Sichere Agents, die als Benutzer mit bedingtem Zugriff fungieren

Verwenden Sie den bedingten Zugriff, um einen Agent zu schützen, der über ein eigenes Agent-Benutzerkonto auf Ressourcen zugreift, statt (oder zusätzlich zu) einer Agentidentität. Dieses Zugriffsmuster unterstützt Agents, die ein Postfach, zugriff auf Chats oder die Möglichkeit zur Teilnahme an Workflows für die Zusammenarbeit als Teammitglied benötigen.

In diesem Zugriffsmuster ist der Betreff des Zugriffstokens das Benutzerkonto des Agents. Richtlinien für bedingten Zugriff richten sich daher auf das Benutzerkonto des Agents, nicht auf dessen Agentidentität.

Bevor Sie beginnen, überprüfen Sie die Lizenzierungs-, Rollen-, Agent-Benutzer-, Geräte- und Netzwerkanforderungen.

Voraussetzungen

  • Einer der folgenden Lizenzpläne:
    • Microsoft 365 E7, das Agent 365 und Microsoft Entra Suite umfasst, um die Governance von Benutzer- und Agentidentitäten bereitzustellen.
    • Microsoft Agent 365-Lizenz gekoppelt mit mindestens Microsoft Entra P1 oder Microsoft 365 E3.
  • Mindestens die Rolle Administrator für bedingten Zugriff.
  • Ein Agentbenutzerkonto, das mit einer Agentidentität verknüpft ist.
  • Für die Gerätekonformität: ein Agent, der auf einem von Intune verwalteten Windows 365 Cloud PC für Agents ausgeführt wird.
  • Für konforme Netzwerkrichtlinien ein Agent, der auf einem Intune-verwalteten Windows 365 Cloud PC für Agents ausgeführt wird und auf dem der Global Secure Access-Client installiert ist.

Important

Die Benutzerzuweisung für Agents ist als Vorschau verfügbar. Richtlinien, die auf alle Benutzer abzielen, enthalten keine Agent-Benutzerkonten. Gruppenbasierte Inklusion und Ausschluss werden auch für Agent-Benutzerkonten nicht unterstützt. Legen Sie "alle Agentbenutzer" fest, wählen Sie einzelne Agentbenutzer aus, oder verwenden Sie benutzerdefinierte Sicherheitsattribute.

Eine Richtlinie, die auf eine Agentidentität abzielt, gilt nicht für das Benutzerkonto des Agents. Wenn der Agent auch eine eigene Agentidentität verwendet, erstellen Sie eine separate Richtlinie für dieses Zugriffsmuster. Weitere Informationen finden Sie unter Sichere autonome Agenten mit Bedingtem Zugriff.

Erstellen von Richtlinien für Agentbenutzer

Bedingter Zugriff erweitert die Richtlinienerzwingung auf diese benutzerähnlichen autonomen Agents. Administratoren haben folgende Möglichkeiten:

  • Wählen Sie alle Agentenbenutzer aus oder bestimmte Agentenbenutzer.
  • Anwenden von Richtlinien mit benutzerdefinierten Sicherheitsattributen
  • Anwenden von Agent-Risikobedingungen, um riskante Agents zu blockieren
  • Verwenden Sie die Bedingung „Agentenausführungsumgebungen“, um Richtlinien auf Agenten zu beschränken, die auf Endpunkten ausgeführt werden
  • Erzwingen der Gerätecompliance für Agents, die auf verwalteten Endpunkten ausgeführt werden (Windows 365 Cloud-PCs)
  • Konforme Netzwerkstandorte für Agenten erzwingen, die auf verwalteten Endpunkten (Windows 365 Cloud-PCs) mit einem Global Secure Access-Client ausgeführt werden

Verwenden Sie die folgenden Einstellungen, um eine Richtlinie für bedingten Zugriff für Agentbenutzer zu erstellen:

  • Zuweisungen: In einem Agentenzugriffsablauf wird das Zugriffstoken an die Agentenbenutzer (das Subjekt des Tokens) ausgegeben, sodass Sie die Richtlinie Agenten oder deren Agentenidentitäts-Blueprint zuweisen.
  • Zielressourcen: Wählen Sie die Ressourcen aus, auf die der Agent zugreifen muss.
  • Bedingungen: Konfigurieren Sie, ob die Richtlinie angewendet werden soll, wenn sich der Agent auf einer bestimmten Risikostufe befindet. Beispielsweise eine restriktive Richtlinie für Agents, die ein hohes Risiko darstellen. Weitere Informationen finden Sie unter ID Protection für Agents.
  • Zugriffssteuerung: Da dieser Agent auf Ressourcen mit eigener Identität zugreift, gibt es keine Wartung, und die einzige verfügbare Option blockiert den Zugriff.

