Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Tento článek poskytuje Microsoft Defender for Cloud Apps správcům pokyny, jak prozkoumat a vyřešit běžné problémy s přístupem a řízením relací, s nimiž se setkávají koncoví uživatelé.
Kontrola minimálních požadavků
Než začnete s řešením potíží, ujistěte se, že vaše prostředí splňuje následující minimální obecné požadavky na řízení přístupu a relací.
| Požadavek | Popis |
|---|---|
| Licencování | Ujistěte se, že máte platnou licenci pro Microsoft Defender for Cloud Apps. |
| Jednotné přihlášení (SSO) | Aplikace musí být nakonfigurované s jedním z podporovaných řešení jednotného přihlašování (SSO): – Microsoft Entra ID pomocí SAML 2.0 nebo OpenID Connect 2.0 – Zprostředkovatel identity jiný než Microsoft používající SAML 2.0 |
| Podpora prohlížeče | Ovládací prvky relací jsou k dispozici pro relace založené na prohlížeči v nejnovějších verzích následujících prohlížečů: – Microsoft Edge - Google Chrome - Mozilla Firefox - Apple Safari Ochrana v prohlížeči pro Microsoft Edge má také specifické požadavky, včetně uživatele přihlášeného pomocí svého pracovního profilu. Další informace najdete v tématu Požadavky na ochranu v prohlížeči. |
| Výpadek | Defender for Cloud Apps umožňuje definovat výchozí chování, které se použije v případě výpadku služby, například pokud komponenta nefunguje správně. Můžete se například rozhodnout zpřísnit (blokovat) nebo obejít (povolit) uživatelům provádět akce s potenciálně citlivým obsahem, když není možné vynutit normální ovládací prvky zásad. Pokud chcete nakonfigurovat výchozí chování během výpadku systému, přejděte v Microsoft Defender XDR na Nastavení> Řízení >podmíněného přístupu aplikací> Povolit nebo Blokovat přístup. |
Stránka monitorování uživatelů se nezobrazuje
Při směrování uživatele přes Defender for Cloud Apps můžete uživatele upozornit, že je jeho relace monitorovaná. Ve výchozím nastavení je stránka monitorování uživatelů povolená.
Tato část popisuje postup řešení potíží, který doporučujeme provést, pokud je stránka monitorování uživatelů povolená, ale nezobrazuje se podle očekávání.
Doporučený postup
Na portálu Microsoft Defender vyberte Nastavení>Cloud Apps.
V části Řízení podmíněného přístupu k aplikacím vyberte Monitorování uživatelů. Tato stránka zobrazuje možnosti monitorování uživatelů dostupné v Defender for Cloud Apps. Příklady:
Ověřte, že je vybraná možnost Upozornit uživatele, že se monitoruje jejich aktivita .
Vyberte, jestli chcete použít výchozí zprávu nebo zadat vlastní zprávu:
Typ zprávy Podrobnosti Výchozí Záhlaví:
Přístup k aplikaci [Název aplikace se zde zobrazí] je monitorovaný.
Text:
Kvůli lepšímu zabezpečení vaše organizace povolí přístup k aplikaci [Název aplikace se zde zobrazí] v režimu monitorování. Přístup je k dispozici pouze ve webovém prohlížeči.Vlastní Záhlaví:
Toto pole slouží k zadání vlastního nadpisu, který uživatele informuje o tom, že jsou monitorováni.
Text:
Toto pole slouží k přidání dalších vlastních informací pro uživatele, například koho kontaktovat s otázkami, a podporuje následující vstupy: prostý text, formát RTF, hypertextové odkazy.Vyberte Náhled a zkontrolujte stránku monitorování uživatele, která se zobrazí před přístupem do aplikace.
Vyberte Uložit.
K aplikaci není možné přistupovat pomocí jiného poskytovatele identity než Microsoftu
Pokud se koncovému uživateli po přihlášení k aplikaci od jiného zprostředkovatele identity než Microsoftu zobrazí obecná chyba, ověřte konfiguraci zprostředkovatele identity jiného uživatele než Microsoftu.
