Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Artikel ini menyediakan panduan kepada admin Microsoft Defender for Cloud Apps tentang cara menyelidiki dan mengatasi masalah akses umum dan kontrol sesi seperti yang dialami oleh pengguna akhir.
Periksa persyaratan minimum
Sebelum Anda mulai memecahkan masalah, pastikan lingkungan Anda memenuhi persyaratan umum minimum berikut untuk kontrol akses dan sesi.
| Persyaratan | Deskripsi |
|---|---|
| Perizinan | Pastikan Anda memiliki lisensi yang valid untuk Microsoft Defender for Cloud Apps. |
| Sekali Masuk (SSO) | Aplikasi harus dikonfigurasi dengan salah satu solusi akses menyeluruh (SSO) yang didukung: - Microsoft Entra ID menggunakan SAML 2.0 atau OpenID Connect 2.0 - IdP non-Microsoft menggunakan SAML 2.0 |
| Dukungan browser | Kontrol sesi tersedia untuk sesi berbasis browser pada versi terbaru browser berikut: - Microsoft Edge - Google Chrome - Mozilla Firefox - Apple Safari Perlindungan di browser untuk Microsoft Edge juga memiliki persyaratan khusus, termasuk pengguna harus masuk dengan profil kerja. Untuk informasi selengkapnya, lihat Persyaratan perlindungan dalam browser. |
| Waktu henti | Defender for Cloud Apps memungkinkan Anda menentukan perilaku default untuk diterapkan jika ada gangguan layanan, seperti komponen yang tidak berfungsi dengan benar. Misalnya, Anda dapat memilih untuk memperketat (memblokir) atau melewati pembatasan (mengizinkan) pengguna untuk melakukan tindakan pada konten yang berpotensi sensitif ketika kontrol kebijakan standar tidak dapat diberlakukan. Untuk mengonfigurasi perilaku default selama waktu henti sistem, di Microsoft Defender XDR, buka Pengaturan>Kontrol Aplikasi Akses Bersyarat>Perilaku default>Izinkan atau Blokir akses. |
Halaman pemantauan pengguna tidak muncul
Saat merutekan pengguna melalui Defender for Cloud Apps, Anda dapat memberi tahu pengguna bahwa sesi mereka dipantau. Secara default, halaman pemantauan pengguna diaktifkan.
Bagian ini menjelaskan langkah-langkah pemecahan masalah yang kami sarankan Anda lakukan jika halaman pemantauan pengguna diaktifkan tetapi tidak muncul seperti yang diharapkan.
Langkah-langkah yang disarankan
Di Portal Microsoft Defender, pilih Pengaturan>Aplikasi Cloud.
Di bagian kontrol aplikasi Akses Bersyarat, pilih Pemantauan pengguna. Halaman ini memperlihatkan opsi pemantauan pengguna yang tersedia di Defender for Cloud Apps. Contohnya:
Verifikasi bahwa opsi Beri tahu pengguna bahwa aktivitas mereka sedang dipantau dipilih.
Pilih apakah Anda ingin menggunakan pesan default atau memberikan pesan kustom:
Jenis pesan Rincian Default Header:
Akses ke [Nama Aplikasi Akan Muncul Di Sini] dipantau
Isi:
Untuk keamanan yang ditingkatkan, organisasi Anda memungkinkan akses ke [Nama Aplikasi Akan Muncul Di Sini] dalam mode pemantauan. Akses hanya tersedia dari browser web.Khusus Header:
Gunakan kotak ini untuk menyediakan judul kustom untuk memberi tahu pengguna bahwa mereka sedang dipantau.
Isi:
Gunakan kotak ini untuk menambahkan informasi kustom lain bagi pengguna, seperti siapa yang harus dihubungi dengan pertanyaan, dan mendukung input berikut: teks biasa, teks kaya, hyperlink.Pilih Pratinjau untuk memverifikasi halaman pemantauan pengguna yang muncul sebelum mengakses aplikasi.
Pilih Simpan.
Tidak dapat mengakses aplikasi dari Penyedia Identitas non-Microsoft
Jika pengguna akhir menerima kegagalan umum setelah masuk ke aplikasi dari Penyedia Identitas non-Microsoft, validasi konfigurasi IdP non-Microsoft.
