Konfigurieren des globalen sicheren Zugriffs, des sicheren Webs und des AI-Gateways für Agents (Vorschau)

[Dieser Artikel ist Teil der Dokumentation zur Vorabversion und kann geändert werden.]

Da Organisationen autonome und interaktive KI-Agents integrieren, um zuvor von Menschen behandelte Aufgaben auszuführen, bemerken Administratoren möglicherweise eine Verringerung der Sichtbarkeit und Kontrolle im Vergleich zur herkömmlichen Benutzernetzwerksicherheitsrichtlinie und -verwaltungserfahrung.

Durch die Verwendung von Global Secure Access (GSA) für Agents können Sie steuern, wie diese Agents Wissen, Tools und Aktionen nutzen, um auf andere Ressourcen zuzugreifen, ähnlich wie Sie die Nutzung durch Benutzer regulieren.

Von Bedeutung

• Dies ist eine Vorschaufunktion.
• Previewfunktionen sind nicht für den Produktionseinsatz gedacht und können eine eingeschränkte Funktionalität aufweisen. Für diese Features gelten ergänzende Nutzungsbedingungen. Die Features werden vor einer offiziellen Veröffentlichung zur Verfügung gestellt, sodass die Kundschaft frühzeitig Zugriff erhält und Feedback geben kann.

Hauptvorteile

Nachdem Sie Agent-Datenverkehr an Global Secure Access weitergeleitet haben, können Sie die folgenden Sicherheitskontrollen anwenden:

• Webinhaltsfilterung: Steuern des Zugriffs auf Webinhalte basierend auf Kategorien und URLs.
• Filterung der Bedrohungserkennung: Blockieren des Zugriffs auf bekannte schädliche Websites und Dienste.
• Netzwerkdateifilterung: Steuern von Dateiuploads und Downloads.

Sie konfigurieren Sicherheitsrichtlinien für Agents mithilfe des Basisprofils im globalen sicheren Zugriff. Das Basisprofil wendet Sicherheitsrichtlinien auf Mandantenebene an und stellt konsistente Sicherheitskontrollen für den gesamten Agentdatenverkehr sicher.

Funktionsweise von Secure Web und AI Gateway für Copilot Studio-Agents

Um konsistente Netzwerksicherheitskontrollen für Copilot Studio-Agents zu erzwingen, leiten Sie Datenverkehr von den Agents an den global verteilten Proxydienst von Global Secure Access weiter. Sie können die Weiterleitung des Agent-Datenverkehrs im Power Platform Admin Center pro Umgebung oder auf Gruppenbasis aktivieren. Die Weiterleitung gilt für alle Arten von Agentendatenverkehr, einschließlich Datenverkehr von HTTP-Knoten und von Tools generierten Connectors, benutzerdefinierten Connectors, benutzerdefinierten Model Context Protocol-Servern, benutzerdefinierten Tools und einer vollständigen Liste der unterstützten Connectors.

Nachdem Sie den Datenverkehr vom Agent an den globalen sicheren Zugriff weitergeleitet haben, können Sie dieselben Sicherheitskontrollen erzwingen, die Sie bei Benutzern anwenden, auch für Agenten, einschließlich Webinhaltsfilterung, Bedrohungsintelligenzfilterung, Netzwerkdateifilterung und vieles mehr.

Wenn ein Agent eine Anforderung an externe Ressourcen sendet, wertet der globale Secure Access-Dienst die Anforderung in Echtzeit anhand der von Ihnen konfigurierten Sicherheitsrichtlinien aus. Wenn die Anforderung den konfigurierten Richtlinien entspricht, lässt der Dienst sie zu. Wenn die Anforderung gegen eine Sicherheitsrichtlinie verstößt, verweigert der Global Secure Access-Service die Anforderung und protokolliert dies entsprechend für Prüf- und Überwachungszwecke.

Voraussetzungen

• Administratoren, die mit globalen Features für den sicheren Zugriff interagieren, müssen je nach den aufgaben, die sie ausführen, über eine oder mehrere der folgenden Rollenzuweisungen verfügen:
  • Die Rolle des globalen Sicherheitszugriffsadministrators zum Verwalten der globalen Features für den sicheren Zugriff.
  • Die Rolle Power Platform Administrator zum Verwalten Copilot Studio-Umgebungen.
• Eine Power Platform-Umgebung mit hinzugefügtem Dataverse.