Blockieren riskanter Agent-Benutzerkonten

Erstellen Sie eine Richtlinie, die Agentbenutzerkonten blockiert, wenn Microsoft Entra ID Protection mittleres oder hohes Agentrisiko erkennt. Das Risiko des Agents ist als Vorschau verfügbar.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie einen Namen für die Richtlinie ein.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
  6. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
    1. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  7. Wählen Sie unterZielressourcen>Einschließen die Option Alle Ressourcen (ehemals „Alle Cloud-Apps“) aus.
  8. Legen Sie unter Bedingungen>Agent-Risiko (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie "Mittel" und "Hoch" aus.
  9. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff blockieren und dann Auswählen aus.
  10. Legen Sie "Richtlinie aktivieren " auf "Nur Bericht" fest.
  11. Wählen Sie "Erstellen" aus.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Erfordert ein konformes Gerät

Einige Nutzer von Agenten sind Agenten, die einen Computer nutzen. Diese Agents betreiben eine Desktopumgebung, um Aufgaben auszuführen, ähnlich wie ein menschlichen Benutzer mit Anwendungen interagiert. Verwenden Sie diese Richtlinie für einen Agent, der auf einem verwalteten Endpunkt ausgeführt wird, z. B. einen Windows 365 Cloud-PC für Agents. Die Bedingung Agent-Ausführungsumgebungen (Vorschau) beschränkt die Richtlinie auf Benutzersitzungen des Agenten, die auf Endpunkten gestartet werden. Agents, die nicht auf einem Gerät ausgeführt werden, werden von der Auswertung ausgeschlossen.

Beachten Sie, dass nicht alle Agenten auf Endpunkten laufen. Agents, die direkt in Microsoft Infrastruktur ausgeführt werden, verfügen nicht über ein zugeordnetes Gerät. Richtlinien, die mit dieser Bedingung versehen sind, gelten nicht für diese cloudnativen Agenten, wodurch unbeabsichtigtes Blockieren verhindert wird.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie einen Namen für die Richtlinie ein.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  6. Wählen Sie unterZielressourcen>Einschließen die Option Alle Ressourcen (ehemals „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Ausführungsumgebungen (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter „Einschließen“von Endpunkten initiierte Agent-Benutzersitzungen aus.
  8. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff gewähren aus.
    1. Wählen Sie Gerät muss als konform markiert sein aus, und wählen Sie dann Auswählen aus.
  9. Legen Sie "Richtlinie aktivieren " auf "Nur Bericht" fest.
  10. Wählen Sie "Erstellen" aus.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Note

Ein Agent kann technisch gesehen auf jeder Maschine laufen. Für die Gerätecompliance ist die Intune-Registrierung erforderlich, die heute nur auf Windows 365 Cloud-PCs für Agents unterstützt wird. Ohne die Bedingung, die den Geltungsbereich dieser Richtlinie auf Agentausführungsumgebungen beschränkt, werden Agenten, die in der Cloud-Infrastruktur ausgeführt werden, blockiert, ohne die Möglichkeit, die Compliance-Anforderungen zu erfüllen.

Erfordert ein konformes Netzwerk

Verwenden Sie diese Richtlinie, um vorzuschreiben, dass auf Endpunkten ausgeführte Agents über ein konformes Netzwerk mithilfe von Global Secure Access eine Verbindung herstellen. Der Client stellt das Netzwerkstandortsignal bereit, das der bedingte Zugriff auswertet. Dies gilt für Agents, die auf einem verwalteten Endpunkt ausgeführt werden, z. B. einem Windows 365 Cloud-PC für Agents.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Geben Sie einen Namen für die Richtlinie ein.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
    2. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  6. Wählen Sie unterZielressourcen>Einschließen die Option Alle Ressourcen (ehemals „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Ausführungsumgebungen (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter „Einschließen“von Endpunkten initiierte Agent-Benutzersitzungen aus.
  8. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff gewähren aus.
    1. Wählen Sie "Kompatibles Netzwerk anfordern" und dann "Auswählen" aus.
  9. Legen Sie "Richtlinie aktivieren " auf "Nur Bericht" fest.
  10. Wählen Sie "Erstellen" aus.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Note

Verwenden Sie die Bedingung Agent-Ausführungsumgebungen (Vorschau), um diese Richtlinie ausschließlich auf endpunktbasierte Sitzungen zu beschränken. Ohne diese Bedingung werden cloudeigene Agents ohne globalen Client für den sicheren Zugriff ohne Pfad zur Compliance blockiert.

Verwandte Inhalte

  • Zuletzt aktualisiert um