlangt.

Ein Richtlinienname, der Nutzungsbedingungen erwähnt, reicht als Nachweis nicht aus. Eine Report-only-Konfiguration ist für die Folgenabschätzung nützlich, der Durchsetzungstest muss jedoch eine aktivierte Pilotrichtlinie verwenden. Verfolgen Sie einen vorgesehenen Testbenutzer durch Zuweisungen und Ausnahmen und führen Sie anschließend die Anmeldung an der Ressource durch. Enthält das Vereinbarungsinventar Einträge, aber keine vorgesehene Richtlinie wählt diese aus, erfassen Sie die fehlende Verknüpfung getrennt vom Fehlen einer Vereinbarung.

Annahmenachweise für die vorgesehene Version prüfen

Das Portal zeigt angenommene und abgelehnte Antworten sowie den Versionsverlauf. Für API-Nachweise dokumentiert List acceptances:

GET https://graph.microsoft.com/v1.0/identityGovernance/termsOfUse/agreements/{agreementsId}/acceptances
Authorization: Bearer {token}

Die zurückgegebenen Objekte sind agreementAcceptance-Datensätze, üblicherweise als Annahmen von Vereinbarungen bezeichnet. Die Ressourcenreferenz beschreibt agreementId, agreementFileId, userId, state, recordedDateTime und expirationDateTime. Die dokumentierten Antwortzustände sind accepted und declined. Korrelieren Sie Benutzer, Vereinbarung und Datei, statt jede historische Annahme als Nachweis für das aktuelle Dokument zu behandeln.

Für diesen auf eine Vereinbarung begrenzten Endpunkt dokumentiert der Listenvorgang das delegierte AgreementAcceptance.Read und die höhere Berechtigung AgreementAcceptance.Read.All, mit Security Reader als am wenigsten privilegierter unterstützter Rolle. Anwendungsberechtigungen werden als nicht unterstützt aufgeführt. Behandeln Sie Annahmeexporte als Benutzerdaten, begrenzen Sie den Zugriff auf die Prüfer, die ihn benötigen, und befolgen Sie die Aufbewahrungsregeln Ihrer Organisation. Der Export soll den Pilot belegen, keine frei zugängliche Kopie von Benutzeraktivitäten erzeugen.

Abhilfe: eine genehmigte Vereinbarung in einem abgegrenzten Pilot bereitstellen (Remediation)

1. Den Text genehmigen und die Annahmeanforderung definieren

Dokumentieren Sie Ressourcenverantwortlichen, Dokumentverantwortlichen, vorgesehene Benutzer, erforderliche Sprachen, Ausnahmen und das erwartete Verhalten bei erneuter Annahme. Klären Sie, ob eine aktualisierte Version eine neue Antwort verlangt. Geben Sie dem Support einen Ansprechpartner für Fragen zu den Bedingungen und einen separaten Ansprechpartner für Anmeldeprobleme. Erledigen Sie dies vor dem PDF-Upload, damit eine Authentifizierungsänderung nicht zur improvisierten Ausarbeitung von Regeln wird.

2. Die Vereinbarung erstellen und ihre Darstellung prüfen

Nutzen Sie Conditional Access > Terms of use > New terms. Laden Sie die fertige PDF-Datei hoch, wählen Sie ihre Sprache und den für Benutzer sichtbaren Titel und konfigurieren Sie Require users to expand the terms of use, wenn der genehmigte Ablauf verlangt, das Dokument vor der Annahme zu öffnen. Fügen Sie die genehmigten Sprachvarianten hinzu und prüfen Sie, was ein vorgesehener Benutzer sieht. Erfassen Sie die Vereinbarungs-ID und die für jede Sprache hochgeladene PDF-Datei.

Entscheiden Sie anhand des Anwendungsfalls über Ablauf- und gerätebezogene Optionen, statt sie automatisch zu aktivieren. Insbesondere schließt Learn B2B-Benutzer von der Unterstützung gerätebezogener Nutzungsbedingungen aus. Halten Sie bei einem Pilot für externe Benutzer die gewöhnliche Vereinbarungsanforderung von dieser gerätebezogenen Option getrennt und validieren Sie den tatsächlichen Zusammenarbeitsablauf.

3. Die Vereinbarung mit der vorgesehenen Conditional Access-Zugriffssteuerung verknüpfen

Microsofts Beispielrichtlinie wählt die erstellten Bedingungen unter Access controls > Grant > Grant access aus, beginnt mit Report-only und wechselt nach der Folgenprüfung zu On. Das Beispiel richtet sich an Microsoft Admin Portals. Passen Sie die Ressourcenzuweisung an Ihr genehmigtes Szenario an, statt dieses Ziel in einen sachfremden Arbeitsbereichspilot zu kopieren.

Beginnen Sie mit der vorgesehenen Pilotgruppe und Ressource. Erhalten Sie den Notfallzugriff zur Wiederherstellung und dokumentieren Sie Ausnahmen. Learn warnt außerdem, dass Dienstkonten diese interaktive Annahmeanforderung nicht erfüllen können. Identifizieren Sie solche Abhängigkeiten vor der Aktivierung der Durchsetzung. Prüfen Sie zunächst die Report-only-Auswirkungen und aktivieren Sie dann den Pilot für die interaktiven Tests. Eine Folgenprüfung und ein Test der durchgesetzten Annahme beantworten unterschiedliche Fragen; bewahren Sie daher beide auf.

