Probleem met Azure DevOps-toegang: Conditional Access Policy Blokkeert Meer dan Gewenst

Ontdek hoe u uw policies kunt aanpassen zodat alleen de admin portals worden geblokkeerd, zonder Azure DevOps te hinderen.

Belangrijkste Inzichten

Identificeer de afhankelijkheden: Azure DevOps is afhankelijk van meerdere services die binnen uw policy vallen, zoals Microsoft Admin Portals, Graph API en Windows Azure Service Management.
Aanpassen en uitsluiten: Het toevoegen van uitzonderingen binnen uw Conditional Access Policy is cruciaal om onbedoelde blokkades te voorkomen.
Precieze loganalyse en apparaatbeheer: Analyseer de sign-in logs en configureer vertrouwde locaties of device-state voorwaarden voor een gecontroleerde toegang.

Uitdaging: Onbedoelde Blokkade van Azure DevOps

Probleembeschrijving

U ondervindt een situatie waarbij een Conditional Access Policy, die in eerste instantie is bedoeld om de toegang tot Microsoft Admin Portals te beperken, onbedoeld ook toegang tot Azure DevOps blokkeert. Dit komt omdat Azure DevOps afhankelijk is van integraties met meerdere resources zoals:

Microsoft Admin Portals
Microsoft Graph API
Windows Azure Service Management API

Waarom Gebeurt dit?

Azure DevOps maakt gebruik van verschillende services die vallen onder dezelfde beveiligingsregels van uw Conditional Access Policy. Door alle toegang te blokkeren voor een apparaat dat niet Azure joined is, worden ook de achterliggende afhankelijkheden, zoals de Windows Azure Service Management API, beïnvloed. Dit zorgt ervoor dat zelfs als u denkt een uitzondering voor Azure DevOps te moeten maken, de onderliggende afhankelijkheden de verbinding alsnog blokkeren.

Stap-voor-Stap Oplossingsaanpak

1. Analyse van de Huidige Conditional Access Policy

Begin met het grondig doorlopen van de huidige Conditional Access Policy:

Controleer de policy-toewijzing: Bekijk of de policy specifiek gericht is op de Microsoft Admin Portals. Gebruik de Azure AD-aanmeldingslogboeken om te bepalen welke policy in werking treedt en welke services worden beïnvloed.
Analyseer de logs: Focus op de Azure AD sign-in logs. Kijk naar mislukte authenticaties en identificeer welk onderdeel (zoals Graph API of Windows Azure Service Management API) toegang probeert te krijgen en daardoor wordt geblokkeerd.

2. Uitzonderingen Toevoegen voor Kritieke Services

Omdat Azure DevOps afhankelijk is van meerdere services, is het belangrijk om deze afhankelijkheden specifiek te isoleren:

Identificeer en uitsluit afhankelijkheden: Specificeer in uw Conditional Access Policy dat bepaalde services, met name de Windows Azure Service Management API, niet geblokkeerd mogen worden. Dit kan betekenen dat u binnen uw policy een "app-exclusie" moet configureren voor deze services.
Beoordeel specifieke voorwaarden: Als uw policy gerelateerd is aan het apparaat en de locatie, overweeg dan om extra voorwaarden (zoals vertrouwde IP-bereiken of device compliance) toe te voegen die alleen voor de admin portals van toepassing zijn.
MFA en Compliance Policies: Controleer of aanvullende beveiligingsinstellingen, zoals Multi-Factor Authenticatie of compliance policies via Intune, de toegang tot de onderliggende API’s niet blokkeren.

3. Creëer Gescheiden Policies voor Specifieke Toepassingen

Een alternatieve aanpak is het maken van afzonderlijke Conditional Access policies:

Policy voor Microsoft Admin Portals: Zorg ervoor dat deze policy strak is voor de admin portals en alle systemen die echt extra beveiliging behoeven.
Policy voor Azure DevOps: Ontwikkel een afzonderlijke policy specifiek voor Azure DevOps waarbij de uitzonderingen voor toegangsafhankelijkheden duidelijk worden geconfigureerd. Hierdoor voorkomt u dat de bredere policy invloed heeft op de toegang tot Azure DevOps.
Groepstoewijzing: Uitsluiten van specifieke gebruikers of groepen die wel toegang nodig hebben tot Azure DevOps, ongeacht de apparaat status.

