Bereitstellungsszenario der Microsoft Entra Suite – Sicherer Internetzugriff auf Grundlage von geschäftlichen Anforderungen

2025-04-30

Die Microsoft Entra Suite-Bereitstellungsszenarien bieten Ihnen detaillierte Anleitungen zum Kombinieren und Testen dieser Microsoft Entra Suite-Produkte:

In diesen Leitfäden beschreiben wir Szenarios, die zeigen, wie nützlich Microsoft Entra Suite ist und wie die Funktionen zusammenarbeiten.

Einführung in Microsoft Entra-Bereitstellungsszenarien
Microsoft Entra-Bereitstellungsszenario – Onboarding von Mitarbeitern und Gastbenutzern, Identitäten und Zugriffslebenszyklus-Governance in allen Ihren Apps
Microsoft Entra-Bereitstellungsszenario – Modernisieren des Remotezugriffs auf lokale Apps mit MFA pro App

Übersicht über das Szenario

In diesem Leitfaden wird beschrieben, wie Sie die Microsoft Entra Suite-Produkte für ein Szenario konfigurieren, in dem die fiktive Organisation Contoso strenge Standardrichtlinien für den Internetzugriff definiert hat und den Internetzugriff gemäß den Geschäftsanforderungen steuern möchte.

In einem Beispielszenario, für das wir die Konfiguration der Lösung beschreiben, benötigt ein Benutzer der Marketingabteilung Zugriff auf soziale Netzwerke, die Contoso für alle Benutzer verbietet. Benutzer können den Zugriff in "Mein Zugriff" anfordern. Nach der Genehmigung werden sie Mitglied einer Gruppe, die ihnen Zugriff auf soziale Netzwerke gewährt.

In einem anderen Beispielszenario und einer entsprechenden Lösung muss ein SOC-Analyst für einen bestimmten Zeitraum auf einige hochgradig risikoreiche Internetziele zugreifen, um einen Incident zu untersuchen. Der SOC-Analyst kann den Zugriff in „Mein Zugriff“ beantragen. Nach der Genehmigung werden sie Mitglied einer Gruppe, die ihnen Zugriff auf diese hochgradig risikoreichen Internetziele gewährt.

Sie können diese allgemeinen Schritte, wie in diesem Szenario beschrieben, für die Contoso-Lösung replizieren.

Registrieren Sie sich für Microsoft Entra Suite. Aktivieren und konfigurieren Sie Microsoft Entra Internet Access für die gewünschten Netzwerk- und Sicherheitseinstellungen.
Stellen Sie Microsoft Global Secure Access-Clients auf den Geräten der Benutzer bereit. Aktivieren Sie Microsoft Entra-Internetzugriff.
Erstellen Sie ein Sicherheitsprofil und Richtlinien für die Webinhaltsfilterung mit einer restriktiven Baselinerichtlinie, die bestimmte Webkategorien und Webziele für alle Benutzer blockiert.
Erstellen Sie ein Sicherheitsprofil und Richtlinien für die Webinhaltsfilterung, die den Zugriff auf soziale Netzwerke zulassen.
Erstellen Sie ein Sicherheitsprofil, das über die Webkategorie „Hacking“ verfügt.
Verwenden Sie Microsoft Entra ID Governance, um Benutzern, die Zugriff anfordern, den Zugang zu Zugangspaketen wie z. B. den folgenden zu ermöglichen:
- Benutzer aus der Marketingabteilung können Zugriff auf soziale Netzwerke mit einer vierteljährlichen Zugriffsüberprüfung anfordern.
- Mitglieder des SOC-Teams können für bis zu acht Stunden Zugriff auf hochgradig risikoreiche Internetziele anfordern.
Erstellen und verknüpfen Sie zwei Richtlinien für bedingten Zugriff mithilfe der Sitzungssteuerung des Sicherheitsprofils für Global Secure Access. Legen Sie den Geltungsbereich der Richtlinie fest und wenden Sie diese auf Benutzergruppen an.
Vergewissern Sie sich, dass der Datenverkehr in „Globaler sicherer Zugriff“ ordnungsgemäß mit Datenverkehrsprotokollen zugelassen wird. Stellen Sie sicher, dass Benutzer der Marketingabteilung im Portal „Mein Zugriff“ auf das Zugriffspaket zugreifen können.