Doporučený postup
Na portálu Microsoft Defender vyberte Nastavení>Cloud Apps.
V části Připojené aplikace vyberte Aplikace řízení podmíněného přístupu k aplikacím.
V seznamu aplikací na řádku, na kterém se zobrazí aplikace, ke které nemáte přístup, vyberte tři tečky na konci řádku a pak vyberte Upravit aplikaci.
Ověřte správnost nahraného certifikátu SAML.
Ověřte, že jsou v konfiguraci aplikace uvedené platné adresy URL jednotného přihlašování.
Ověřte, že se atributy a hodnoty ve vlastní aplikaci odrážejí v nastavení zprostředkovatele identity.
Příklady:
Pokud k aplikaci stále nemáte přístup, otevřete lístek podpory.
Zobrazí se stránka Něco se nepovedlo.
Někdy se během relace proxy serveru může zobrazit stránka Něco se nepovedlo . K tomu může dojít v těchto případech:
- Uživatel se přihlásí po chvíli nečinnosti.
- Aktualizace prohlížeče a načtení stránky trvá déle, než se čekalo
- Aplikace jiného poskytovatele identity než Microsoft není správně nakonfigurovaná.
Doporučený postup
Pokud se koncový uživatel pokouší získat přístup k aplikaci, která je nakonfigurovaná pomocí jiného zprostředkovatele identity než Microsoft, přečtěte si téma Nejde získat přístup k aplikaci z jiného zprostředkovatele identity a stav aplikace: Pokračovat v instalaci.
Pokud koncový uživatel neočekávaně dosáhl této stránky, postupujte takto:
- Restartujte relaci prohlížeče.
- Vymažte historii, soubory cookie a mezipaměť z prohlížeče.
Operace schránky nebo ovládací prvky pro soubory se neblokují
Aby bylo možné zabránit scénářům exfiltrace a infiltrace dat, je nutné mít možnost blokovat akce schránky, jako jsou vyjmutí, kopírování a vložení, a operace se soubory, jako jsou stahování, nahrávání a tisk.
Tato schopnost umožňuje společnostem vyvážit zabezpečení a produktivitu koncových uživatelů. Pokud máte s těmito funkcemi problémy, prošetřete problém pomocí následujícího postupu.
Doporučený postup
Pokud je relace zprostředkována proxy serverem, ověřte zásadu podle následujících kroků:
Na portálu Microsoft Defender vyberte v části Cloudové aplikacemožnost Protokol aktivit.
Použijte rozšířený filtr, vyberte Použitá akce a nastavte její hodnotu na Hodnotu Blokované.
Ověřte, zda jsou blokovány operace se soubory:
Pokud existuje nějaká aktivita, rozbalte panel aktivit kliknutím na aktivitu.
Na kartě Obecné na panelu aktivit vyberte odkaz odpovídající zásady a ověřte, že zásada, kterou jste vynutili, existuje.
Pokud své zásady nevidíte, viz Problémy při vytváření zásad přístupu a zásad relací.
Pokud se zobrazí přístup zablokovaný nebo povolený kvůli výchozímu chování, znamená to, že systém byl mimo provoz a použilo se výchozí chování.
Pokud chcete změnit výchozí chování, vyberte na portálu Microsoft Defender Možnost Nastavení. Pak zvolte Cloud Apps. Pak v části Řízení podmíněného přístupu k aplikacím vyberte Výchozí chování a nastavte výchozí chování na Povolit nebo Blokovat přístup.
Přejděte na portál pro správu Microsoftu 365 a monitorujte oznámení o výpadku systému.
Pokud se vám stále nezobrazuje blokovaná aktivita, otevřete lístek podpory.
Stahované soubory nejsou chráněné
Jako koncový uživatel může být nutné stahovat citlivá data na nespravované zařízení. V těchto scénářích můžete chránit dokumenty pomocí Microsoft Purview Information Protection.