Übergeordnete Schritte

Das Konfigurieren von Netzwerksteuerelementen für Copilot Studio-Agents umfasst mehrere Schritte:

1. Enable Network Controls for Copilot Studio Agents in power Platform environment settings
2. Sicherheitsrichtlinien für Copilot Studio-Datenverkehr erstellen

Aktivieren von Netzwerksteuerelementen für Copilot Studio-Agents

Der erste Schritt besteht darin, die Datenverkehrsweiterleitung von Copilot Studio-Agents im Power Platform Admin Center zu aktivieren.

Hinweis

Bevor Sie dieses Feature im Power Platform Admin Center aktivieren, stellen Sie sicher, dass Ihr Mandant in den globalen sicheren Zugriff im Microsoft Entra Admin Center integriert ist

Aktivieren von Netzwerksteuerelementen auf Umgebungsebene

Führen Sie die folgenden Schritte aus, um globale Einstellungen für den sicheren Zugriff auf Umgebungsebene zu konfigurieren:

1. Melden Sie sich im Power Platform Admin Center an.
2. Wählen Sie im Navigationsbereich "Sicherheit" aus.
3. Wählen Sie im Bereich "Sicherheit " die Option "Identität und Zugriff" aus.
4. Wählen Sie globalen sicheren Zugriff für Agents aus.
5. Wählen Sie die entsprechende Umgebung und dann "Einrichten" aus.
6. Schalten Sie den globalen sicheren Zugriff für Agentsein für Ihre ausgewählte Umgebung.
7. Wählen Sie Speichern aus.

Aktivieren von Netzwerksteuerelementen auf Umgebungsgruppenebene

Führen Sie die folgenden Schritte aus, um globale Einstellungen für den sicheren Zugriff auf Umgebungsgruppenebene zu konfigurieren:

1. Melden Sie sich im Power Platform Admin Center an.
2. Wählen Sie im Navigationsbereich "Sicherheit" aus.
3. Wählen Sie im Bereich "Sicherheit " die Option "Identität" und "Zugriff" aus.
4. Wählen Sie globalen sicheren Zugriff für Agents aus.
5. Wählen Sie die Registerkarte "Umgebungsgruppen " aus, auf die die Sicherheitseinstellung angewendet werden soll, und wählen Sie dann " Einrichten" aus.
6. Schalten Sie den globalen sicheren Zugriff für Agents in der ausgewählten Umgebungsgruppe auf ein.
7. Wählen Sie Speichern aus.

Hinweis

Nachdem Sie den globalen sicheren Zugriff für Agents in der Umgebung oder Umgebungsgruppe aktiviert haben, müssen Sie alle vorhandenen Copilot Studio-benutzerdefinierten Connector bearbeiten und speichern, um sicherzustellen, dass seine Datenverkehrsrouten über den globalen sicheren Zugriff erfolgen. Benutzerdefinierte Connectors, die anschließend erstellt wurden, verwenden diese Konfiguration automatisch.

Erstellen von Sicherheitsrichtlinien für Copilot Studio-Agents

Nachdem Sie Netzwerksteuerelemente aktiviert haben, erzwingen Sie globale Sicherheitsrichtlinien für den sicheren Zugriff für den Agentdatenverkehr. Wenden Sie Webinhaltsfilterung, Bedrohungserkennungsfilterung und andere Sicherheitsrichtlinien an. Das folgende Beispiel zeigt, wie Sie eine Webinhaltsfilterrichtlinie konfigurieren:

1. Melden Sie sich beim Microsoft Entra Admin Center als Global Secure Access Administrator an.
2. Navigieren Sie zu Global Secure Access>Secure>Web-Inhaltsfilterrichtlinien.
3. Wählen Sie Create policy (Richtlinie erstellen) aus.
4. Geben Sie einen beschreibenden Namen und eine Beschreibung für die Richtlinie ein, und wählen Sie dann "Weiter" aus.
5. Wählen Sie "Regel hinzufügen" aus.
6. Konfigurieren Sie Regeln basierend auf Ihrer Sicherheit für Copilot Studio-Agentanforderungen. Blockieren Sie z. B. den Zugriff auf Web repositories, Illegal software, nicht arbeitsplatzgeeignete (NSFW) Websites und vieles mehr.
7. Wählen Sie "Weiter" aus, um die Richtlinie zu überprüfen.
8. Wählen Sie Create policy (Richtlinie erstellen) aus.

