使用条件访问控制管理风险

• AD FS 中的关键概念条件访问控制

• 使用条件访问控制管理风险

关键概念 - AD FS 中的条件访问控制

AD FS 的整体功能是颁发包含一组声明的访问令牌。 AD FS 接受和发布哪些声明是由声明规则决定的。

AD FS 中的访问控制是通过颁发授权声明规则实现的，这些规则用于颁发许可证或拒绝声明，这些声明将确定是否允许用户或用户组访问受 AD FS 保护的资源。 只能在信赖方信任上设置授权规则。

有关这些规则选项和逻辑的详细信息，请参阅 “何时使用授权声明规则”。

在 Windows Server 2012 R2 中的 AD FS 中，通过多种因素（包括用户、设备、位置和身份验证数据）增强了访问控制。 这是通过提高授权声明规则所用的声明类型的多样性来实现的。 换而言之，在 Windows Server 2012 R2 的 AD FS 中，可以根据用户标识或组成员身份、网络位置、设备（是否加入工作区，有关详细信息，请参阅从任何设备加入工作区，以便实现 SSO 和跨公司应用程序的无缝第二重身份验证），以及身份验证状态（是否执行了多重身份验证 (MFA)）来强制执行条件访问控制。

Windows Server 2012 R2 中 AD FS 中的条件访问控制具有以下优势：

• 灵活且具有表现力的按应用程序授权策略，可以基于用户、设备、网络位置和身份验证状态允许或拒绝访问

• 为信赖方应用程序创建颁发授权规则

• 针对常见的条件访问控制方案提供丰富的 UI 体验

• 针对高级条件访问控制方案提供丰富的声明语言和 Windows PowerShell 支持

• 自定义的（按照信赖方应用）“拒绝访问”消息。 有关详细信息，请参阅 自定义 AD FS 登录页。 由于能够自定义这些消息，你可以解释为何用户被拒绝访问，并尽可能协助进行自助式补救，例如，提示用户将其设备加入工作区。 有关详细信息，请参阅 通过任何设备连接到工作区，实现 SSO 和无缝的二次身份验证，覆盖公司所有应用程序。

下表包括 Windows Server 2012 R2 中 AD FS 中可用于实现条件访问控制的所有声明类型。

使用条件访问控制管理风险

使用可用设置时，可以通过实施条件访问控制来管理风险的方法很多。

常见方案

例如，假设基于特定应用程序的用户组成员身份数据（信赖方信任）实现条件访问控制的简单方案。 换句话说，可以在联合服务器上设置颁发授权规则，以允许属于 AD 域中特定组的用户访问受 AD FS 保护的特定应用程序。 演练指南：使用条件访问控制管理风险（使用 UI 和 Windows PowerShell）中介绍了实现此方案的详细分步说明。 若要完成本演练中的步骤，必须设置实验室环境，并按照在 Windows Server 2012 R2 中为 AD FS 设置实验室环境的步骤进行作。

高级场景

在 Windows Server 2012 R2 中的 AD FS 中实现条件访问控制的其他示例包括：

• 仅当此用户的标识通过 MFA 验证时，才允许访问受 AD FS 保护的应用程序

  可以使用以下代码：

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessWithMFA"
  c:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• 仅当访问请求来自注册在用户名下的加入工作网络的设备时，才允许访问受 AD FS 保护的应用程序。

  可以使用以下代码：

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessFromRegisteredWorkplaceJoinedDevice"
  c:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• 仅当访问请求来自已注册到用户且已加入工作区的设备，并且该用户的标识已使用 MFA 进行验证时，才允许访问受 AD FS 保护的应用程序

  可以使用以下代码

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• 仅当访问请求来自已通过 MFA 验证标识的用户时，才允许 Extranet 访问受 AD FS 保护的应用程序。

  可以使用以下代码：

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAForExtranetAccess"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value =~ "^(?i)false$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

另请参阅

演练指南：使用条件访问控制管理风险：在 Windows Server 2012 R2 中为 AD FS 设置实验室环境