Langkah-langkah yang disarankan
Di Portal Microsoft Defender, pilih Pengaturan>Aplikasi Cloud.
Di bawah Aplikasi yang tersambung, pilih Aplikasi Kontrol Aplikasi Akses Bersyarat.
Dalam daftar aplikasi, pada baris tempat aplikasi yang tidak dapat Anda akses muncul, pilih tiga titik di akhir baris, lalu pilih Edit aplikasi.
Validasi bahwa sertifikat SAML yang diunggah sudah benar.
Verifikasi bahwa URL SSO yang valid disediakan dalam konfigurasi aplikasi.
Validasi bahwa atribut dan nilai dalam aplikasi kustom tercermin dalam pengaturan penyedia identitas.
Contohnya:
.Jika Anda masih tidak dapat mengakses aplikasi, buka tiket dukungan.
Halaman "Terjadi kesalahan" muncul
Terkadang selama sesi yang diproksi, halaman Terjadi Kesalahan mungkin muncul. Hal ini dapat terjadi jika:
- Pengguna masuk setelah menganggur untuk sementara waktu
- Menyegarkan peramban dan pemuatan halaman memakan waktu lebih lama dari yang diharapkan
- Aplikasi IdP non-Microsoft tidak dikonfigurasi dengan benar
Langkah-langkah yang disarankan
Jika pengguna akhir mencoba mengakses aplikasi yang dikonfigurasi menggunakan IdP non-Microsoft, lihat Tidak dapat mengakses aplikasi dari IdP non-Microsoft dan Status aplikasi: Lanjutkan penyiapan.
Jika pengguna akhir tiba-tiba mencapai halaman ini, lakukan hal berikut:
- Mulai ulang sesi browser Anda.
- Hapus riwayat, cookie, dan cache dari browser.
Tindakan clipboard atau kontrol file tidak diblokir
Kemampuan untuk memblokir tindakan clipboard seperti memotong, menyalin, menempel, dan kontrol file seperti mengunduh, mengunggah, dan mencetak diperlukan untuk mencegah skenario eksfiltrasi dan infiltrasi data.
Kemampuan ini memungkinkan perusahaan untuk menyeimbangkan keamanan dan produktivitas bagi pengguna akhir. Jika Anda mengalami masalah dengan fitur-fitur ini, gunakan langkah-langkah berikut untuk menyelidiki masalah tersebut.
Langkah-langkah yang disarankan
Jika sesi sedang diproksi, gunakan langkah-langkah berikut untuk memverifikasi kebijakan:
Di Portal Microsoft Defender, di bawah Aplikasi Cloud, pilih Log aktivitas.
Gunakan filter tingkat lanjut, pilih Tindakan yang diterapkan dan atur nilainya sama dengan Diblokir.
Verifikasi bahwa ada aktivitas file yang diblokir:
Jika ada aktivitas, perluas laci aktivitas dengan mengklik aktivitas.
Pada tab Umum di panel aktivitas, pilih tautan kebijakan yang sesuai untuk memverifikasi bahwa kebijakan yang Anda terapkan tercantum.
Jika Anda tidak melihat kebijakan Anda, lihat Masalah saat membuat kebijakan akses dan sesi.
Jika Anda melihat Akses diblokir/diizinkan karena Perilaku Default, ini menunjukkan bahwa sistem tidak berfungsi, dan perilaku default diterapkan.
Untuk mengubah perilaku default, di Portal Microsoft Defender, pilih Pengaturan. Lalu pilih Cloud Apps. Lalu, di bawah Kontrol Aplikasi Akses Bersyarat, pilih Perilaku bawaan, lalu atur perilaku bawaannya ke Izinkan atau Blokir akses.
Buka portal admin Microsoft 365 dan pantau pemberitahuan tentang waktu henti sistem.
Jika Anda masih tidak dapat melihat aktivitas yang diblokir, buka tiket dukungan.
Unduhan tidak dilindungi
Sebagai pengguna akhir, mengunduh data sensitif pada perangkat yang tidak dikelola mungkin diperlukan. Dalam skenario ini, Anda dapat melindungi dokumen dengan Perlindungan Informasi Microsoft Purview.
