Conditional Access, po slovensky podmienený prístup, je mechanizmus v Microsoft Entra ID, ktorý pri každom prihlásení vyhodnotí okolnosti a podľa nich rozhodne: povoliť, zablokovať, alebo povoliť len po splnení podmienky. Podmienkou môže byť druhý faktor overenia, prihlásenie zo spravovaného zariadenia alebo zmena hesla.

Ide o praktické uplatnenie princípu Zero Trust: samotné správne heslo nestačí, rozhoduje aj kontext. Funkcia je dostupná v licenciách Entra ID P1 a vyšších, ktoré bývajú súčasťou viacerých balíkov Microsoft 365.

Ako pravidlo podmieneného prístupu funguje

Každá politika má tvar „ak platí toto, urob toto“. Vstupné signály sú najmä:

  • kto – používateľ, skupina, administrátorská rola, hosť,
  • k čomu – konkrétna aplikácia, napríklad e-mail alebo portál Azure,
  • odkiaľ – krajina, dôveryhodná sieť, IP adresa,
  • z čoho – typ a stav zariadenia, či je spravované a v súlade s pravidlami,
  • riziko – podozrivé prihlásenie alebo kompromitovaný účet (pri vyšších licenciách).

Výsledkom je napríklad: administrátori musia vždy použiť MFA, prístup k firemným dátam je povolený len zo zariadení spravovaných cez Intune a staré klientske protokoly sú blokované.

Prečo to má pre firmu význam

Ukradnuté heslo je jedným z najčastejších spôsobov prieniku, typicky po phishingovej kampani. Podmienený prístup takéto heslo znehodnotí, ak útočník nesplní ďalšie podmienky. Zároveň umožňuje rozlíšiť prísnosť: od účtovníčky v kancelárii netreba vyžadovať to isté ako od administrátora, ktorý sa prihlasuje v noci zo zahraničia.

Postup zavádzania a typické chyby

  1. Začnite režimom „iba report“, ktorý ukáže dopad bez blokovania.
  2. Vytvorte núdzové (break-glass) účty vyňaté z politík, aby ste sa nezamkli.
  3. Najprv chráňte administrátorov, potom všetkých používateľov.
  4. Blokujte staršie spôsoby overovania, ktoré MFA nepodporujú.
  5. Výnimky dokumentujte a pravidelne revidujte.

Častou chybou je priveľa výnimiek „na skúšku“, ktoré nikto neodstráni, a politiky, ktoré si navzájom odporujú. Pomáha jednotná konvencia pomenovania politík a pravidelná kontrola prihlasovacích záznamov.

Časté otázky

Stačí zapnúť bezpečnostné predvolené nastavenia (security defaults)?

Pre malú organizáciu je to dobrý začiatok. Conditional Access však ponúka jemnejšie riadenie podľa skupín, aplikácií a zariadení, ktoré väčšie prostredie zvyčajne potrebuje.

Musia byť zariadenia spravované cez Intune?

Nie je to povinné, no podmienka „spravované a vyhovujúce zariadenie“ patrí k najúčinnejším pravidlám.

Ochranu identít cez MFA a Conditional Access obsahuje už úroveň mEUS Basic služby Modern End User Services. Širší kontext Zero Trust opisuje článok o posilňovaní kybernetickej odolnosti organizácií.