4. Verbeteren van Apparaattoegang en Vertrouwde Locaties

Naast het instellen van uitzonderingen, kunt u overwegen vertrouwensmechanismen toe te voegen:

Definieer vertrouwde IP-bereiken: Stel aparte policies in voor apparaten die zich binnen een vertrouwd netwerk bevinden. Dit kan helpen bij het verlenen van toegang tot Azure DevOps, zelfs als het apparaat niet formeel Azure AD-joined is.
Device Compliance: Overweeg om gebruik te maken van Microsoft Intune. Hiermee kunt u een device compliance policy opzetten die garandeert dat zelfs niet-Azure joined apparaten gecontroleerd worden en veilig kunnen werken met Azure DevOps.

Overzichtstabel: Conditional Access Policy vs. Azure DevOps Afhankelijkheden

Aspect	Conditional Access Policy	Azure DevOps Benodigdheden
Primary Doel	Beperken toegang tot gevoelige admin portals	Verlenen toegang via meerdere externe API's en management services
Blokkerende Componenten	Microsoft Admin Portals, mogelijk Graph API, Windows Azure Service Management API	Afhankelijk van Windows Azure Service Management API voor operationele taken
Oplossingsstrategie	Aanpassen van policy en toevoegen van uitzonderingen	Configureren van aparte policy en device compliance om integratie te faciliteren
Tools & Logging	Azure AD sign-in logs, Intune, trusted IP ranges	Monitoring via API calls en status rapportages binnen Azure DevOps

Aanvullende Adviezen

Beheer en Validatie

Zorg er altijd voor dat u uw wijzigingen test in een beperkte groep gebruikers voordat u ze in productie implementeert. Gebruik de uitgebreide logging mogelijkheden binnen Azure AD om te controleren of de aanpassingen het gewenste resultaat opleveren en geen onbedoelde gevolgen hebben op andere services.

Gebruik van Microsoft Intune

Door gebruik te maken van Microsoft Intune kunt u een meer gedetailleerde controle toepassen op uw apparaatbeleid. Device compliance policies zorgen ervoor dat apparaten die niet formeel Azure AD-joined zijn, toch veilig kunnen werken wanneer ze voldoen aan specifieke criteria. Dit kan een ideale oplossing zijn als u zowel veiligheid als operationele flexibiliteit wilt behouden.

Samenspel met Azure AD Policies

Overweeg de mogelijkheid om videoconferenties en kennisdeling sessies te organiseren met uw IT-beheerteam, zodat alle afhankelijkheden en risico’s goed in kaart gebracht worden. Het combineren van inzichten uit uw Azure AD Conditional Access logs met feedback vanuit het development team in Azure DevOps kan leiden tot een evenwichtige en robuuste beveiligingsconfiguratie.

Technische Details bij het Aanpassen van de Conditional Access Policy

Aanpassing van Apparaat- en Gebruikersinstellingen

In de Azure AD-portal kunt u de policy-instellingen verfijnen door:

Applicatie-specifieke uitzonderingen: Onder het gedeelte "Cloud apps or actions" selecteert u specifiek Azure DevOps of de onderliggende API's.
Device State Condities: Configureer condities zodat alleen apparaten die aan de compliance criteria voldoen of binnen vertrouwde IP-bereiken vallen, volledige toegang krijgen.
Groepsbeperkingen: Indien mogelijk groepeer gebruikers zodat er specifieke regels gelden voor ontwikkelaars of operators die Azure DevOps moeten gebruiken.

Validatie en Monitoring

Het is van belang om na elke wijziging de impact te evalueren:

Gebruik de Azure AD sign-in logs voor een gedetailleerd overzicht van inlogpogingen en mislukkingen.
Test de wijzigingen eerst in een pilotgroep voordat u deze breder uitrolt.
Documenteer alle wijzigingen zodat u een historisch overzicht heeft voor toekomstige referentie.