Die gemeinsame Verwendung dieser Lösungen bietet folgende Vorteile:

Beschränkter Zugriff mit minimalen Berechtigungen auf Internetziele. Sie beschränken den Zugriff auf Internetressourcen auf die Berechtigungen, die Benutzende für ihre Stelle im Joiner-Mover-Leaver-Zyklus benötigen. Dieser Ansatz reduziert das Risiko einer Endbenutzer- und Gerätekompromittierung.
Vereinfachte und einheitliche Verwaltung. Sie verwalten Netzwerk- und Sicherheitsfunktionen über eine einzige cloudbasierte Konsole, wodurch die Komplexität und die Kosten für die Wartung mehrerer Lösungen und Appliances reduziert werden.
Verbesserte Sicherheit und Sichtbarkeit. Erzwingen Sie granulare und adaptive Zugriffsrichtlinien, die auf der Identität und dem Kontext von Benutzern und Geräten sowie auf der Sensitivität von Anwendungen, der Vertraulichkeit von Daten und der Standortangabe basieren. Angereicherte Protokolle und Analysen bieten Einblicke in das Netzwerk und den Sicherheitsstatus, um Bedrohungen schneller zu erkennen und darauf zu reagieren.
Verbesserte Benutzerfreundlichkeit und Produktivität. Sie können schnellen und nahtlosen Zugriff auf erforderliche Apps und Ressourcen bereitstellen, ohne die Sicherheit oder Leistung zu beeinträchtigen.

Anforderungen

In diesem Abschnitt werden die Anforderungen für die Szenariolösung definiert.

Berechtigungen

Administratoren, die mit globalen Features von „globaler sicherer Zugriff“ interagieren, benötigen die Rollen „globaler sicherer Zugriff: Administrator“ und „Anwendungsadministrator“.

Für die Richtlinienkonfiguration für bedingten Zugriff ist die Rolle "Administrator für bedingten Zugriff" oder "Sicherheitsadministrator" erforderlich. Einige Features erfordern möglicherweise weitere Rollen.

Die Identitätsgovernancekonfiguration erfordert mindestens die Rolle „Identitätsgovernanceadmin“.

Lizenzen

Um alle Schritte in diesem Szenario zu implementieren, benötigen Sie Lizenzen für „globaler sicherer Zugriff“ und Microsoft Entra ID Governance. Sie können Lizenzen erwerben oder Testlizenzen erwerben. Weitere Informationen zur Lizenzierung von Global Secure Access finden Sie im Lizenzierungsbereich von Was ist Global Secure Access.

Anforderungen an Benutzer und Geräte

Um dieses Szenario erfolgreich bereitzustellen und zu testen, beachten Sie bei der Konfiguration diese Anforderungen:

Microsoft Entra-Mandant mit Microsoft Entra ID P1-Lizenz. Erwerben Sie Lizenzen, oder erhalten Sie Testlizenzen.
- Ein Benutzer, der mindestens über die Rollen „globaler sicherer Zugriff: Administrator“ und „Anwendungsadministrator“ verfügt, um das Security Service Edge von Microsoft zu konfigurieren
- Mindestens eine Person als Clienttestbenutzer in Ihrem Mandanten
Ein Windows-Clientgerät mit dieser Konfiguration:
- Windows 10 oder 11, 64-Bit-Version
- Einbindung oder Hybrideinbindung in Microsoft Entra
- Internetverbindung
Laden Sie den Client für „globaler sicherer Zugriff“ auf das Clientgerät herunter, und installieren Sie diesen. Im Artikel "Global Secure Access Client für Windows " werden die Voraussetzungen und die Installation beschrieben.

Konfigurieren von „globaler sicherer Zugriff“

In diesem Abschnitt aktivieren wir den „globaler sicherer Zugriff“ über das Microsoft Entra Admin Center. Anschließend richten wir die erforderlichen initialen Konfigurationen für das Szenario ein.

