När en anställds konto inaktiveras eller deras åtkomstvillkor ändras behöver IT-team veta om befintliga applikationssessioner kommer att fortsätta fungera. En tidigare utfärdad åtkomsttoken kan förbli giltig även efter att det underliggande åtkomstbeslutet ändras.
Kontinuerlig åtkomstutvärdering (CAE) hjälper stödda tjänster att reagera på dessa ändringar utan att vänta på att normalt token löper ut. Tillämpningen beror dock på resursleverantören, klienten, identiteten och den utlösande händelsen.
Den här guiden förklarar vad kontinuerlig åtkomstutvärdering (CAE) är, hur CAE fungerar i Microsoft Entra ID, vilka scenarier den stöder och hur IT- och säkerhetsteam kan validera om åtkomständringar tillämpas som förväntat.
Key Takeaways
- Kontinuerlig åtkomstutvärdering (CAE) tillåter stödda tjänster att omvärdera åtkomst när identitets-, risk- eller policyvillkor ändras, utan att vänta på att åtkomsttokens ska löpa ut.
- Microsoft Entra CAE reagerar på kritiska händelser som kontoinaktivering, lösenordsändringar och hög användarrisk, samt stöder IP-baserade platspolicyer.
- CAE-tillämpning är inte alltid omedelbar. Dess effektivitet beror på resursleverantören, klienten, identiteten, den utlösande händelsen och policykonfigurationen.
- CAE-validering innebär att kontrollera scenarier som stöds, övervaka inloggningsloggar och verifiera om åtkomsttokens ifrågasätts eller avvisas.
- Scalefusion OneIdP stöder kontinuerlig, enhetsmedveten åtkomstutvärdering genom Extended Access Policies (XAP), med hjälp av efterlevnads- och kontextuella signaler för att kontrollera åtkomst till SSO-integrerade applikationer.
Vad är kontinuerlig åtkomstutvärdering?
Kontinuerlig åtkomstutvärdering (CAE) är en åtkomstkontrollmekanism som gör det möjligt för resursleverantörer som stöds att avvisa annars outgångna åtkomsttokens när relevanta identitetshändelser eller åtkomstpolicyvillkor ändras. I Microsoft Entra ID gör CAE det möjligt för tjänster som stöds att utmana aktiva tokens och kräva omvärdering av åtkomst utan att enbart förlita sig på tokens utgångsdatum.
CAE är inte universell utloggning i realtid. Resultatet beror på identitet, utlösande händelse, resursleverantör, klient, sessionstyp och policy. Microsoft beskriver tillämpning av kritiska händelser som nära realtid, med spridningsfördröjningar på upp till 15 minuter. Stödda IP-platspolicyer kan tillämpas omedelbart av resursleverantören när den tar emot en begäran.
Hur CAE ändrar en aktiv session
Följ en kontoinaktiveringshändelse från identitetsleverantör till programsvar
Tänk dig en användare som redan har en åtkomsttoken för ett program som stöds när en administratör inaktiverar kontot:
- Microsoft Entra ID registrerar kontoavstängningshändelsen.
- En resursleverantör som stöds tar emot eller identifierar den relevanta händelsen.
- Vid en senare resursbegäran slutar tjänsten att acceptera den befintliga token trots att den inte har upphört att gälla.
- Tjänsten returnerar ett HTTP 401-svar med en anspråksutmaning.
- En CAE-kompatibel klient använder utmaningen för att begära en ny token från Microsoft Entra ID.
- Microsoft Entra ID omvärderar åtkomsten. Eftersom kontot är inaktiverat kan det neka tokenbegäran och förhindra ytterligare åtkomst.
Denna process är förfrågningsdriven. CAE gör inte nödvändigtvis att ett programs gränssnitt försvinner i samma ögonblick som en händelse inträffar. Tillämpningen blir synlig när klienten gör en annan begäran till den skyddade resursen, beroende på händelsespridning och arbetsbelastningsspecifikt beteende.
En klient som inte kan behandla en anspråksutmaning kan inte slutföra CAE-flödet, så den utmanade begäran kan misslyckas om inte applikationen har en annan återställningsväg. Detta skiljer sig från en klient- och resurskombination som inte deltar i CAE: i så fall kan sessionen fortsätta med normalt tokenlivstidsbeteende eller en annan produktspecifik verkställighetsmekanism.
Varför CAE skiljer sig från att vänta på att en token ska löpa ut
Utan CAE accepterar en resurs i allmänhet en giltig åtkomsttoken tills den går ut. Microsoft använder vanligtvis en standardlivslängd på ungefär en timme för en åtkomsttoken för att förklara denna skillnad, även om faktiska livslängder för token varierar.