Pokud koncový uživatel nemůže úspěšně zašifrovat dokument, pomocí následujícího postupu vyšetřete problém.
Doporučený postup
Na portálu Microsoft Defender vyberte v části Cloudové aplikacemožnost Protokol aktivit.
Použijte rozšířený filtr, vyberte Použitá akce a nastavte její hodnotu na hodnotu Chráněno.
Ověřte, zda jsou blokovány operace se soubory:
Pokud existuje nějaká aktivita, rozbalte panel aktivit kliknutím na aktivitu.
Na kartě Obecné na panelu aktivit vyberte odkaz odpovídající zásady a ověřte, že zásada, kterou jste vynutili, existuje.
Pokud své zásady nevidíte, viz Problémy při vytváření zásad přístupu a zásad relací.
Pokud se zobrazí přístup zablokovaný nebo povolený kvůli výchozímu chování, znamená to, že systém byl mimo provoz a použilo se výchozí chování.
Pokud chcete změnit výchozí chování, vyberte na portálu Microsoft Defender Možnost Nastavení. Pak zvolte Cloud Apps. Pak v části Řízení podmíněného přístupu k aplikacím vyberte Výchozí chování a nastavte výchozí chování na Povolit nebo Blokovat přístup.
Přejděte na řídicí panel stavu služby Microsoft 365 a sledujte oznámení o výpadku systému.
Pokud chráníte soubor popiskem citlivosti nebo vlastními oprávněními, v popisu aktivity se ujistěte, že přípona souboru je jedním z následujících podporovaných typů souborů:
Word: docm, docx, dotm, dotx
Excel: xlam, xlsm, xlsx, xltx
PowerPoint: potm, potx, ppsx, ppsm, pptm, pptx
PDF, pokud je povoleno sjednocené označování
Pokud typ souboru není podporovaný, můžete v zásadách relace vybrat Blokovat stahování libovolného souboru, který nativní ochrana nepodporuje nebo u kterého nativní ochrana není úspěšná.
Pokud se vám stále nezobrazuje blokovaná aktivita, otevřete lístek podpory.
Přechod na konkrétní adresu URL aplikace se sufixem a zobrazení obecné stránky
V některých scénářích může přechod na odkaz vést k tomu, že uživatel přejde na domovskou stránku aplikace, a ne na úplnou cestu odkazu.
Tip
Defender for Cloud Apps udržuje seznam aplikací, o kterých se ví, že trpí ztrátou kontextu. Další informace najdete v tématu Omezení ztráty kontextu.
Doporučený postup
Pokud používáte jiný prohlížeč než Microsoft Edge a uživatel se místo celé cesty k odkazu dostane na domovskou stránku aplikace, vyřešte problém připojením .mcas.ms k původní adrese URL.
Pokud je například původní adresa URL:
https://www.github.com/organization/threads/threadnumberzměňte ho na https://www.github.com.mcas.ms/organization/threads/threadnumber
Uživatelé prohlížeče Microsoft Edge využívají ochranu v prohlížeči, nejsou přesměrováni na reverzní proxy server a neměli by potřebovat přidanou příponu .mcas.ms . U aplikací, u kterých dochází ke ztrátě kontextu, otevřete lístek podpory.
Blokování stahování způsobuje zablokování náhledů PDF
Při zobrazení náhledu nebo tisku souborů PDF někdy aplikace zahájí stažení souboru. To způsobí, že Defender for Cloud Apps zasáhnou, aby se zajistilo zablokování stahování a aby data neunikla z vašeho prostředí.
Pokud jste například vytvořili zásadu relace pro blokování stahování v aplikaci Outlook Web Access (OWA), může být zablokováno zobrazení náhledu nebo tisk souborů PDF a zobrazí se zpráva podobná této:
Pokud chcete povolit verzi Preview, měl by správce Exchange provést následující kroky:
Stáhněte si modul PowerShellu pro Exchange Online.