Melden Sie sich beim Microsoft Entra Admin Center als globaler Administrator an.
Navigieren Sie zu Global Secure Access>Erste Schritte>Aktivieren Sie Global Secure Access in Ihrem Mandanten. Wählen Sie "Aktivieren" aus, um SSE-Features zu aktivieren.
Navigieren Sie zu Global Secure Access>Connect>Traffic Forwarding. Aktivieren Sie das Profil für den privaten Zugriff. Mit der Datenverkehrsweiterleitung können Sie den Typ von Netzwerkdatenverkehr konfigurieren, der durch die Dienste der Security Service Edge-Lösung von Microsoft getunnelt werden soll. Richten Sie Datenverkehrsweiterleitungsprofile ein, um Datenverkehrstypen zu verwalten.
- Das Microsoft 365-Zugriffsprofil ist für Microsoft Entra Internet Access für Microsoft 365 vorgesehen.
- Das Profil für den privaten Zugriff ist für Microsoft Entra Private Access vorgesehen.
- Das Internetzugriffsprofil ist für Microsoft Entra Internet Access vorgesehen. Die Security Service Edge-Lösung von Microsoft erfasst nur den Datenverkehr auf Clientgeräten, auf denen der Client für „globaler sicherer Zugriff“ installiert ist.

Installieren des Clients für „globaler sicherer Zugriff“

Microsoft Entra Internetzugriff für Microsoft 365 und Microsoft Entra Privatzugriff verwenden den Global Secure Access-Client auf Windows-Geräten. Dieser Client erfasst den Netzwerkdatenverkehr und leitet ihn an die Security Service Edge-Lösung von Microsoft weiter. So installieren und konfigurieren Sie den Client:

Stellen Sie sicher, dass das Windows-Gerät mit Microsoft Entra verbunden oder hybrid verbunden ist.
Melden Sie sich mit einem Microsoft Entra-Benutzer mit lokalen Administratorrechten auf dem Windows-Gerät an.
Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu Global Secure Access>Connect>Client-Download. Wählen Sie "Client herunterladen" aus. Schließen Sie die Installation ab.
In der Windows-Taskleiste wird der Global Secure Access-Client zunächst als nicht verbunden angezeigt. Wenn Sie nach einigen Sekunden zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie die Anmeldeinformationen des Testbenutzerkontos ein.
Fahren Sie mit der Maus über das Symbol des Global Secure Access Client in der Windows-Taskleiste und überprüfen Sie den Status Verbunden.

Sicherheitsgruppen erstellen

In diesem Szenario verwenden wir zwei Sicherheitsgruppen, um Sicherheitsprofile mithilfe von Richtlinien für bedingten Zugriff zuzuweisen. Erstellen Sie im Microsoft Entra Admin Center Sicherheitsgruppen mit den folgenden Namen:

Internetzugriff – Zulassen von Websites für soziale Netzwerke
Internetzugriff - Hacking-Websites zulassen

Fügen Sie diesen Gruppen keine Mitglieder hinzu. Später in diesem Artikel konfigurieren wir die Identitätsverwaltung, um Mitglieder auf Anfrage hinzuzufügen.

Blockieren des Zugriffs mit einem Baselineprofil

In diesem Abschnitt blockieren wir den Zugriff auf unangemessene Websites für alle Benutzer in der Organisation mit einem Baselineprofil.

Erstellen einer Baselinerichtlinie für die Webfilterung

Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu Global Secure Access>Secure>Web Content Filtering Policies>Create policy>Configure Global Secure Access content filtering.
Führen Sie unter "Erstellen einer Webinhaltsfilterrichtlinie>– Grundlagen" die folgenden Felder aus:
- Name: Grundlegende Regel zur Blockierung des Internetzugangs
- Beschreibung: Hinzufügen einer Beschreibung
- Aktion: Blockieren
Wählen Sie "Weiter" aus.
Unter Erstellen Sie eine Webinhaltsfilterrichtlinie>Richtlinienregeln wählen Sie die Option "Regel hinzufügen" aus.
Füllen Sie in Regel hinzufügen die folgenden Felder aus:
- Name: Basis blockierter Webkategorien
- Zieltyp: webCategory
Suchen: Wählen Sie die folgenden Kategorien aus. Vergewissern Sie sich, dass sie sich in ausgewählten Elementen befinden.
- Alkohol und Tabak
- Kriminelle Aktivitäten
- Glücksspiel
- Hacken
- Illegale Software
- Soziale Netzwerke
Wählen Sie "Hinzufügen" aus.
Bestätigen Sie auf "Webinhaltsfilterrichtlinie erstellen>, Richtlinienregeln" Ihre Auswahl.
Wählen Sie "Weiter" aus.
Bestätigen Sie auf Überprüfung der Webinhaltsfilterrichtlinie>, dass Ihre Richtlinienkonfiguration korrekt ist.
Wählen Sie "Richtlinie erstellen" aus.
Um die Richtlinienerstellung zu bestätigen, zeigen Sie sie unter "Verwalten von Webinhaltsfilterrichtlinien" an.

