Kötelező MFA az Azure-ban és a Microsoft 365 felügyeleti központban: mit jelent a cégvezetés számára?
A többtényezős hitelesítés (MFA) a Microsoft szerint a fiókfeltörési támadások több mint 99,2%-át képes megakadályozni. Ezért a Microsoft 2024 óta fokozatosan kötelezővé teszi az MFA-t az Azure- és az adminisztrációs bejelentkezéseknél. Ez nem opcionális beállítás: a Microsoft Learn szerint kikapcsolni nem lehet, legfeljebb – meghatározott feltételekkel – elhalasztani.
Vezetői összefoglaló
- 1. fázis (2024 októberétől): MFA az Azure portálon, a Microsoft Entra és az Intune felügyeleti központban; 2025 februárjától fokozatosan a Microsoft 365 felügyeleti központban is.
- 2. fázis (2025. október 1-jétől): MFA az Azure CLI, Azure PowerShell, Azure mobilalkalmazás, IaC-eszközök és REST API létrehozó, módosító és törlő műveleteinél.
- A vészhelyzeti (break-glass) fiókokra is vonatkozik – ezekhez passkey (FIDO2) vagy tanúsítványalapú hitelesítés ajánlott.
- A felhasználói fiókkal futó szkripteket és automatizmusokat workload identitásokra kell átállítani.
Miért fontos ez üzleti szempontból?
A kötelező MFA két kockázatot hordoz. Az egyik a leállás: ha egy éjszakai szkript vagy integráció egy normál felhasználói fiókkal jelentkezik be az Azure-ba, az MFA bevezetése után hibára futhat. A másik a kizáródás: ha a vészhelyzeti adminisztrátori fiókok nincsenek felkészítve, egy válsághelyzetben pont ezek nem működnek. Mindkettő előre, tervezetten kezelhető.
Mely fiókokat és rendszereket érinti?
- Minden felhasználói fiók, amely a felsorolt alkalmazásokban műveletet végez – beleértve a vendég (B2B) felhasználókat is.
- Vészhelyzeti fiókok – nincs kivétel.
- Szolgáltatásfiókként használt felhasználói fiókok – ezeket a Microsoft ajánlása szerint felügyelt identitásra vagy szolgáltatásnévre (service principal) kell migrálni.
- Nem érinti a felügyelt identitásokat és a szolgáltatásneveket, illetve a Microsoft Entra Connect szinkronizálási fiókját.
Teendőlista
- Leltár: mely felhasználói fiókok jelentkeznek be az Azure-ba vagy az adminisztrációs portálokra, és melyik szkript, integráció használ felhasználói fiókot?
- Feltételes hozzáférés: Microsoft Entra ID P1/P2 licenccel feltételes hozzáférési szabállyal érdemes megkövetelni az MFA-t; ennek hiányában a biztonsági alapértelmezéseket (security defaults) kell bekapcsolni.
- Vészhelyzeti fiókok: passkey (FIDO2) vagy tanúsítványalapú hitelesítés beállítása, dokumentált eljárással.
- Automatizmusok: migrálás workload identitásokra; az ROPC-alapú (felhasználónév-jelszó) hitelesítést használó alkalmazások átírása.
- Eszközverziók: a Learn szerint az Azure CLI 2.76 és az Azure PowerShell 14.3 vagy újabb verzió javasolt.
Gyakori kérdések
Halasztható a kötelező MFA?
A Microsoft lehetővé tette a halasztást összetett környezetek esetén: az 1. fázisét legfeljebb 2025. szeptember 30-ig, a 2. fázisét 2026. július 1-jéig. A halasztás a Microsoft szerint is többletkockázat.
Ki lehet kapcsolni a kötelező MFA-t?
Nem. A Microsoft Learn szerint nincs lehetőség a kivonulásra (opt-out).
A Microsoft Graph API-hívásokat is érinti?
Általában nem; a 2. fázis az Azure Resource Manager (management.azure.com) felé irányuló kérésekre vonatkozik.
A kötelező MFA jó hír – feltéve, hogy a szervezet felkészült rá. Egy rövid felmérés megmutatja, mely fiókok és automatizmusok érintettek, és hol van szükség beavatkozásra.
Kapcsolódó cikkek
Ingyenes Microsoft 365 biztonsági gyorsfelmérés
Egy rövid, kötöttségmentes felmérés során megmutatjuk a legnagyobb kockázatokat és a gyorsan javítható pontokat – vezetői összefoglalóval.