Připojte se k modulu. Další informace najdete v tématu Připojení k Exchange Online PowerShellu.
Po připojení k Exchange Online PowerShellu aktualizujte parametry zásad pomocí rutiny Set-OwaMailboxPolicy:
Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -DirectFileAccessOnPrivateComputersEnabled $false -DirectFileAccessOnPublicComputersEnabled $falsePoznámka
Zásada OwaMailboxPolicy-Default je výchozí název zásady OWA v Exchange Online. Někteří zákazníci možná nasadili další zásady nebo vytvořili vlastní zásady OWA s jiným názvem. Pokud máte více zásad OWA, můžou se použít pro konkrétní uživatele. Proto je budete muset také aktualizovat, aby byly plně pokryté.
Po nastavení těchto parametrů spusťte test na OWA se souborem PDF a zásadami relace nakonfigurovanými tak, aby blokovaly stahování. Možnost Stáhnout by měla být z rozevíracího seznamu odebrána a můžete zobrazit náhled souboru. Příklady:
Zobrazí se podobné upozornění webu.
Útočníci mohou vytvářet adresy URL podobné adresám jiných webů, aby se za ně vydávali a oklamali uživatele, takže si budou myslet, že navštěvují jiný web. Některé prohlížeče se snaží toto chování rozpoznat a upozornit uživatele před přístupem k adrese URL nebo blokováním přístupu.
V některých výjimečných případech se uživatelům, jejichž relace je řízena, zobrazí v prohlížeči zpráva upozorňující na podezřelý přístup k webu. Důvodem je to, že prohlížeč považuje doménu s příponou (například .mcas.ms) za podezřelou.
Tato zpráva se zobrazuje jenom uživatelům Chromu, protože uživatelé Microsoft Edge využívají výhod ochrany v prohlížeči bez architektury reverzního proxy serveru. Příklady:
Pokud se vám zobrazí podobná zpráva, obraťte se na podporu Microsoftu a obraťte se na příslušného dodavatele prohlížeče.
Po kliknutí na odkazy mcas.ms se uživatelům zobrazí přihlášení k Entra ID.
Útočníci můžou vytvářet adresy URL, které zdánlivě vedou k důvěryhodným doménám, ale ve skutečnosti přesměrovávají uživatele na škodlivé weby. U uživatelů chráněných řešením založeným na relacích nebo příponách se útočník může pokusit obejít ovládací prvky připojením přípony mcas.ms ke škodlivé adrese URL a využít předpoklad, že tyto adresy URL jsou bezpečné.
Aby se tomu zabránilo, Microsoft Defender for Cloud Apps přesměrovává všechny adresy URL mcas.ms, které nemají platný kontext relace, do Entra ID k ověření identity, čímž účinně brání takovému zneužití.
Legitimní mcas.ms adresy URL bez kontextu však mohou existovat, například pokud uživatel klikne na starou záložku prohlížeče. V takových případech bude uživatel nejprve přesměrován na Entra ID. Pokud jejich poskytovatel identity (IdP) není Entra ID, budou muset před pokračováním ručně odebrat příponu mcas.ms.
Další důležité informace o řešení potíží s aplikacemi
Při řešení potíží s aplikacemi je potřeba zvážit několik dalších věcí:
Podpora ovládacích prvků relací pro moderní prohlížeče Defender for Cloud Apps ovládací prvky relací teď zahrnuje podporu nového prohlížeče Microsoft Edge založeného na Chromium. I když i nadále podporujeme nejnovější verze Internet Exploreru a starší verze Microsoft Edge, podpora je omezená a doporučujeme používat nový prohlížeč Microsoft Edge.
Omezení akce "protect" v ovládacích prvcích relace Označování Co-Auth v rámci akce "protect" není podporováno ovládacími prvky relace v programu Defender for Cloud Apps. Další informace najdete v tématu Povolení spoluvytváření pro soubory šifrované pomocí popisků citlivosti.