Konfigurieren des Baselinesicherheitsprofils

Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu globalenSicherheitsprofilen für>>.
Wählen Sie Basisplanprofil aus.
Legen Sie unter "Grundlagen" "Status" auf "Aktiviert" fest.
Wählen Sie "Speichern" aus.
Wählen Sie unter "Basisplanprofil bearbeiten" die Option "Verknüpfungsrichtlinien" aus. Wählen Sie "Richtlinie verknüpfen" aus. Wählen Sie "Vorhandene Richtlinie" aus. Füllen Sie die folgenden Felder aus:
- Verknüpfen einer Richtlinie:Richtlinienname und Baseline Internet Access Block Rule auswählen
- Priorität: 100
- Status: Aktiviert
Wählen Sie "Hinzufügen" aus.
Bestätigen Sie bei "Erstellen Sie ein Profil>Linkrichtlinien", dass die Baseline Internet Access Block Rule aufgeführt ist.
Schließen Sie das Baselinesicherheitsprofil.

In diesem Abschnitt erstellen wir ein Sicherheitsprofil, das Benutzern den Zugriff auf soziale Netzwerke ermöglicht, wenn sie diesen anfordern.

Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu Global Secure Access>Secure>Web Content Filtering Policies>Create policy>Configure Global Secure Access content filtering.
Führen Sie unter "Erstellen einer Webinhaltsfilterrichtlinie>– Grundlagen" die folgenden Felder aus:
- Name: Zulassen von Websites für soziale Netzwerke
- Beschreibung: Hinzufügen einer Beschreibung
- Aktion: Zulassen
Wählen Sie "Weiter" aus.
Unter Erstellen Sie eine Webinhaltsfilterrichtlinie>Richtlinienregeln wählen Sie die Option "Regel hinzufügen" aus.
Füllen Sie in Regel hinzufügen die folgenden Felder aus:
- Name: Soziale Netzwerke
- Zieltyp: Webkategorie
- Suche: Soziale Netzwerke
Auswählen von sozialen Netzwerken
Wählen Sie "Hinzufügen" aus.
Wählen Sie auf Webinhaltsfilterungsrichtlinie erstellen> unter Richtlinienregeln die Option Weiter aus.
Bestätigen Sie auf Überprüfung der Webinhaltsfilterrichtlinie>, dass Ihre Richtlinienkonfiguration korrekt ist.
Wählen Sie "Richtlinie erstellen" aus.
Um die Richtlinienerstellung zu bestätigen, zeigen Sie sie unter "Verwalten von Webinhaltsfilterrichtlinien" an.

Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu globalenSicherheitsprofilen für>>. Wählen Sie "Profil erstellen" aus.
Vervollständigen Sie unter Erstellen eines Profils>Grundlagen die folgenden Felder:
- Profilname: Zulassen von Websites für soziale Netzwerke
- Beschreibung: Hinzufügen einer Beschreibung
- Status: Aktiviert
- Priorität: 1000
Wählen Sie "Weiter" aus.
Wählen Sie unter Profil erstellen>Richtlinien verknüpfen die Option "Richtlinie verknüpfen" aus.
Wählen Sie "Vorhandene Richtlinie" aus.
Führen Sie in "Verknüpfen einer Richtlinie" die folgenden Felder aus:
- Richtlinienname: Zulassen von sozialen Netzwerken
- Priorität: 1000
- Status: Aktiviert
Wählen Sie "Hinzufügen" aus.
Bestätigen Sie bei Erstellen einer Richtlinie für Profilverknüpfungen>, dass "Soziale Netzwerke zulassen" aufgeführt ist.
Wählen Sie "Weiter" aus.
Beim Überprüfen des Profils auf Profil erstellen> bestätigen Sie Ihre Profilkonfiguration.
Wählen Sie "Profil erstellen" aus.