Erstellen Sie als Nächstes Richtlinien wie Bedrohungserkennung , um Agents vor schädlichen Zielen oder Dateirichtlinien zu schützen, um vor unbeabsichtigter Datenexposition zu schützen und Inlinedatenlecks zu verhindern.

Verknüpfen von Richtlinien mit dem Basisprofil

Gruppieren Sie Ihre Sicherheitsrichtlinien, indem Sie sie mit dem Basisprofil verknüpfen, um sie auf Copilot Studio-Agentdatenverkehr anzuwenden. Sicherheitsprofile, die mit Richtlinien für bedingten Zugriff verknüpft sind, werden für Copilot Studio-Agents derzeit nicht unterstützt.

1. Melden Sie sich beim Microsoft Entra Admin Center als Global Secure Access Administrator an.
2. Navigieren Sie zum globalen sicheren Zugriff>Sicher>Sicherheitsprofile.
3. Wählen Sie die Registerkarte " Basisplanprofil " aus.
4. Wählen Sie "Bearbeiten" aus, um die Basisprofilregeln zu bearbeiten.
5. Wählen Sie Eine Richtlinie verknüpfen und dann Vorhandene Richtlinie aus.
6. Wählen Sie die Copilot Studio-Agent-Webrepository-Richtlinie aus, die Sie zuvor erstellt haben, und wählen Sie Add aus.
7. Wählen Sie "Speichern" aus, um die Profiländerungen zu speichern.

Überwachen und Warten

Regelmäßige Überwachung und Wartung stellen sicher, dass Ihre Sicherheitskonfiguration wirksam bleibt:

1. Überprüfen Sie die Datenverkehrsprotokolle regelmäßig auf ungewöhnliche Muster oder blockierten legitimen Datenverkehr. Weitere Informationen finden Sie unter Global Secure Access-Netzwerkdatenverkehrsprotokolle.
2. Aktualisieren Sie Filterrichtlinien , wenn neue Dienste oder Anforderungen entstehen.
3. Testen Sie Richtlinienänderungen in einer Entwicklungsumgebung, bevor Sie die Anwendung auf die Produktion anwenden.

Hinweis

Konfigurationsänderungen in der globalen Benutzeroberfläche für den sicheren Zugriff im Zusammenhang mit der Filterung von Webinhalten werden in der Regel in weniger als fünf Minuten wirksam.

Weitere Details zu Sicherheitskontrollen im globalen sicheren Zugriff

Konfigurieren von Sicherheitssteuerelementen im globalen Portal für den sicheren Zugriff

Bekannte Einschränkungen

• Die Global Secure Access-Datenverkehrsprotokolle geben den Agentnamen als eindeutigen schema nameAgent zurück.
• Die Blockierungsoberfläche für Copilot Studio-Agents, die durch den globalen sicheren Zugriff blockiert werden, zeigt eine 502 Bad Gateway für HTTP-Aktionen oder eine 403 Forbidden für Connectors an. Diese Erfahrung ist ein bekanntes Problem, und Verbesserungen werden in Kürze verfügbar sein.
• Nur das Basisprofil wird für die Erzwingung unterstützt, sodass Netzwerksicherheitsrichtlinien pro Mandant gelten.
• Globale Integrationen des Sicherheitszugriff-Partner-Ökosystems, wie die Verhinderung von Datenverlust (Data Loss Prevention, DLP) durch Drittanbieter, werden nicht unterstützt.
• Copilot Studio Bing Search Network Transaktionen (einschließlich Wissen von public Websites und Wikipedia) werden nicht unterstützt.
• Netzwerkanforderungen an Dataverse und Azure SQL Wissensquellen werden nicht unterstützt.
• Netzwerkanfragen an ein großes Sprachmodell (LLM), sei es für die Orchestrierung oder zur Ergebnisverbesserung, werden nicht unterstützt.
• Eingeschränkte Steckerunterstützung (Details finden Sie unter unterstützten Steckern).
• Andere Verbinder als die in unterstützten Verbindern aufgeführten werden nicht unterstützt und funktionieren möglicherweise nicht zuverlässig.