Jika pengguna akhir tidak berhasil mengenkripsi dokumen, gunakan langkah-langkah berikut untuk menyelidiki masalah tersebut.
Langkah-langkah yang disarankan
Di Portal Microsoft Defender, di bawah Aplikasi Cloud, pilih Log aktivitas.
Gunakan filter tingkat lanjut, pilih Tindakan yang diterapkan dan atur nilainya sama dengan Dilindungi.
Verifikasi bahwa ada aktivitas file yang diblokir:
Jika ada aktivitas, perluas laci aktivitas dengan mengklik aktivitas
Pada tab Umum di panel aktivitas, pilih tautan kebijakan yang sesuai untuk memverifikasi bahwa kebijakan yang Anda terapkan tercantum.
Jika Anda tidak melihat kebijakan Anda, lihat Masalah saat membuat kebijakan akses dan sesi.
Jika Anda melihat Akses diblokir/diizinkan karena Perilaku Default, ini menunjukkan bahwa sistem tidak berfungsi, dan perilaku default diterapkan.
Untuk mengubah perilaku default, di Portal Microsoft Defender, pilih Pengaturan. Lalu pilih Cloud Apps. Lalu, di bawah Kontrol Aplikasi Akses Bersyarat, pilih Perilaku bawaan, lalu atur perilaku bawaannya ke Izinkan atau Blokir akses.
Buka Dasbor Microsoft 365 Service Health dan pantau pemberitahuan tentang waktu henti sistem.
Jika Anda melindungi file dengan label sensitivitas atau izin kustom, dalam deskripsi Aktivitas, pastikan ekstensi file adalah salah satu jenis file yang didukung berikut ini:
Word: docm, docx, dotm, dotx
Excel: xlam, xlsm, xlsx, xltx
PowerPoint: potm, potx, ppsx, ppsm, pptm, pptx
PDF jika Pelabelan Terpadu diaktifkan
Jika jenis file tidak didukung, dalam kebijakan sesi, Anda dapat memilih Blokir unduhan file apa pun yang tidak didukung oleh perlindungan asli atau di mana perlindungan asli tidak berhasil.
Jika Anda masih tidak dapat melihat aktivitas yang diblokir, buka tiket dukungan.
Membuka URL tertentu dari aplikasi bersufiks dan berakhir di halaman umum
Dalam beberapa skenario, menavigasi ke tautan dapat mengakibatkan pengguna mendarat di halaman beranda aplikasi daripada jalur lengkap tautan.
Tip
Defender for Cloud Apps mempertahankan daftar aplikasi yang diketahui menderita kehilangan konteks. Untuk informasi selengkapnya, lihat Batasan kehilangan konteks.
Langkah-langkah yang disarankan
Jika Anda menggunakan browser selain Microsoft Edge dan pengguna masuk ke halaman beranda aplikasi alih-alih jalur lengkap tautan, atasi masalah dengan menambahkan .mcas.ms ke URL asli.
Misalnya, jika URL aslinya adalah:
https://www.github.com/organization/threads/threadnumber, ubah menjadi https://www.github.com.mcas.ms/organization/threads/threadnumber
Pengguna Microsoft Edge mendapat manfaat dari perlindungan di dalam browser, tidak dialihkan ke reverse proxy, dan seharusnya tidak perlu ditambahkan akhiran .mcas.ms. Untuk aplikasi yang mengalami kehilangan konteks, buka tiket dukungan.
Memblokir unduhan menyebabkan pratinjau PDF diblokir
Terkadang, saat Anda mempratinjau atau mencetak file PDF, aplikasi memulai unduhan file. Hal ini menyebabkan Defender for Cloud Apps campur tangan untuk memastikan unduhan diblokir dan data tersebut tidak bocor dari lingkungan Anda.
Misalnya, jika Anda membuat kebijakan sesi untuk memblokir unduhan untuk Outlook Web Access (OWA), pratinjau atau pencetakan file PDF mungkin diblokir, dengan pesan seperti ini:
Untuk mengizinkan pratinjau, Administrator Exchange harus melakukan langkah-langkah berikut:
Sambungkan ke modul. Untuk informasi selengkapnya, lihat Menyambungkan ke Exchange Online PowerShell.