In diesem Abschnitt erstellen wir eine Richtlinie für den bedingten Zugriff, die das Sicherheitsprofil " Soziale Netzwerke zulassen " für Benutzer erzwingt, die Zugriff anfordern.

Melden Sie sich beim Microsoft Entra Admin Center als Administrator für "Bedingter Zugriff" an.
Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
Wählen Sie "Neue Richtlinie" aus.
Führen Sie in der Neuen Richtlinie für bedingten Zugriff die folgenden Felder aus:
- Name: Internetzugriff - Zulassen von Websites für soziale Netzwerke
- Benutzer- oder Workloadidentitäten: Einschließlich bestimmter Benutzer
- Wofür gilt diese Richtlinie? Benutzer und Gruppen
- Einschließen>Auswählen von Benutzern und Gruppen> Benutzer und Gruppen
Wählen Sie Ihre Testgruppe (z. B. Internetzugriff – Websites für soziale Netzwerke zulassen) aus. Wählen Sie "Auswählen" aus.
Zielressourcen
- Wählen Sie aus, für welche Richtlinie diese Richtlinie gilt.> Globaler sicherer Zugriff
- Wählen Sie die Datenverkehrsprofile aus, für> die diese Richtlinie gilt Internetdatenverkehr
Belassen Sie "Grant" bei den Standardeinstellungen, um den Zugriff zu gewähren, sodass Ihr definiertes Sicherheitsprofil die Blockierungsfunktionalität bestimmt.
Wählen Sie in "Sitzung" das Sicherheitsprofil für den globalen sicheren Zugriff verwenden aus.
Wählen Sie "Soziale Netzwerke zulassen" aus.
Wählen Sie in der Übersicht über> bedingten Zugriff dieOption "Richtlinie aktivieren" aus.
Wählen Sie "Erstellen" aus.

Zulassen des Zugriffs auf Hackingwebsites

In diesem Abschnitt erstellen wir ein Sicherheitsprofil, das Benutzern den Zugriff auf Hackingwebsites ermöglicht, wenn sie diesen anfordern. Benutzer erhalten acht Stunden lang Zugriff. Anschließend wird der Zugriff automatisch wieder entzogen.

Erstellen einer Richtlinie zur Webfilterung für Inhalte im Zusammenhang mit Hacking

Melden Sie sich beim Microsoft Entra Verwaltungszentrum als mindestens Globaler Administrator für sicheren Zugriff an.
Navigieren Sie zu Global Secure Access>Secure>Web Content Filtering Policies>Create policy>Configure Global Secure Access content filtering.
Führen Sie unter "Erstellen einer Webinhaltsfilterrichtlinie>– Grundlagen" die folgenden Felder aus:
- Name: Hacking-Seiten zulassen
- Beschreibung: Hinzufügen einer Beschreibung
- Aktion: Zulassen
Wählen Sie "Weiter" aus.
Unter Erstellen Sie eine Webinhaltsfilterrichtlinie>Richtlinienregeln wählen Sie die Option "Regel hinzufügen" aus.
Füllen Sie in Regel hinzufügen die folgenden Felder aus:
- Name: Hacker
- Zieltyp: Webkategorie
- Suche: Hacking, Hacking auswählen
Wählen Sie "Hinzufügen" aus.
Wählen Sie auf Webinhaltsfilterungsrichtlinie erstellen> unter Richtlinienregeln die Option Weiter aus.
Bestätigen Sie auf Überprüfung der Webinhaltsfilterrichtlinie>, dass Ihre Richtlinienkonfiguration korrekt ist.
Wählen Sie "Richtlinie erstellen" aus.
Um die Richtlinienerstellung zu bestätigen, zeigen Sie sie unter "Verwalten von Webinhaltsfilterrichtlinien" an.