4. Annahme, Ablehnung und den ausgenommenen Wiederherstellungsweg testen

Verwenden Sie Testidentitäten, die den vorgesehenen Personenkreis repräsentieren. Rufen Sie für den Annahmeweg die Zielressource über ihren normalen Anmeldeweg auf, prüfen Sie angezeigte PDF-Datei und Sprache, klappen Sie das Dokument bei Bedarf auf, nehmen Sie es an und prüfen Sie den Ressourcenzugriff. Verwenden Sie für den Ablehnungsweg eine Identität ohne vorherige Annahme und prüfen Sie, dass eine Ablehnung den Zugriff verhindert. Behandeln Sie dies als erwartete Testergebnisse, bis Sie diese beobachtet und dokumentiert haben.

Prüfen Sie die Annahmedatensätze anhand von Testbenutzer und Datei-ID. Prüfen Sie auch, dass das geplante Wiederherstellungskonto außerhalb der Pilotrichtlinie bleibt. Wenn ein vorgesehener Benutzer keine Aufforderung erhält, untersuchen Sie vorhandene Annahmen, Sitzungszustand, Zuweisungen, Ausnahmen und die in der Richtlinie gewählte Ressource. Schließen Sie nicht sofort daraus, dass die Vereinbarung defekt ist oder der Benutzer korrekt erfasst wird.

5. Versionen pflegen und den Zeitpunkt der erneuten Annahme testen

Prüfen Sie Edit terms, aktualisieren Sie die PDF-Datei für die relevante Sprache und treffen Sie ausdrücklich eine Entscheidung zu Require reaccept. Bewahren Sie die bisherigen Nachweise vor der Dokumentänderung auf und prüfen Sie anschließend den Antwortdatensatz für die neue Datei. Behandeln Sie lokalisierte PDF-Dateien als verwaltete Versionen derselben genehmigten Botschaft. Ein überarbeitetes englisches Dokument sollte eine Prüfung seiner anderen Sprachvarianten auslösen.

Require reaccept unterbricht eine aktive Sitzung nicht sofort. Laut Learn müssen bestehende Sitzungen ablaufen, bevor die neue Annahmeanforderung angezeigt wird. Planen Sie die Prüfung um die nächste relevante Anmeldung oder Sitzungsbewertung herum und dokumentieren Sie diesen Kontext zusammen mit der beobachteten Aufforderung. Der Leitfaden zu Sitzungssteuerungen und Anmeldehäufigkeit erklärt, warum eine Zugriffsrichtlinie und der Zeitpunkt der Sitzungsbewertung gemeinsam betrachtet werden müssen. Versprechen Sie keine sofortige mandantenweite Frist zur erneuten Annahme allein aufgrund einer PDF-Aktualisierung.

6. Nachweise erfassen und die Pflege übergeben

Halten Sie Referenz des genehmigten Textes, Vereinbarungs- und Richtlinienbezeichner, Geltungsbereich, Ausnahmen, PDF-Versionen und beobachtete Pilotergebnisse im Änderungsprotokoll fest. Dokumentieren Sie Fehlschläge und ungeklärte Wege ebenso wie Erfolge. Erweitern Sie die Richtlinie erst, nachdem die Verantwortlichen die Nachweise und Supportfolgen akzeptiert haben. Planen Sie eine Prüfung bei Änderungen am Dokument, am Anwendungspersonenkreis oder am Zusammenarbeitsmodell; das Vereinbarungsinventar allein zeigt eine Abweichung in diesen Beziehungen nicht auf.

Wie EtcSec dies erkennt

Der etc-collector-Detektor AZ_NO_TERMS_OF_USE liest AzureTermsOfUseProbed und AzureTermsOfUseCount. Seine Detect()-Implementierung hat drei Zweige:

Count 1 ist die Anzahl des Befunds, nicht die Anzahl der Benutzer ohne Annahme. Der Zweig ohne Abfrage ist weder ein Abwesenheitsergebnis noch ein Konformitätsurteil. Eine fehlgeschlagene Erfassung muss sichtbar bleiben, bis sie untersucht werden kann.

Diese Prüfung stellt ausschließlich die Existenz einer Vereinbarung fest. Sie validiert weder die Conditional Access-Verknüpfung noch den aktivierten Richtlinienzustand, die Zielauswahl, Ausnahmen, PDF-Qualität, Sprachabdeckung oder Benutzerannahmen. Das Erstellen einer ungenutzten Vereinbarung kann diesen konkreten Befund beseitigen, ohne die fachliche Anforderung durchzusetzen. Ergänzen Sie das Collector-Ergebnis um die oben beschriebene Richtlinienprüfung und Annahmenachweise und halten Sie eine ausdrückliche Entscheidung zur Eignung fest, wenn Nutzungsbedingungen für den Mandanten unnötig sind.