Aktivieren und Verwalten des Microsoft-Datenverkehrsweiterleitungsprofils

Artikel
07/17/2024

Wenn das Microsoft-Profil aktiviert ist, erfasst Microsoft Entra-Internetzugriff den Datenverkehr, der an Microsoft-Dienste geht. Das Microsoft-Profil verwaltet die folgenden Richtliniengruppen:

Exchange Online
SharePoint Online und Microsoft OneDrive.
Microsoft 365 Common und Office Online (nur Microsoft Entra ID und Microsoft Graph)

Voraussetzungen

Zum Aktivieren des Microsoft-Datenverkehrsweiterleitungsprofils für Ihren Mandanten benötigen Sie Folgendes:

Die Rolle Globaler Administrator für den sicheren Zugriff in Microsoft Entra ID, um Datenverkehrsprofile zu aktivieren.
Die Rolle Administrator für bedingten Zugriff zum Erstellen und Verwenden von Richtlinien für bedingten Zugriff.
Für das Produkt ist eine Lizenzierung erforderlich. Ausführliche Informationen finden Sie im Abschnitt „Lizenzierung“ unter Was ist der globale sichere Zugriff. Bei Bedarf können Sie Lizenzen erwerben oder Testlizenzen erhalten.
Zum Verwenden des Microsoft-Profils für die Datenverkehrsweiterleitung wird eine Microsoft 365 E3-Lizenz empfohlen.

Bekannte Einschränkungen

Dem Microsoft-Datenverkehrsprofil werden fortlaufend einzelne Dienste hinzugefügt. Derzeit werden Microsoft Entra ID, Microsoft Graph, Exchange Online und SharePoint Online als Teil des Microsoft-Datenverkehrsprofils unterstützt.
Zusätzliche Einschränkungen für das Microsoft-Datenverkehrsprofil finden Sie unter Bekannte Einschränkungen des Windows-Clients

Aktivieren des Microsoft-Datenverkehrsprofils

Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
Navigieren Sie zum globalen sicheren Zugriff>Verbinden>Datenweiterleitung.
Aktivieren Sie das Microsoft-Datenverkehrsprofil. Microsoft-Datenverkehr wird von allen Clientgeräten an den Microsoft-Proxy für Security Service Edge (SSE) weitergeleitet, auf dem Sie erweiterte Sicherheitsfeatures für Microsoft-Datenverkehr konfigurieren können.

Microsoft-Datenverkehrsrichtlinien

Um die in der Microsoft-Datenverkehrsweiterleitungsrichtlinie enthaltenen Details zu verwalten, wählen Sie den Link Anzeigen für Microsoft-Datenverkehrsrichtlinien aus.

Die Richtliniengruppen werden mit einem Kontrollkästchen aufgelistet, das anzeigt, ob die Richtliniengruppe aktiviert ist. Erweitern Sie eine Richtliniengruppe, damit alle in der Gruppe enthaltenen IPs und FQDNs angezeigt werden.

Die Richtliniengruppen enthalten die folgenden Details:

Zieltyp: FQDN- oder IP-Subnetz
Ziel: Die Details des FQDN- oder IP-Subnetzes
Ports: TCP- oder UDP-Ports, die zusammen mit den IP-Adressen den Netzwerkendpunkt bilden
Protokoll: TCP (Transmission Control-Protokoll) oder UDP (User Datagram-Protokoll)
Aktion: Weiterleiten oder Umgehen

Sie können die Regeln für die Datenverkehrserfassung so konfigurieren, dass die Datenverkehrserfassung umgangen wird. In diesem Fall können die Benutzer weiterhin auf Ressourcen zugreifen. Der Dienst für den globalen sicheren Zugriff verarbeitet den Datenverkehr jedoch nicht. Sie können Datenverkehr an einen bestimmten FQDN oder eine bestimmte IP-Adresse, eine gesamte Richtliniengruppe innerhalb des Profils oder das gesamte Microsoft-Profil umgehen. Wenn Sie nur einige der Microsoft-Ressourcen innerhalb einer Richtliniengruppe weiterleiten müssen, aktivieren Sie die Gruppe, und ändern Sie dann die Aktion in den Details entsprechend.