Erstellen eines Sicherheitsrichtlinienprofils für Hackingwebsites

Melden Sie sich beim Microsoft Entra Admin Center als globaler Administrator für den sicheren Zugriff an.
Navigieren Sie zu globalenSicherheitsprofilen für>>. Wählen Sie "Profil erstellen" aus.
Vervollständigen Sie unter Erstellen eines Profils>Grundlagen die folgenden Felder:
- Profilname: Hacking-Websites zulassen
- Beschreibung: Hinzufügen einer Beschreibung
- Status: Aktiviert
- Priorität: 2000
Wählen Sie "Weiter" aus.
Wählen Sie unter Profil erstellen>Richtlinien verknüpfen die Option "Richtlinie verknüpfen" aus.
Wählen Sie "Vorhandene Richtlinie" aus.
Füllen Sie im Dialogfeld "Richtlinie verknüpfen " die folgenden Felder aus:
- Richtlinienname: Hacking zulassen
- Priorität: 2000
- Status: Aktiviert
Wählen Sie "Hinzufügen" aus.
Bestätigen Sie bei Profil erstellen>Richtlinien verknüpfen, dass "Hacking zulassen" aufgeführt ist.
Wählen Sie "Weiter" aus.
Beim Überprüfen des Profils auf Profil erstellen> bestätigen Sie Ihre Profilkonfiguration.
Wählen Sie "Profil erstellen" aus.

Erstellen einer Richtlinie für bedingten Zugriff auf Hackingwebsites

In diesem Abschnitt erstellen wir eine Richtlinie für den bedingten Zugriff, die das Sicherheitsprofil "Hacking-Websites zulassen " für die Benutzer erzwingt, die Zugriff anfordern.

Melden Sie sich beim Microsoft Entra Admin Center als Administrator für "Bedingter Zugriff" an.
Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
Wählen Sie "Neue Richtlinie" aus.
Füllen Sie im Dialogfeld "Neue Richtlinie für bedingten Zugriff" die folgenden Felder aus:
- Name: Internetzugriff -- Hacking-Websites zulassen
- Benutzer- oder Workloadidentitäten: Einschließlich bestimmter Benutzer
- Wofür gilt diese Richtlinie? Benutzer und Gruppen
Einschließen>Auswählen von Benutzern und Gruppen> Benutzer und Gruppen
Wählen Sie Ihre Testgruppe aus (z. B. Internetzugriff –- Hacking-Websites zulassen) >Wählen Sie 'Auswählen'.
Zielressourcen
- Wählen Sie aus, für welche Richtlinie diese Richtlinie gilt.> Globaler sicherer Zugriff
- Wählen Sie die Datenverkehrsprofile aus, für> die diese Richtlinie gilt Internetdatenverkehr
Belassen Sie "Grant" bei den Standardeinstellungen, um den Zugriff zu gewähren, sodass Ihr definiertes Sicherheitsprofil die Blockierungsfunktionalität bestimmt.
Wählen Sie im Dialogfeld "Sitzung " die Option "Sicherheitsprofil für globalen sicheren Zugriff verwenden" aus.
Wählen Sie "Hacking-Websites zulassen" aus.
Wählen Sie in der Übersicht über> bedingten Zugriff dieOption "Richtlinie aktivieren" aus.
Wählen Sie "Erstellen" aus.

Konfigurieren Sie die Zugriffssteuerung

Führen Sie die folgenden Schritte aus, um einen Berechtigungsverwaltungskatalog zu erstellen:

Melden Sie sich mindestens als Administrator für Identitätsgovernance im Microsoft Entra Admin Center an.
Navigieren Sie zu Identitätsgovernance > Berechtigungsverwaltung > Kataloge.
Neuen Katalog auswählen
Geben Sie einen eindeutigen Namen sowie eine Beschreibung für den Katalog ein. Anforderer sehen diese Informationen in den Details eines Zugriffspakets (z. B. InternetZugriff).
Für dieses Szenario erstellen wir Zugriffspakete im Katalog für interne Benutzer. Legen Sie "Aktiviert" für externe Benutzer auf "Nein" fest.
Um die Ressourcen hinzuzufügen, wechseln Sie zu Katalogen , und öffnen Sie den Katalog, dem Sie Ressourcen hinzufügen möchten. Wählen Sie "Ressourcen" aus. Wählen Sie "Ressourcen hinzufügen" aus.
Fügen Sie die beiden Sicherheitsgruppen hinzu, die Sie zuvor erstellt haben (z. B. Internetzugriff - Zulassen von Websites für soziale Netzwerke und Internetzugriff - Zulassen von Hacking-Websites).

