Microsoft Entra – agent optimalizace podmíněného přístupu
Optimalizační agent podmíněného přístupu pomáhá zajistit, aby všichni uživatelé měli ochranu zásadami. Doporučuje zásady a změny na základě osvědčených postupů v souladu s nulovou důvěryhodností a učením Microsoftu.
Agent optimalizace podmíněného přístupu vyhodnocuje zásady, jako je vyžadování vícefaktorového ověřování (MFA). Agent vynucuje kontroly na základě zařízení (dodržování předpisů zařízením, zásady ochrany aplikací a zařízení připojená k doméně). Agent může také pomoct blokovat starší ověřování a tok kódu zařízení.
Agent také vyhodnotí všechny existující povolené zásady a navrhne potenciální konsolidaci podobných zásad.
Požadavek na použití agenta optimalizace podmíněného přístupu
- Musíte mít aspoň licenci Microsoft Entra ID P1.
- Musíte mít k dispozici výpočetní jednotky zabezpečení (SCU).
- K první aktivaci agenta potřebujete roli Správce zabezpečení nebo vyšší.
- Správcům podmíněného přístupu můžete přiřadit přístup k Security Copilot.
- Další informace najdete v tématu Přiřazení přístupu ke Security Copilot.
- Ovládací prvky založené na zařízení vyžadují licence Microsoft Intune.
Klíčové funkce agenta optimalizace podmíněného přístupu
Agent optimalizace podmíněného přístupu zkontroluje nového uživatele a aplikace vašeho tenanta a určí, jestli jsou k dispozici zásady podmíněného přístupu. Mezi klíčové funkce patří:
| Vlastnost | Popis |
|---|---|
| Vyžadovat vícefaktorové ověřování | Agent identifikuje uživatele, kteří nejsou pokryti zásadami podmíněného přístupu, které vyžadují vícefaktorové ověřování a můžou zásady aktualizovat. |
| Vyžadování ovládacích prvků založených na zařízeních | Agent může vynutit řízení založené na zařízení, jako je soulad zařízení, politiky ochrany aplikací a zařízení připojená k doméně. |
| Blokování starší verze ověřování | Přihlášení uživatelských účtů se starší verzí ověřování je zablokováno. |
| Konsolidace zásad | Agent zkontroluje zásady a identifikuje překrývající se nastavení. Pokud máte například více než jednu zásadu se stejnými ověřovacími mechanismy, agent navrhne sloučit tyto zásady do jedné. |
| Blokovat tok kódu zařízení | Agent hledá zásady blokující ověřování toku kódu zařízení. |
| Náprava jedním kliknutím | Když agent identifikuje návrh, můžete vybrat Použít návrh a nechat agenta aktualizovat přidružené zásady jedním stisknutím tlačítka. |
Vyzkoušejte agenta optimalizace podmíněného přístupu.
V tomto cvičení prozkoumáte klíčové funkce v agentu optimalizace podmíněného přístupu Security Copilot, který je integrovaný v Microsoft Entra.
Při zkoumání mějte na paměti, že pokud není uvedeno jinak, zobrazené informace a nastavení konfigurace jsou pro aktuálně přihlášeného správce zabezpečení.
Poznámka:
Prostředí pro toto cvičení je simulace generovaná z produktu. Jako omezenou simulaci nejsou povoleny všechny odkazy na stránce a textové vstupy, které spadají mimo zadaný skript, nejsou podporovány. Zobrazí se automaticky otevírané okno s informací, že tato funkce není v rámci simulace k dispozici. Až se tato zpráva zobrazí, vyberte OK a pokračujte v krocích cvičení.
Cvičení
Dokončení tohoto cvičení by mělo trvat přibližně 10 minut.
Poznámka:
Když cvičení volá otevření odkazu na simulované prostředí, doporučuje se otevřít odkaz v novém okně prohlížeče, abyste mohli zobrazit pokyny a prostředí cvičení současně. Uděláte to tak, že vyberete správnou klávesu myši a vyberete možnost.
- Otevřete https://Entra.Microsoft.com (simulaci) s alespoň rolí Správce zabezpečení.
Existují dva způsoby, jak otevřít obrazovku agentů Security Copilot:
- Možnost 1: Vyberte agenty Try Security Copilot zdarma po dobu 60 dnů.
- Možnost 2: Otevřete podmíněný přístup z nabídky vlevo. Pak vyberte agenta optimalizace podmíněného přístupu.
Prosím, neváhejte použít některou z možností ke spuštění agenta, ale mějte na paměti, že obě možnosti jsou k dispozici.
Možnost 1:
- Vyberte tlačítko "Bezplatná 60denní zkušební verze".