In Microsoft Access IDCAE-aktiverade användarsessioner kan använda åtkomsttokens med livslängder på upp till 28 timmar. Istället för att enbart förlita sig på tokens utgångsdatum kan resursleverantörer som stöds avvisa dessa tokens när relevanta kritiska händelser eller åtkomstpolicyer kräver omvärdering.
CAE låter en resurs som stöds avvisa en oförfallen token efter en ändring som stöds. Det minskar beroendet av korta tokenlivslängder och periodisk tokenförnyelse, men endast för händelser, policyer, resurser och klienter som stöds.
CAE skiljer sig också från enbart återkallelse av uppdateringstoken. Återkallelse av uppdateringstoken kan hindra en klient från att hämta nya åtkomsttoken, men det gör inte i sig att varje resurs avvisar en åtkomsttoken som redan är giltig. CAE ger en resurs som stöds ett sätt att utmana den aktiva token tidigare.
Vilka händelser kan utlösa omvärdering av åtkomst?
Microsoft Entra ID skiljer mellan utvärdering av kritiska händelser och Policy för villkorlig åtkomst utvärdering. Identifiera vilken modell som gäller innan man förutsäger verkställighetsbeteende.
Konto- och inloggningsändringar
För användarsessioner, Microsofts CAE-dokumentation listar dessa kritiska händelser:
- Användarkontot är inaktiverat eller raderat.
- Användarens lösenord ändras eller återställs.
- Multifaktorautentisering är aktiverad för användaren.
- En administratör återkallar explicit användarens uppdateringstokens.
- Microsoft Entra ID Protection upptäcker hög användarrisk.
Dessa händelser garanterar inte identiskt beteende i varje applikation. Resursen måste stödja händelsen och klienten måste kunna svara på den resulterande utmaningen.
För arbetsbelastningsidentiteter har CAE ett snävare omfång. Microsoft dokumenterar stöd för line-of-business service principals med en enda hyresgäst som åtkomst till Microsoft Graph. Hanterade identiteter, program med flera hyresgäster, SaaS-program från tredje part och andra resursleverantörer ligger utanför detta dokumenterade omfång för arbetsbelastningsidentiteter. Se kontinuerlig åtkomstutvärdering för arbetsbelastningsidentiteter.
Risk- och platspolicyändringar
Hög användarrisk är en kritisk händelse när Microsoft Entra ID Protection är en del av scenariot. När händelsen når en resurs som stöds kan resursen utmana den aktiva token och kräva ett nytt åtkomstbeslut.
Platstillämpning fungerar annorlunda. En resurs som stöds kan utvärdera käll-IP:n som är associerad med begäranden och tillämpa tillämpliga platspolicyer för villkorlig åtkomst. Till exempel, när en användare flyttar från ett tillåtet nätverk till en blockerad plats, kan resursen utmana sessionen istället för att vänta på att den befintliga token ska upphöra att gälla.
Microsoft beskriver tillämpning av IP-platspolicyer som stöds som omedelbar, medan kritiska händelser kan ta upp till 15 minuter att implementera. "Omedelbar" kräver fortfarande en begäran för att nå den resurs som stöds och är beroende av att Microsoft Entra ID och resursleverantören observerar en konsekvent klient-IP-adress.
Hur CAE relaterar till Microsoft Entra ID och öppna standarder
Microsoft Entra ID, villkorlig åtkomst och program som stöds
Microsoft Entra CAE implementeras genom stödda kombinationer av identitetsleverantör, resurs, klient och policy. Det är inte en garanti för hela klientorganisationen att varje programsession kan omvärderas kontinuerligt.
Microsoft dokumenterar CAE-scenarier som involverar Exchange Online, SharePoint Online, Microsoft Teams och Microsoft Graph, beroende på klient-, identitets- och arbetsbelastningsbegränsningar. Ett program som använder en av dessa tjänster blir inte automatiskt CAE-kompatibelt om klienten inte kan behandla anspråksutmaningar eller om identiteten och sessionstypen inte stöds.
När du bedömer en ansökan, separera fyra frågor:
- Resursstöd: Accepterar API:et eller tjänsten CAE-kompatibla tokens och utfärdar anspråksutmaningar?
- Kundsupport: Kan klienten upptäcka ett problem och begära en ny token med de nödvändiga anspråken?
- Identitetsstöd: Använder sessionen en användar- eller arbetsbelastningsidentitet som stöds?
- Scenariostöd: Deltar den relevanta händelsen eller principen för villkorlig åtkomst i CAE för den resursen?
En ansökan kan uppfylla vissa av dessa villkor utan att uppfylla alla.
CAE som koncept kontra CAEP och ramverket för delade signaler
CAE beskriver resultatet eller implementeringsmönstret för åtkomstkontroll: åtkomsten omvärderas under en aktiv session när förhållandena ändras.
