Twój zespół bezpieczeństwa wymaga odpornego na phishing MFA dla grupy administratorów Azure Virtual Desktop, ale standardowi użytkownicy mogą nadal używać dowolnej metody MFA. Będziesz egzekwować to za pomocą dostępu warunkowego (Conditional Access). Jakiego ustawienia należy użyć w kontrolkach udzielania dostępu (grant controls) w polityce skierowanej do administratorów?

Prawidłowa odpowiedź to "Wymagaj siły uwierzytelniania: MFA odporne na phishing". To ustawienie w kontrolkach udzielania dostępu pozwala administratorom określić konkretne metody MFA, które muszą być używane. Wybranie "Phishing-resistant MFA" (MFA odporne na phishing) zapewnia, że administratorzy będą używać metod takich jak klucze bezpieczeństwa FIDO2, Windows Hello dla firm lub uwierzytelnianie oparte na certyfikatach, które są odporne na ataki phishingowe. Pozostałe opcje są nieprawidłowe, ponieważ: "Wymagaj uwierzytelniania wieloskładnikowego" (Require multifactor authentication) jest zbyt ogólne i pozwala na użycie dowolnej metody MFA, w tym tych podatnych na phishing. "Wymagaj zmiany hasła" (Require password change) nie jest kontrolą MFA. "Wymagaj zgodnego urządzenia" (Require compliant device) i "Wymagaj urządzenia przyłączonego do hybrydowej usługi Azure AD" (Require Hybrid Azure AD joined device) to kontrole dotyczące stanu urządzenia, a nie metody uwierzytelniania.