Im folgenden Beispiel wird der FQDN *.sharepoint.com auf Umgehen festgelegt, sodass der Datenverkehr nicht an den Dienst weitergeleitet wird.

Wenn der Client für den globalen sicheren Zugriff keine Verbindung mit dem Dienst herstellen kann (z. B. aufgrund eines Autorisierungsfehlers oder eines Fehlers durch bedingten Zugriff), umgeht der Dienst den Datenverkehr. Der Datenverkehr wird direkt und lokal gesendet, anstatt blockiert zu werden. In diesem Szenario können Sie eine Richtlinie für bedingten Zugriff für die Überprüfung auf Netzwerkkonformität erstellen, um Datenverkehr zu blockieren, wenn der Client keine Verbindung mit dem Dienst herstellen kann.

Verknüpfte Richtlinien für bedingten Zugriff

Richtlinien für bedingten Zugriff werden im Bereich „Bedingter Zugriff“ von Microsoft Entra ID erstellt und auf das Profil für die Datenverkehrsweiterleitung angewendet. Sie können beispielsweise eine Richtlinie erstellen, die konforme Geräte erfordert, wenn Benutzer die Netzwerkverbindung für Dienste im Microsoft-Datenverkehrsprofil einrichten.

Wenn im Abschnitt Verknüpfte Richtlinien für bedingten Zugriff „Keine“ angezeigt wird, ist keine Richtlinie für bedingten Zugriff mit dem Profil für die Datenverkehrsweiterleitung verknüpft. Informationen zum Erstellen einer Richtlinie für bedingten Zugriff finden Sie unter Universeller bedingter Zugriff durch globalen sicheren Zugriff.

Bearbeitung einer vorhandene Richtlinie für bedingten Zugriff

Wenn das Profil für die Datenverkehrsweiterleitung über eine verknüpfte Richtlinie für bedingten Zugriff verfügt, können Sie diese Richtlinie anzeigen und bearbeiten.

Wählen Sie den Link Ansicht für Verknüpfte Richtlinien für bedingten Zugriff aus.
Wählen Sie in der Liste eine Richtlinie aus. Die Details der Richtlinie werden unter „Bedingter Zugriff“ geöffnet.

Zuweisungen eines Remotenetzwerks zu einem Microsoft-Datenverkehrsprofil

Datenverkehrsprofile können Remotenetzwerken zugewiesen werden, sodass der Netzwerkdatenverkehr an den globalen sicheren Zugriff weitergeleitet wird, ohne dass der Client auf Endbenutzergeräten installiert werden muss. Solange das Gerät hinter dem lokalen Kundengerät (CPE) liegt, ist der Client nicht erforderlich. Sie müssen ein Remotenetzwerk erstellen, bevor Sie es zum Profil hinzufügen können. Weitere Informationen finden Sie unter Erstellen eines Remotenetzwerks.

So weisen Sie dem Microsoft-Profil ein Remotenetzwerk zu

Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
Navigieren Sie zum globalen sicheren Zugriff>Verbinden>Datenweiterleitung.
Wählen Sie im Abschnitt Netzwerkzuweisungen entfernen den Link Ansicht für das Profil aus.
Wählen Sie ein Remotenetzwerk aus der Liste aus und wählen Sie Hinzufügen.

Benutzer- und Gruppenzuweisungen

Sie können das Microsoft-Profil auf bestimmte Benutzer und Gruppen beschränken, anstatt das Datenverkehrsprofil auf alle Benutzer anzuwenden. Weitere Informationen zur Benutzer- und Gruppenzuweisung finden Sie unter Zuweisen und Verwalten von Benutzern und Gruppen mit Datenverkehrsweiterleitungsprofilen.

Nächste Schritte

Der nächste Schritt für den Einstieg in Microsoft Entra-Internetzugriff besteht im Installieren und Konfigurieren des Clients für den globalen sicheren Zugriff auf Endbenutzer-Geräten

Weitere Informationen zur Datenverkehrsweiterleitung finden Sie im folgenden Artikel:

Informationen zu Datenverkehrsweiterleitungsprofilen

Teilen über