Ocuco-landskapet Öppet ID Continuous Access Evaluation Profile 1.0, eller CAEP, är en standardbaserad profil som definierar åtkomstrelaterade händelsetyper för samarbetande system. CAEP verkar under Shared Signals Framework (SSF), som definierar hur deltagande sändare och mottagare utbyter säkerhets- och åtkomstsignaler.
Termerna är relaterade men inte utbytbara:
- CAE är det bredare konceptet för åtkomstutvärdering och kan hänvisa till en plattformsspecifik implementering.
- SSF är ett ramverk för utbyte av säkerhetssignaler.
- CAEP definierar specifika händelsetyper för kontinuerlig åtkomst inom SSF.
En leverantörs användning av "kontinuerlig åtkomstutvärdering" etablerar inte interoperabilitet mellan CAEP och SSF. Det kräver uttrycklig implementering och dokumentation från de deltagande leverantörerna.
Hur man kontrollerar och validerar CAE för en specifik applikation
Bekräfta stöd för applikation, klient, session och händelse
Innan testning, dokumentera den exakta åtkomstvägen:
- Identitetstyp: Användare, gästanvändare, tjänstens huvudnamn, hanterad identitet eller annan identitetstyp.
- Resursleverantör: Tjänsten eller API:et som validerar åtkomsttoken, inte bara programmets inloggningssida.
- Kund: Webbläsare, skrivbordsapplikation, mobilapplikation, kommandoradsverktyg, koppling eller anpassad klient.
- Hantering av reklamationer/tvister: Om klienten kan behandla ett 401-kravutmaning och begära en annan token.
- Utlösande händelse: Kontoinaktivering, lösenordsändring, återkallelse av uppdateringstoken, användarrisk eller ett platspolicyvillkor som stöds.
- Omfattning av villkorlig åtkomst: Om policyn gäller för den testade användaren, resursen, klienten och platsen.
- Miljöbegränsningar: Gäståtkomst, samtidig redigering, arbetsbelastningsidentitet, nätverksöversättning, proxyservrar och andra faktorer som kan ändra beteendet.
Behandla inte ”stöder Microsoft Entra ID-inloggning” som bevis på CAE-stöd. Autentiseringsstöd och stöd för utmaningar vid aktiva sessioner är olika funktioner.
Testa en godkänd identitetshändelse och registrera det observerade svaret
Använd ett godkänt testkonto i en icke-produktionsmiljö där det är möjligt. Experimentera inte med en produktionsadministratör, integrationsidentitet eller tjänsteprincipal.
- Logga in via exakt den klient som granskas.
- Bekräfta att klienten har åtkomst till målresursen.
- Registrera inloggningstid, klient, resurs, käll-IP, tillämplig policy och token- eller sessionstyp.
- Utlösa en godkänd händelse, till exempel att inaktivera det dedikerade testkontot eller uttryckligen återkalla dess uppdateringstokens.
- Registrera händelsetiden i UTC.
- Gör en ny begäran till den skyddade resursen istället för att bara observera ett statiskt applikationsgränssnitt.
- Registrera det första avslaget, begäran om omautentisering, HTTP 401-anspråksutmaningen eller annat klientsvar.
- Granska relevanta inloggnings- och granskningsloggar för Microsoft Entra.
- Återställ testmiljön genom den godkända ändringsproceduren.
Bevisen bör visa mer än slutlig utloggning. Registrera om en oförutsedd token ifrågasattes, om klienten begärde en ny token och var åtkomst nekades.
Microsofts CAE-övervakning och felsökningsguide beskriver även CAE Insights-arbetsboken och undersökningen per inloggning. Användning av arbetsboken kräver Log Analytics-integration och lämplig administrativ åtkomst.
Vad man ska undersöka när åtkomsten inte ändras som förväntat
Ta hänsyn till observerade förseningar utan att anta omedelbar verkställighet
För kritiska identitetshändelser dokumenterar Microsoft spridningsfördröjningar på upp till 15 minuter. Platsbaserad tillämpning kan ske vid nästa resursbegäran som stöds, förutsatt att relevanta villkor är uppfyllda. Administrativa ändringar av principer för villkorlig åtkomst eller gruppmedlemskap kan ha separata, längre spridningstider.
Arbetsbelastningens beteende påverkar vad användarna observerar. Microsoft dokumenterar begränsningar som involverar gästkonton, vissa interaktioner med Microsoft Teams-tjänster, samtidig redigering i Office och fördröjningar efter att en inaktiverad användare har återaktiverats. Cachelagrat innehåll eller en redan öppen dokumentvy är inte bevis på att resursen fortsätter att auktorisera nya förfrågningar.