Unterstützte Anschlüsse

Die folgenden Connectors unterstützen derzeit sichere Web- und KI-Gateway-Copilot Studio-Agents. Wenn Sie Probleme mit diesen Connectors in der Vorschau haben, wenden Sie sich an den Support.

• Adobe PDF-Tools
• Adobe Sign
• AI Builder
• Amazon S3
• Genehmigungen
• ArcGIS
• Asana
• Azure AD
• Azure AD-Anwendungen
• Azure AI Foundry Agent Service
• Azure AI Foundry Rückschluss
• Azure Application Insights
• Azure Cognitive Service für Sprache
• Azure Cognitive Services Computer Vision
• Azure Cognitive Services Text Analytics
• Azure Communication Services E-Mail
• Azure Communication Services SMS
• Azure Data Factory
• Azure Event Hubs
• Azure Log Analytics Datensammler
• Azure Resource Manager
• Azure Table Storage
• Azure VM
• Bing Maps
• Bitly
• Blackbaud Altru-Bestandteil
• Blackbaud Raiser es Edge NXT
• Blackbaud RENXT Geschenke
• Blackbaud SKY-Add-Ins
• Box MCP-Server
• Karten für Power Apps
• ClickSend SMS
• Cloudmersive Konvertierung
• Kognito-Formulare
• Computeroperator
• Zusammenfluss
• Konverter von Power2Apps
• Copilot für Finanzen
• Databricks, eine Plattform für Datenanalyse
• Desktop-Flows
• DocuSign
• DocuSign Demo
• Egnyte
• Encodian Convert
• Encodian Document Manager
• Encodian PDF

• Encodian Word
• Excel
• Experlogix Smart Flows - Automatisierte Durchflusssteuerungslösung
• Formstack
• Freshdesk
• Freshservice
• GitHub
• Google Kalender
• Google-Kontakte
• Google Drive
• Google Aufgaben
• Hashgenerator
• Hashify
• iAuditor
• Impower ERP
• Jira
• JotForm
• JotForm Enterprise
• Kintone
• LMS365
• Luware Nimbus
• Mail
• Mailchimp
• Microsoft 365 Copilot Automatisierungen
• Microsoft 365 Nachrichtencenter
• Microsoft 365 Updates-App
• Microsoft Bookings
• Microsoft Copilot Studio
• Microsoft Dataverse
• Microsoft Defender ATP
• Microsoft Defender for Cloud Apps
• Microsoft Fabric Daten-Agent
• Microsoft Forms
• Microsoft Forms Pro
• Microsoft Graph
• Microsoft Learn Dokumente MCP
• Microsoft Loop
• Microsoft School Data Sync
• Microsoft Spatial Services
• Microsoft Teams
• Microsoft To-Do (Geschäftlich)
• Microsoft Translator V2
• Monday.com
• Muhimbi PDF
• NetDocuments

• Office 365-Gruppen
• Office 365 Gruppen-E-Mail
• Office 365 Outlook
• OneDrive
• OneDrive for Business
• OneNote (Unternehmen)
• Outlook Vorgänge
• PagerDuty
• Partner Center-Empfehlungen
• Planner
• Plumsail
• Plumsail SP
• Power Apps für Administratoren
• Power Apps für Maker
• Power Apps Benachrichtigung
• Power Apps Benachrichtigung V2
• Power Automate
• Power Automate für Administratoren
• Power Automate Verwaltung
• Power BI
• Power Platform-Dataflows
• Power Platform für Administratoren
• Power Platform für Administratoren V2
• Project Online
• Projekt-Roadmap
• Redmine
• SendGrid
• ServiceNow
• SharePoint
• Schichten für Microsoft Teams
• Slack
• Smartsheet
• Schneeflocke
• Streifen
• Umfrage123
• SurveyMonkey
• TeamForms
• Todoist
• Trello
• Twilio
• UiPath Orchestrator
• Vena
• Webex
• WordPress
• Yammer
• YouTube

Weitere Informationen zu einzelnen Connectors finden Sie in der Übersicht über connectors.