Conditional Access
Regler i Microsoft Entra ID, der afgør, hvornår, hvorfra og fra hvilke enheder man må logge på – fx kun fra godkendte computere.
Kort svar
Conditional Access er regler i Microsoft Entra ID, der vurderer hvert login, før der gives adgang. Reglerne er „hvis–så“-udsagn: Hvis en bruger vil åbne fx Outlook fra en ukendt computer, så skal vedkommende bruge MFA – eller blokeres. Reglerne kan se på bruger, program, enhed, placering og risiko. Funktionen kræver Entra ID P1, som fx indgår i Microsoft 365 Business Premium.
- Første login-trinBrugeren angiver brugernavn og adgangskode eller passkey.
- Signaler samlesHvem, hvilket program, hvilken enhed, hvorfra og hvor risikabelt.
- Regler vurderesAlle regler, der passer på situationen, gælder på samme tid.
- BeslutningAdgang, adgang med krav (fx MFA eller styret enhed) eller blokering.
Hvad reglerne kan se på – og kræve
En Conditional Access-regel består af betingelser og en handling. Betingelserne er de signaler, Entra ID kender ved login. Handlingen er enten at blokere eller at give adgang på bestemte vilkår. Bemærk, at reglerne vurderes efter det første login-trin – de er ikke et værn mod fx overbelastningsangreb.
| Signal (hvis …) | Mulige krav (så …) |
|---|---|
| Bestemte brugere eller administratorroller | Kræv MFA eller en bestemt MFA-styrke |
| Program, fx Exchange Online eller SharePoint | Kræv en enhed, der overholder jeres regler i Intune |
| Placering, fx land eller IP-adresse | Bloker login fra lande, I ikke arbejder fra |
| Enhedstype eller -tilstand | Kræv godkendt app eller app-beskyttelse på mobil |
| Ældre loginprotokoller | Bloker – de kan ikke håndtere MFA |
Sikkerhedsstandarder eller Conditional Access?
Alle Microsoft 365-tenants kan bruge sikkerhedsstandarder (security defaults), som er gratis og slået til i nye tenants. De kræver, at alle registrerer MFA, at administratorer altid bruger MFA, og de blokerer ældre loginprotokoller. Men de kan kun slås til eller fra – der kan ikke laves undtagelser eller krav til enheder.
Conditional Access er den fleksible afløser. Har I Entra ID P1 eller P2, anbefaler Microsoft typisk Conditional Access frem for sikkerhedsstandarder. Når I skifter, skal sikkerhedsstandarderne slås fra, og der skal straks være regler, der giver mindst samme beskyttelse – ellers står I uden MFA-krav.
| Sikkerhedsstandarder | Conditional Access | |
|---|---|---|
| Licens | Ingen ekstra | Mindst Entra ID P1 |
| Tilpasning | Til eller fra | Fuldt tilpasselig |
| Krav om styret enhed | Nej | Ja (sammen med Intune) |
| Undtagelser, fx nødkonti | Nej | Ja |
Faldgruber ved opsætning
- I låser jer selv ude. En forkert regel kan blokere alle – også administratorerne. Microsoft anbefaler to nødadgangskonti (break glass), der kun bruges, hvis alle andre administratorer er låst ude. De skal stadig beskyttes med stærk MFA – Microsoft peger på passkey eller certifikat.
- Regler slås til uden test. Brug tilstanden „kun rapport“ (report-only) og funktionen What If til at se, hvem en regel vil ramme, før den håndhæves.
- Huller i dækningen. En regel, der kun gælder Outlook, beskytter ikke SharePoint. Start med brede regler for alle brugere og alle programmer, og lav så præcise undtagelser.
- Printere og scannere. Ældre enheder, der sender mail med gammel login-metode, holder op med at virke, når ældre protokoller blokeres. Det skal afklares før.
Hvad betyder det for jer?
Conditional Access er det, der gør, at en stjålet adgangskode ikke i sig selv er nok. Kombineret med Intune kan I kræve, at mail og filer kun kan åbnes fra computere, som virksomheden styrer, og som er opdaterede og krypterede. Det er en praktisk udmøntning af zero trust: Intet login er automatisk betroet, fordi det kommer fra det rigtige netværk.
Eksempel: En regel kræver MFA, når en medarbejder logger på uden for kontoret, og blokerer adgang til kundemapperne fra computere, virksomheden ikke styrer. En anden regel blokerer alle login fra lande uden for EU, bortset fra en gruppe medarbejdere, der rejser.
Spørgsmål I kan stille
- Har vi Entra ID P1 for alle brugere, så reglerne faktisk gælder dem?
- Hvilke regler er aktive – og hvem har dokumentationen?
- Har vi nødadgangskonti, og er de testet?
- Er ældre loginprotokoller blokeret, og hvad bruger vores printere og scannere?
Hvornår giver det mening at få hjælp?
Få hjælp, før I slår de første regler til – især hvis I har ældre printere, eksterne konsulenter eller medarbejdere, der rejser. En gennemtænkt startpakke af regler, test i rapporttilstand og nødadgangskonti reducerer risikoen for at låse jer selv ude.
Spørgsmål og svar
Kan Conditional Access låse os ude?
Ja, hvis reglerne sættes forkert op. Derfor testes reglerne i rapporttilstand først, og der oprettes nødadgangskonti, som kan bruges, hvis alt andet fejler.
Har vi Conditional Access?
Det afhænger af jeres licenser og opsætning. Funktionen kræver Entra ID P1, som fx indgår i Microsoft 365 Business Premium – men reglerne skal også være oprettet og slået til.
Hvad sker der med reglerne, hvis vi nedgraderer licensen?
Ifølge Microsoft slettes eller deaktiveres reglerne ikke automatisk, når licensen udløber. De kan ses og slettes, men ikke længere ændres.
Forbehold: Teksten forklarer begrebet og er ikke en opsætningsvejledning. Ingen kombination af regler giver fuld sikkerhed, og forkert opsatte regler kan blokere adgang for alle.
Kilder (tjekket 31. oktober 2026)
- Microsoft Entra Conditional Access: Zero Trust Policy Engine – Microsoft Learn
- Configure Security Defaults for Microsoft Entra ID – Microsoft Learn
- Microsoft Entra licensing – Microsoft Learn
- Best practices for Microsoft Entra roles – Microsoft Learn
- Plan for mandatory Microsoft Entra multifactor authentication – Microsoft Learn