Zugriffspakete erstellen

In diesem Abschnitt erstellen wir Zugriffspakete, mit denen Benutzer den Zugriff auf die Internetwebsitekategorien anfordern können, die in den einzelnen Sicherheitsprofilen definiert werden. Führen Sie die folgenden Schritte aus, um unter „Berechtigungsverwaltung“ ein Zugriffspaket zu erstellen:

Melden Sie sich mindestens als Administrator für Identitätsgovernance im Microsoft Entra Admin Center an.
Navigieren Sie zu ID Governance>Berechtigungsverwaltung>Zugriffspaket.
Wählen Sie "Neues Zugriffspaket" aus.
Geben Sie für "Grundlagen" dem Zugriffspaket einen Namen (z. B. Internetzugriff –- Websites für soziale Netzwerke zulassen). Geben Sie den zuvor erstellten Katalog an.
Wählen Sie für Ressourcenrollen die Sicherheit aus, die Sie zuvor hinzugefügt haben (z. B. Internetzugriff – Websites für soziale Netzwerke zulassen).
Wählen Sie in "Rolle""Mitglied" aus.
Wählen Sie für Anforderungendie Option "Für Benutzer in Ihrem Verzeichnis" aus.
Wählen Sie " Bestimmte Benutzer und Gruppen" aus , um den Zugriff auf soziale Netzwerke anzufordern, und fügen Sie eine entsprechende Gruppe von Benutzern hinzu. Wählen Sie andernfalls "Alle Mitglieder" aus.
Wählen Sie unter "Anforderungen" "Ja " aus, um neue Anforderungen zu aktivieren.
Wahlfrei: Geben Sie in der Genehmigung an, ob eine Genehmigung erforderlich ist, wenn Benutzer dieses Zugriffspaket anfordern.
Geben Sie für den Lebenszyklus an, wann die Zuweisung eines Benutzers zum Zugriffspaket abläuft. Sie können auch angeben, ob Benutzer ihre Zuweisungen verlängern können. Legen Sie für Ablauf den Ablauf von Access-Paketzuweisungen auf Am Datum, Anzahl der Tage, Anzahl der Stunden oder Nie fest.
Wiederholen Sie die Schritte zum Erstellen eines neuen Zugriffspakets, das den Zugriff auf Hackingwebsites ermöglicht. Konfigurieren Sie diese Einstellungen:
- Ressource: Internetzugriff -- Hacking-Websites zulassen
- Wer kann Folgendes anfordern: SOC-Teammitglieder
- Lebenszyklus:Festlegen der Anzahl von Stunden auf 8 Stunden

Testbenutzerzugriff

In diesem Abschnitt überprüfen wir, dass der Benutzer nicht auf Websites zugreifen kann, die das Baselineprofil blockiert.

Melden Sie sich an dem Gerät an, auf dem Sie den Global Secure Access-Client installiert haben.
Navigieren Sie in einem Browser zu Websites, die das Baselineprofil blockiert, und überprüfen Sie, ob der Zugriff wirklich blockiert wird. Beispiel:
1. hackthissite.org ist eine kostenlose, sichere und legale Trainingswebsite für Sicherheitsexperten, um ihre Fähigkeiten im Bereich des ethischen Hackings zu testen und zu erweitern. Diese Website wird als Hackingwebsite klassifiziert.
2. YouTube.com ist eine kostenlose Videoplattform. Diese Website wird als soziales Netzwerk klassifiziert.

In diesem Abschnitt überprüfen wir, ob ein Benutzer der Marketingabteilung Zugriff auf soziale Netzwerke anfordern kann.