Setelah Anda tersambung ke Exchange Online PowerShell, gunakan cmdlet Set-OwaMailboxPolicy untuk memperbarui parameter dalam kebijakan:
Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -DirectFileAccessOnPrivateComputersEnabled $false -DirectFileAccessOnPublicComputersEnabled $falseNote
Kebijakan OwaMailboxPolicy-Default adalah nama kebijakan OWA default dalam Exchange Online. Beberapa pelanggan mungkin telah menyebarkan kebijakan OWA tambahan atau membuat kebijakan OWA kustom dengan nama yang berbeda. Jika Anda memiliki beberapa kebijakan OWA, kebijakan tersebut dapat diterapkan ke pengguna tertentu. Oleh karena itu, Anda juga harus memperbaruinya agar memiliki cakupan lengkap.
Setelah parameter ini diatur, jalankan pengujian di OWA dengan file PDF dan kebijakan sesi yang dikonfigurasi untuk memblokir unduhan. Opsi Unduh harus dihapus dari menu dropdown dan Anda dapat mempratinjau file. Contohnya:
Peringatan situs serupa muncul
Pelaku jahat dapat membuat URL yang mirip dengan URL situs lain untuk menyamar sebagai situs tersebut dan mengelabui pengguna agar percaya bahwa mereka sedang mengunjungi situs lain. Beberapa browser mencoba mendeteksi perilaku ini dan memperingatkan pengguna sebelum mengakses URL atau memblokir akses.
Dalam beberapa kasus yang jarang terjadi, pengguna di bawah kontrol sesi menerima pesan dari browser yang menunjukkan akses situs yang mencurigakan. Alasan untuk ini adalah browser memperlakukan domain akhiran (misalnya: .mcas.ms) sebagai mencurigakan.
Pesan ini hanya muncul bagi pengguna Chrome, karena pengguna Microsoft Edge mendapat manfaat dari perlindungan di dalam browser, tanpa arsitektur proksi terbalik. Contohnya:
Jika Anda menerima pesan seperti ini, hubungi dukungan Microsoft untuk mengatasinya dengan vendor browser yang relevan.
Pengguna menemukan Entra ID Masuk setelah mengklik tautan mcas.ms
Penyerang dapat membuat URL yang tampaknya mengarah ke domain tepercaya tetapi benar-benar mengalihkan pengguna ke situs berbahaya. Untuk pengguna yang dilindungi oleh solusi berbasis sesi/akhiran, penyerang mungkin mencoba melewati kontrol dengan menambahkan akhiran mcas.ms ke URL berbahaya, mengeksploitasi asumsi bahwa URL tersebut aman.
Untuk mengurangi hal ini, Microsoft Defender for Cloud Apps mengalihkan URL mcas.ms yang tidak memiliki konteks sesi yang valid untuk Entra ID untuk autentikasi, secara efektif memblokir eksploitasi tersebut.
Namun, URL mcas.ms yang sah tanpa konteks dapat ada, misalnya, jika pengguna mengklik bookmark browser lama. Dalam kasus seperti itu, pengguna akan terlebih dahulu dialihkan ke Entra ID. Jika Penyedia Identitas (IdP) mereka tidak Entra ID, mereka harus menghapus akhiran mcas.ms secara manual untuk melanjutkan.
Pertimbangan lainnya untuk pemecahan masalah aplikasi
Saat memecahkan masalah aplikasi, ada beberapa hal lain yang perlu dipertimbangkan:
Kontrol sesi mendukung peramban modern Kontrol sesi Defender for Cloud Apps kini mendukung peramban Microsoft Edge baru yang berbasis Chromium. Meskipun kami terus mendukung versi terbaru Internet Explorer dan versi warisan Microsoft Edge, dukungan terbatas dan sebaiknya gunakan browser Microsoft Edge baru.
Batasan protect pada kontrol sesi Pelabelan Co-Auth dalam tindakan "protect" tidak didukung oleh kontrol sesi Defender for Cloud Apps. Untuk informasi selengkapnya, lihat Mengaktifkan penulisan bersama untuk file yang dienkripsi dengan label sensitivitas.