Freigeben über


Aktivieren und Verwalten des Microsoft-Datenverkehrsweiterleitungsprofils

Wenn das Microsoft-Profil aktiviert ist, erfasst Microsoft Entra-Internetzugriff den Datenverkehr, der an Microsoft-Dienste geht. Das Microsoft-Profil verwaltet die folgenden Richtliniengruppen:

  • Exchange Online
  • SharePoint Online und Microsoft OneDrive.
  • Microsoft 365 Common und Office Online

Voraussetzungen

Zum Aktivieren des Microsoft-Datenverkehrsweiterleitungsprofils für Ihren Mandanten benötigen Sie Folgendes:

Bekannte Einschränkungen

  • Dem Microsoft-Datenverkehrsprofil werden fortlaufend einzelne Dienste hinzugefügt. Derzeit werden Microsoft Entra ID, Microsoft Graph, Exchange Online und SharePoint Online als Teil des Microsoft-Datenverkehrsprofils unterstützt.
  • Zusätzliche Einschränkungen für das Microsoft-Datenverkehrsprofil finden Sie unter Bekannte Einschränkungen des Windows-Clients

Aktivieren des Microsoft-Datenverkehrsprofils

  1. Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.

  2. Navigieren Sie zum globalen sicheren Zugriff>Verbinden>Datenweiterleitung.

  3. Aktivieren Sie das Microsoft-Datenverkehrsprofil. Microsoft-Datenverkehr wird von allen Clientgeräten an den Microsoft-Proxy für Security Service Edge (SSE) weitergeleitet, auf dem Sie erweiterte Sicherheitsfeatures für Microsoft-Datenverkehr konfigurieren können.

    Screenshot: Seite für die Datenweiterleitung mit aktiviertem Microsoft-Zugriffsprofil

Microsoft-Datenverkehrsrichtlinien

Um die in der Microsoft-Datenverkehrsweiterleitungsrichtlinie enthaltenen Details zu verwalten, wählen Sie den Link Anzeigen für Microsoft-Datenverkehrsrichtlinien aus.

Screenshot: Microsoft-Zugriffsprofil mit hervorgehobenem Link zum Anzeigen von Anwendungen

Die Richtliniengruppen werden mit einem Kontrollkästchen aufgelistet, das anzeigt, ob die Richtliniengruppe aktiviert ist. Erweitern Sie eine Richtliniengruppe, damit alle in der Gruppe enthaltenen IPs und FQDNs angezeigt werden.

Screenshot: Microsoft-Profildetails

Die Richtliniengruppen enthalten die folgenden Details:

  • Zieltyp: FQDN- oder IP-Subnetz
  • Ziel: Die Details des FQDN- oder IP-Subnetzes
  • Ports: TCP- oder UDP-Ports, die zusammen mit den IP-Adressen den Netzwerkendpunkt bilden
  • Protokoll: TCP (Transmission Control-Protokoll) oder UDP (User Datagram-Protokoll)
  • Aktion: Weiterleiten oder Umgehen

Sie können die Regeln für die Datenverkehrserfassung so konfigurieren, dass die Datenverkehrserfassung umgangen wird. In diesem Fall können die Benutzer weiterhin auf Ressourcen zugreifen. Der Dienst für den globalen sicheren Zugriff verarbeitet den Datenverkehr jedoch nicht. Sie können Datenverkehr an einen bestimmten FQDN oder eine bestimmte IP-Adresse, eine gesamte Richtliniengruppe innerhalb des Profils oder das gesamte Microsoft-Profil umgehen. Wenn Sie nur einige der Microsoft-Ressourcen innerhalb einer Richtliniengruppe weiterleiten müssen, aktivieren Sie die Gruppe, und ändern Sie dann die Aktion in den Details entsprechend.

Wichtig

Wenn eine Regel auf Umgehung festgelegt ist, erhält das Datenverkehrsprofil für den Internetzugriff diesen Datenverkehr nicht. Auch mit aktiviertem Internetzugriffsprofil überspringt der umgangene Datenverkehr die Erfassung mit einem globalen sicheren Zugriff und verwendet den Netzwerkroutingpfad dieses Clients, um ausgehenden Datenverkehr an das Internet zu senden. Der im Microsoft-Datenverkehrsprofil verfügbare Datenverkehr kann nur im Microsoft-Datenverkehrsprofil angenommen werden.