Melden Sie sich auf dem Gerät an, auf dem Sie den Global Secure Access-Client installiert haben, mit einem Benutzer, der Mitglied des Marketingteams ist (oder mit einem Benutzer, der die Berechtigung hat, den Zugriff auf das Beispiel-Zugriffspaket "Internetzugriff -- Zugang zu sozialen Netzwerken erlauben" anzufordern).
Überprüfen Sie in einem Browser, ob der Zugriff auf eine Website blockiert wird, die der Kategorie „Soziale Netzwerke“ angehört, die das Baselinesicherheitsprofil blockiert. Versuchen Sie beispielsweise auf youtube.com zuzugreifen.
Navigieren Sie zu myaccess.microsoft.com. Wählen Sie Access-Pakete aus. Wählen Sie Anfrage für das Zugriffspaket Internetzugriff – Soziale Netzwerke zulassen.
Wählen Sie "Weiter" aus. Wählen Sie "Anforderung" aus.
Wenn Sie die Genehmigung für das Zugriffspaket konfiguriert haben, melden Sie sich als genehmigende Person an. Navigieren Sie zu myaccess.microsoft.com. Genehmigen Sie die Anforderung.
Melden Sie sich als Benutzer der Marketingabteilung an. Navigieren Sie zu myaccess.microsoft.com. Wählen Sie "Anforderungsverlauf" aus. Überprüfen Sie Ihren Anforderungsstatus für den Internetzugriff – Zulassen, dass Websites für soziale Netzwerkeübermittelt werden.
Es dauert möglicherweise einige Minuten, bis neue Einstellungen angewendet werden. Um den Vorgang zu beschleunigen, klicken Sie in der Taskleiste mit der rechten Maustaste auf das Symbol für „globaler sicherer Zugriff“. Wählen Sie "Anmelden" als anderer Benutzer aus. Melden Sie sich erneut an.
Versuchen Sie, auf Websites in der Kategorie „Soziale Netzwerke“ zuzugreifen, die das Baselinesicherheitsprofil blockiert. Überprüfen Sie, ob Sie erfolgreich darauf zugreifen können. Versuchen Sie beispielsweise, youtube.com zu durchsuchen.

Zugriff auf Hacker-Websites anfordern

In diesem Abschnitt überprüfen wir, ob ein Benutzer des SOC-Teams Zugriff auf Hackingwebsites anfordern kann.

Melden Sie sich an dem Gerät an, auf dem Sie den Global Secure Access-Client mit einem Benutzer installiert haben, der Mitglied des SOC-Teams ist (oder einem Benutzer, der die Berechtigung hat, Zugang zu dem Beispiel Internetzugriff -- Erlaube Hacking-Seiten-Zugriffspaket anzufordern).
Überprüfen Sie in einem Browser, ob der Zugriff auf eine Website blockiert wird, die der Kategorie „Hacking“ angehört, die das Baselinesicherheitsprofil blockiert. Beispiel: hackthissite.org.
Navigieren Sie zu myaccess.microsoft.com. Wählen Sie Access-Pakete aus. Wählen Sie Anfrage für das Internetzugriffspaket – Hacking-Websites zulassen aus.
Wählen Sie "Weiter" aus. Wählen Sie "Anforderung" aus.
Wenn Sie die Genehmigung für das Zugriffspaket konfiguriert haben, melden Sie sich als genehmigende Person an. Navigieren Sie zu myaccess.microsoft.com. Genehmigen Sie die Anforderung.
Melden Sie sich als ein Benutzer des SOC-Teams an. Navigieren Sie zu myaccess.microsoft.com. Wählen Sie "Anforderungsverlauf" aus. Überprüfen Sie Ihren Anforderungsstatus für den Internetzugriff – Zulassen, dass Hacking-Websitesübermittelt werden.
Es dauert möglicherweise einige Minuten, bis neue Einstellungen angewendet werden. Um den Vorgang zu beschleunigen, klicken Sie in der Taskleiste mit der rechten Maustaste auf das Symbol für „globaler sicherer Zugriff“. Wählen Sie "Anmelden" als anderer Benutzer aus. Melden Sie sich erneut an.
Versuchen Sie, auf Websites in der Hacking-Kategorie zuzugreifen, die das Baselinesicherheitsprofil blockiert. Überprüfen Sie, ob Sie erfolgreich darauf zugreifen können. Versuchen Sie beispielsweise, hackthissite.org zu durchsuchen.
Wenn Sie den Zugriff auf Hacking-Websites mit der Lifecycle-Anzahl>von Stunden konfiguriert haben, die in vorherigen Schritten auf 8 festgelegt sind, überprüfen Sie nach acht Stunden den blockierten Zugriff auf Hacking-Websites.