- Na stránce vyberte Zobrazit podrobnosti :
Možnost 2:
- Otevřete položku podmíněného přístupu v nabídce na levé straně.
- Na kartě Přehled vyberte agenta optimalizace podmíněného přístupu.
Zkoumání agenta podmíněného přístupu
- Zkontrolujte kartu Přehled .
- Agent je aktivní – Poznamenejte si čas posledního spuštění agenta a nadcházející rozvrh.
- Hlavní body výkonu – Zkontrolujte náklady na výpočetní jednotky zabezpečení (SCU) pro agenta. Podívejte se, kolik nechráněných uživatelů agent zjistil za účelem ochrany.
- O tomto agentu – rychlý popis agenta a jeho fungování.
- Nedávné návrhy – Zkontrolujte všechny existující zásady podmíněného přístupu a návrhy, jak je lze sloučit, aktualizovat, odebrat nebo vylepšit.
- Nedávná aktivita – stav při posledních několika pokusech o spuštění agenta optimalizace podmíněného přístupu a výsledků.
Vyberte odkaz Zobrazit běh v poli Agent je aktivní.
Zkontrolujte tok procesu agenta a zjistěte, jaké nové informace byly zjištěny od posledního dokončení.
- Mějte na paměti, že se hledají tři běžné optimalizace přístupových práv:
- Drift aplikací – nové aplikace byly nasazeny a musí být chránit.
- Posun uživatelů – byli nalezeni noví uživatelé nebo se změnila uživatelská práva, která nejsou chráněna zásadami.
- Sloučení zásad – místa, kde je možné sloučit dvě nebo více zásad, aby se zajistil stejný výsledek, s jednodušší správou.
Vyberte v navigační cestě Agenta optimalizace podmíněného přístupu pro návrat na stránku Přehled.
V horní nabídce vyberte kartu Aktivity. Zkontrolujte historii spuštění agenta optimalizace podmíněného přístupu a výsledky.
Výběrem několika různých tlačítek zobrazit aktivitu zobrazíte průběh agenta optimalizace podmíněného přístupu během každého 24hodinového cyklu.
Otevřete druhou položku v seznamu. Všimněte si, že byly nalezeny čtyři nové aplikace a doporučené změny zásad v průběhu času.
Pomocí navigace z drobečků se vraťte na stránku přehled.
Vyberte Návrhy z nabídky karet.
Prozkoumejte historii návrhů. Máte jednu položku pro každý den, kdy agent běžel.
Vyberte tlačítko Zkontrolovat návrh pro první položku.
Všimněte si, že zásady chtějí přidat 2 uživatele do existujících zásad podmíněného přístupu. Cílem je přidat uživatele do CA99 – zmírnění rizik uživatelů pomocí zásad resetování hesel.
Výběrem karty Dopad na zásady v horní části stránky zobrazíte graf této zásady v průběhu času.
Přepněte zpět na kartu Podrobnosti o zásadách a pak vyberte Zkontrolovat změny zásad , abyste zobrazili navrhované změny a provedli aktualizaci JSON.
Pomocí tlačítka Zpět prohlížeče se vraťte na stránku Přehled .
V nabídce vyberte Návrhy .
Výběrem symbolu X v pravém horním rohu obrazovky dialogové okno zavřete.
Prozkoumání agentů optimalizace podmíněného přístupu v CA-Policies
V nabídce na levé straně otevřete podmíněný přístup.
V nabídce Podmíněného přístupu vyberte Zásady .
Projděte si seznam zásad, měli byste vidět tři typy:
- Microsoft – globální zásady odesílané Microsoftem, jako je požadavek na vícefaktorové ověřování.
- Uživatel – zásady podmíněného přístupu vytvořené autorizovaným uživatelem ve vaší organizaci.
- Agent optimalizace podmíněného přístupu – Zásady pouze pro protokolování vytvořené agentem pro vaši kontrolu. Můžete je použít v závislosti na obchodních a bezpečnostních cílech.
Posuňte se dolů v seznamu a najděte zásady CA99, které jsme si prostudovali dříve.
Vyberte položku Nový návrh agenta .
Ve čtyřech případech agent optimalizace podmíněného přístupu našel nového uživatele a pro každý z nich má návrh Použít .
Přečtěte si popis toho, co bude návrh dělat.
Vyberte tlačítko Použít návrh .
Výsledek – agent monitoruje uživatele každý den a našel uživatele, kteří nejsou chráněni zásadami rizikových uživatelů. Navrhla, abyste aktualizovali zásadu tak, aby zahrnovala nové uživatele, a poskytla vám tlačítko pro provedení změny. V jednom tlačítku jste přidali ochranu pro uživatele.
- Ukončete Microsoft Entra a dokončete simulaci.