Nätverkskonfigurationen kan också påverka CAE. Om Microsoft Entra ID och resursleverantören observerar olika klient-IP-adresser kan Entra ID utfärda en CAE-token på en timme som tillfälligt avbryter IP-platskontroller på resurssidan. Andra CAE-händelser som stöds fortsätter att utvärderas.
| Observerat beteende | Vad man ska kontrollera | Rekommenderad utredning |
|---|---|---|
| Åtkomsten fortsätter efter att kontot har inaktiverats | Händelsespridning och resursförfrågningar | Bekräfta händelsens tidsstämpel och gör en ny begäran om skyddad resurs |
| Inga bestridande av anspråk observeras | Resurs- och klientsupport | Verifiera CAE-stöd för den exakta kombinationen |
| Åtkomsten fortsätter efter en IP-platsändring | Policytyp och IP-avvikelse | Kontrollera IP-baserade namngivna platser och jämför observerade klient-IP-adresser |
| CAE-status är oklar | Inloggningsloggar | Markera "Är CAE-token" i interaktiva och icke-interaktiva inloggningar |
| Policyändringar har ännu inte återspeglats | Policyspridning | Kontrollera den dokumenterade effektivtiden för policy- och gruppändringar |
Kontrollera support, händelseomfattning och den aktiva sessionen igen
Undersök i denna ordning:
- Verifiera token och logga in. Bekräfta att den observerade sessionen tillhör testkontot och målresursen.
- Verifiera resursens slutpunkt. Ett applikationsgränssnitt som stöds kan anropa API:er eller inbäddade tjänster med olika CAE-funktioner.
- Verifiera klienten. Bekräfta att klientversionen och autentiseringsbiblioteket kan behandla anspråksutmaningar.
- Verifiera händelsen. Se till att händelsen ligger inom leverantörens dokumenterade CAE-omfattning.
- Verifiera policyns tillämplighet. Kontrollera användare, applikation, plats, enhet och undantagsvillkor.
- Jämför IP-observationer. Granska IP-adresserna som registrerats av Microsoft Entra ID och resursleverantören.
- Skilj på användar- och arbetsbelastningssessioner. CAE för arbetsbelastningsidentitet har ett mycket snävare dokumenterat omfång än CAE för användarsessioner.
- Kontrollera arbetsbelastningsspecifika undantag. Samredigering, gäståtkomst och tjänstspecifikt beteende kan ändra vad som verkar hända.
Om ett beroende inte stöds kan sessionen återgå till normalt token-utgångsdatum eller en annan produktspecifik tillämpningsmekanism.
Kontinuerlig åtkomstutvärdering med Scalefusion OneIdP
Scalefusion OneIdP stöder kontinuerlig, enhetsmedveten åtkomstutvärdering genom Utökade åtkomstpolicyer (XAP)Till skillnad från Microsoft Entra CAE:s token-challenge-mekanism utvärderar OneIdP XAP konfigurerad enhetsefterlevnad och kontextuella villkor för att kontrollera åtkomst till SSO-integrerade applikationer.
IT-administratörer kan definiera åtkomstkrav baserat på Veltar-efterlevnadsstatus, operativsystemuppdateringar, plats, IP-adress och installerade applikationer. Dessa policyer använder efterlevnadssignaler för att tillåta eller blockera åtkomst baserat på de definierade villkoren.
XAP kräver relevanta OneIdP SSO-, användargrupps- och enhetskonfigurationer. Dess dokumenterade åtkomstkontroll bör inte tolkas som bevis på Microsoft Entra CAE- eller OpenID CAEP-interoperabilitet.
Utforska Scalefusion OneIdP
Vanliga frågor
1. Vilka är fördelarna med kontinuerlig åtkomstutvärdering (CAE)?
Kontinuerlig åtkomstutvärdering (CAE) hjälper organisationer att genomdriva åtkomständringar utan att behöva vänta på att befintliga tokens ska löpa ut. Dess viktigaste fördelar inkluderar snabbare respons på identitetsrelaterade säkerhetshändelser, snabbare tillämpning av åtkomstpolicyer som stöds, minskat beroende av frekvent tokenförnyelse och förbättrad sessionssäkerhet utan att kräva onödig omautentisering.
2. Fungerar CAE med alla applikationer och klienter?
Nej. CAE är beroende av stöd för resursleverantören, klienten, identiteten och sessionstypen, samt den utlösande händelsen eller policyn. Kontrollera leverantörens dokumentation och testa den exakta kombinationen som används i din miljö.
3. Hur stöder kontinuerlig åtkomstutvärdering Zero Trust-säkerhet?
CAE stöder Zero Trust-principer genom att möjliggöra omvärdering av åtkomst när relevanta identitets-, risk- eller policyförhållanden ändras. Istället för att enbart förlita sig på beslut som fattas under den initiala autentiseringen kan stödda tjänster utmana befintliga åtkomsttokens och kräva omautentisering vid behov. Detta hjälper organisationer att begränsa fortsatt åtkomst när säkerhetsförhållandena inte längre uppfyller etablerade krav.
