Den Ultimative Guide: Sådan Opsætter du Conditional Access Korrekt i Microsoft Entra ID (2026)

En step-by-step vejledning til en sikker, stabil og professionel identitetsstyring

Introduktion

Conditional Access (CA) er i dag hjertet af sikkerheden i Microsoft 365 og Azure. I 2026 er CA ikke længere “nice to have” – det er en absolut nødvendighed for at beskytte identiteter, data og systemer mod moderne AI-drevne angreb, misbrugte tokens og loginforsøg fra kompromitterede enheder.

I denne guide gennemgår vi den professionelle fremgangsmåde til opsætning af Conditional Access-politikker i Microsoft Entra ID, så du undgår almindelige fejl, lockouts og sikkerhedshuller.

Hvorfor er korrekt CA-opsætning vigtig?

En forkert konfigureret CA-politik kan føre til:

• ❌ Uventede lockouts – administratorer eller brugere mister adgang til kritiske systemer
• ❌ Fejlbehæftede apps – især ældre integrationer fejler stille
• ❌ Sikkerhedshuller – fx hvis legacy authentication forbliver åben
• ❌ Complianceproblemer – fx hvis MFA ikke er tvunget ved risiko
• ❌ Manglende kontrol – uden struktur bliver CA en rodebunke af policies

En korrekt implementeret CA-model giver:

• ✔ Konsistent sikkerhed
• ✔ Minimal risiko for utilsigtede blokeringer
• ✔ Nem administration
• ✔ Klar insigt i risikoadfærd
• ✔ Forbedret compliance og rapportering

Forberedelser: Det skal være på plads før opsætningen

📋 Kravafklaring

Før du bygger dine CA-politikker, skal du have styr på:

• Brugersegmenter: Almindelige brugere, admins, eksterne, servicekonti
• Enheder: Intune-styrede, hybrid join, private enheder
• Apps: Cloud apps, legacy apps, tredjepartsapps
• Forretningskritikalitet: Hvad må aldrig blokeres?

🔐 Sikkerhedsforberedelser

• Opret 2 x break-glass administratorer (cloud-only)
• Sørg for at MFA er aktivt og testet
• Planlæg device-compliance strategi (Intune)
• Kortlæg alle applikationer der bruger legacy authentication

Metode 1: Baseline-opsætning (anbefalet af TODO-IT)

Her er den CA-baseline vi oftest implementerer hos kunder.

Trin 1: Blokér Legacy Authentication (Kritisk)

Legacy authentication er stadig den største årsag til password spray-angreb.

Sådan gør du:

1. Gå til Entra ID → Security → Conditional Access
2. Opret ny politik
3. Assignments → All users
4. Cloud apps → All cloud apps
5. Conditions:
   • Client apps → Vælg Other clients
6. Access control → Block access
7. Sæt i Report-only mode i 24 timer
8. Aktivér

Fordel: Lukker den absolut største angrebsflade.

Trin 2: MFA for alle brugere (interaktiv login)

Sådan gør du:

1. Opret ny politik
2. Assignments → All users (undtagen break-glass)
3. Cloud apps → All cloud apps
4. Access control → Require MFA
5. Sæt i Report-only → Test → Aktiver

Trin 3: Særskilt Admin-beskyttelse (strengere krav)

Administratorer skal altid have:

• stærkere MFA
• compliant enhed
• ingen login uden risikoanalyse

Sådan gør du:

1. Ny politik → Target: Directory roles (Global Admin, Security Admin, etc.)
2. Kræv:
   • Phishing-resistant MFA
   • Compliant device
   • Approved client apps
3. Sæt i Report-only → Test → Aktiver

Trin 4: Kræv compliant eller hybrid join-enhed

Dette sikrer at brugere ikke logger ind fra uregistrerede eller inficerede enheder.

1. Ny politik
2. Users → All users
3. Cloud apps → All
4. Conditions → Device state: Include all, exclude compliant/hybrid
5. Access controls → Require compliant device
6. Sæt i Report-only først

Trin 5: Blokering af risky logins

Brug risk-baserede CA-politikker:

• High user risk → force password reset
• Medium/high sign-in risk → require MFA
• Impossible travel → block

Metode 2: Avanceret Opsætning (til større og hybrid miljøer)

Inkluderer:

• Named locations (trusted IP ranges)
• App-beskyttelse for ex. Exchange + SharePoint separat
• Session controls (fx blokér downloads i usikre miljøer)
• CA integration med Defender for Cloud Apps (CASB)

Efter opsætning: De første kritiske 24–48 timer

🔎 Overvågning

• Gennemgå Insights & Reporting
• Tjek efter fejlramte apps
• Overvåg eventuelle brugerstigninger i MFA-prompts

👤 Administrator governance

• Test break-glass konti
• Dokumentér alle politikker
• Lav naming-standard og nummerering

🧩 Licens-tjek

CA kræver passende licenser (f.eks. P1 eller P2 i visse funktioner).
Sørg for at brugere har korrekte tildelinger.

Almindelige fejl og løsninger

❌ Fejl 1: Ingen break-glass konto
➡ Løsning: Opret 2 cloud-only konti uden CA-restriktioner

❌ Fejl 2: For mange policies
➡ Løsning: Reducér til et simpelt, velstruktureret baseline-sæt

❌ Fejl 3: Glemsomhed ved servicekonti
➡ Løsning: Undtag konti der ikke kan MFA – men dokumentér hvorfor

❌ Fejl 4: Manglende test i Report-only
➡ Løsning: Brug altid report-only i 24–72 timer før aktivering

Professionel opsætning gennem TODO-IT

Som specialister i Microsoft Entra ID og M365 sikkerhed hjælper vi virksomheder med:

• ✔ Korrekt CA-design uden lockouts
• ✔ Sikkerhedsoptimering efter best practice
• ✔ Licensoptimering
• ✔ Device-compliance + Intune-opsætning
• ✔ Drift og overvågning

Få hjælp til jeres Conditional Access opsætning

📞 +452278 2720
✉️ support@todo-it.dk
🌐 www.todo-it.dk

TODO-IT leverer sikkerhedsopsætninger der virker i praksis – ikke kun på papiret.