Im folgenden Beispiel wird der FQDN *.sharepoint.com auf Umgehen festgelegt, sodass der Datenverkehr nicht an den Dienst weitergeleitet wird.

Screenshot: Dropdownmenü „Aktion“

Wenn der Client für den globalen sicheren Zugriff keine Verbindung mit dem Dienst herstellen kann (z. B. aufgrund eines Autorisierungsfehlers oder eines Fehlers durch bedingten Zugriff), umgeht der Dienst den Datenverkehr. Der Datenverkehr wird direkt und lokal gesendet, anstatt blockiert zu werden. In diesem Szenario können Sie eine Richtlinie für bedingten Zugriff für die Überprüfung auf Netzwerkkonformität erstellen, um Datenverkehr zu blockieren, wenn der Client keine Verbindung mit dem Dienst herstellen kann.

Verknüpfte Richtlinien für bedingten Zugriff

Richtlinien für bedingten Zugriff werden im Bereich „Bedingter Zugriff“ von Microsoft Entra ID erstellt und auf das Profil für die Datenverkehrsweiterleitung angewendet. Sie können beispielsweise eine Richtlinie erstellen, die konforme Geräte erfordert, wenn Benutzer die Netzwerkverbindung für Dienste im Microsoft-Datenverkehrsprofil einrichten.

Wenn im Abschnitt Verknüpfte Richtlinien für bedingten Zugriff „Keine“ angezeigt wird, ist keine Richtlinie für bedingten Zugriff mit dem Profil für die Datenverkehrsweiterleitung verknüpft. Informationen zum Erstellen einer Richtlinie für bedingten Zugriff finden Sie unter Universeller bedingter Zugriff durch globalen sicheren Zugriff.

Bearbeitung einer vorhandene Richtlinie für bedingten Zugriff

Wenn das Profil für die Datenverkehrsweiterleitung über eine verknüpfte Richtlinie für bedingten Zugriff verfügt, können Sie diese Richtlinie anzeigen und bearbeiten.

  1. Wählen Sie den Link Ansicht für Verknüpfte Richtlinien für bedingten Zugriff aus.

    Screenshot: Datenverkehrsweiterleitungsprofile mit hervorgehobenem Link „Bedingter Zugriff“

  2. Wählen Sie in der Liste eine Richtlinie aus. Die Details der Richtlinie werden unter „Bedingter Zugriff“ geöffnet.

    Screenshot: Angewendete Richtlinien für bedingten Zugriff

Zuweisungen eines Remotenetzwerks zu einem Microsoft-Datenverkehrsprofil

Datenverkehrsprofile können Remotenetzwerken zugewiesen werden, sodass der Netzwerkdatenverkehr an den globalen sicheren Zugriff weitergeleitet wird, ohne dass der Client auf Endbenutzergeräten installiert werden muss. Solange das Gerät hinter dem lokalen Kundengerät (CPE) liegt, ist der Client nicht erforderlich. Sie müssen ein Remotenetzwerk erstellen, bevor Sie es zum Profil hinzufügen können. Weitere Informationen finden Sie unter Erstellen eines Remotenetzwerks.

So weisen Sie dem Microsoft-Profil ein Remotenetzwerk zu

  1. Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
  2. Navigieren Sie zum globalen sicheren Zugriff>Verbinden>Datenweiterleitung.
  3. Wählen Sie im Abschnitt Netzwerkzuweisungen entfernen den Link Ansicht für das Profil aus.
  4. Wählen Sie ein Remotenetzwerk aus der Liste aus und wählen Sie Hinzufügen.

Benutzer- und Gruppenzuweisungen

Sie können das Microsoft-Profil auf bestimmte Benutzer und Gruppen beschränken, anstatt das Datenverkehrsprofil auf alle Benutzer anzuwenden. Weitere Informationen zur Benutzer- und Gruppenzuweisung finden Sie unter Zuweisen und Verwalten von Benutzern und Gruppen mit Datenverkehrsweiterleitungsprofilen.

Nächste Schritte

Der nächste Schritt für den Einstieg in ein Microsoft-Datenverkehrsprofil besteht darin, den Client für globalen sicheren Zugriff auf Endbenutzergeräten zu installieren und zu konfigurieren

Weitere Informationen zur Datenverkehrsweiterleitung finden Sie im folgenden Artikel: