Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo descrive le limitazioni note per l'uso del controllo app per l'accesso condizionale in Microsoft Defender for Cloud Apps. Queste limitazioni riguardano i limiti di dimensione dei file per i criteri di sessione e l'ispezione dei contenuti, la gestione dei file crittografati, il supporto di IPv6, il comportamento delle sessioni del proxy inverso e la protezione nel browser di Microsoft Edge. Esaminare queste informazioni quando si configurano criteri di sessione o di accesso o quando si risolvono i problemi relativi al comportamento imprevisto dei criteri.
Per altre informazioni sulle limitazioni di sicurezza, contattare il team di supporto.
Dimensioni massime del file per i criteri di sessione
È possibile applicare criteri di sessione ai file con dimensioni massime di 50 MB. Ad esempio, questa dimensione massima del file è rilevante quando si definiscono criteri per monitorare i download di file da OneDrive, bloccare gli aggiornamenti dei file o bloccare i download o il caricamento di file malware.
Per i file di dimensioni superiori a 50 MB, usare le impostazioni del tenant per determinare se il file è consentito o bloccato, indipendentemente dai criteri di corrispondenza.
In Microsoft Defender XDR, selezionare Impostazioni>Controllo delle app per l'accesso condizionale>Comportamento predefinito per gestire le impostazioni per i file di dimensioni superiori a 50 MB.
Con la protezione microsoft edge nel browser, nel caso in cui la sessione dell'utente finale sia protetta E il criterio è impostato su "Applica sempre l'azione selezionata anche se i dati non possono essere analizzati", qualsiasi file di dimensioni superiori a 50 MB viene bloccato.
Dimensioni massime dei file per i criteri di sessione in base all'ispezione del contenuto
I criteri di sessione possono bloccare o monitorare i caricamenti e i download dei file in base all'ispezione del contenuto. L'ispezione del contenuto viene eseguita solo su file che soddisfano entrambe queste condizioni: il file è inferiore a 30 MB e il file ha meno di 1 milione di caratteri.
Ad esempio, è possibile definire uno di questi criteri di sessione:
- Bloccare il caricamento di file che contengono numeri di previdenza sociale
- Proteggere il download dei file che contengono informazioni sanitarie protette
- Bloccare il download di file con etichetta di riservatezza "molto sensibile"
Per i criteri di ispezione del contenuto come questi, i file di dimensioni superiori a 30 MB o con più di 1 milione di caratteri non vengono analizzati. I file non sottoposti a scansione sono invece soggetti all'impostazione di criterio Applica sempre l'azione selezionata anche se non è possibile sottoporre i dati a scansione.
Nella tabella seguente sono elencati altri esempi di file che sono e non vengono analizzati:
| Descrizione file | Analizzato |
|---|---|
| File TXT, dimensioni di 1 MB e 1 milione di caratteri | Sì |
| File TXT, dimensioni di 2 MB e 2 milioni di caratteri | No |
| Un file Word composto da immagini e testo, dimensioni di 4 MB e caratteri da 400 K | Sì |
| Un file Word composto da immagini e testo, dimensioni di 4 MB e 2 milioni di caratteri | No |
| File Word composto da immagini e testo, dimensioni di 40 MB e caratteri da 400 K | No |
File crittografati con etichette di riservatezza
Se il tenant attiva la creazione condivisa per i file con etichette di riservatezza crittografate, tali file non possono essere letti durante l'ispezione del contenuto. Qualsiasi criterio di sessione che blocca i caricamenti o i download in base ai filtri di etichetta o al contenuto dei file usa invece l'impostazione Applica sempre l'azione selezionata anche se i dati non possono essere analizzati.
Si supponga, ad esempio, di configurare un criterio di sessione per bloccare i download di file con numeri di carta di credito. Attivare anche Applica sempre l'azione selezionata anche se non è possibile sottoporre i dati a scansione. Con questa configurazione, tutti i file con un'etichetta di riservatezza crittografata vengono bloccati, indipendentemente da ciò che contiene.
Utenti B2B esterni in Teams
I criteri di sessione non proteggono gli utenti esterni di collaborazione business-to-business (B2B) nelle applicazioni di Microsoft Teams.
Controlli della sessione con token non interattivi
Alcune app usano token di accesso non interattivi per reindirizzare gli utenti tra app nella stessa suite. Se un'app viene integrata nel Controllo app di Accesso condizionale, ma l'altra no, i controlli di sessione potrebbero non funzionare come previsto. Ad esempio, il client teams può ottenere un token non interattivo per SharePoint e avviare una sessione in SharePoint Online (SPO). All'utente non viene chiesto di eseguire di nuovo l'accesso, quindi i controlli sessione non possono intercettare o applicare criteri. Per evitare questo gap, eseguire l'onboarding di tutte le app correlate, ad esempio Teams, insieme a SPO.
Limitazioni IPv6
I criteri di accesso e sessione supportano solo IPv4. Se viene effettuata una richiesta tramite IPv6, le regole dei criteri basate su IP non vengono applicate. Questa limitazione si applica quando si usa sia il proxy inverso che la protezione microsoft edge nel browser.
Limitazioni per le sessioni a cui serve il proxy inverso
L'app integrata, la perdita di contesto e le limitazioni del caricamento dei file in questa sezione si applicano solo alle sessioni gestite dal proxy inverso. Gli utenti di Microsoft Edge possono trarre vantaggio dalla protezione nel browser anziché usare il proxy inverso, in modo che queste limitazioni non li influiscano.
Limitazioni dell'app integrata e del plug-in del browser
Il controllo app di accesso condizionale in Defender for Cloud Apps modifica il codice dell'applicazione sottostante. Attualmente non supporta le app predefinite o le estensioni del browser.
In qualità di amministratore, è possibile definire il comportamento di sistema predefinito per quando non è possibile applicare un criterio. È possibile scegliere di consentire l'accesso o bloccarlo completamente.
Limitazioni della perdita di contesto
Nelle applicazioni seguenti si sono verificati scenari in cui l'esplorazione di un collegamento potrebbe comportare la perdita del percorso completo del collegamento. In genere, l'utente accede alla home page dell'app.
- Arcgis
- GitHub
- Microsoft Power Automate
- Microsoft Power Apps
- Workplace di Meta
- ServiceNow
- Workday
- Box
- Smartsheet
Limitazioni per il caricamento di file
Se si applicano criteri di sessione per bloccare o monitorare il caricamento di file sensibili, i tentativi dell'utente di caricare file o cartelle usando un'operazione di trascinamento della selezione bloccano l'elenco completo di file e cartelle negli scenari seguenti:
- Cartella che contiene almeno un file e almeno una sottocartella
- Cartella che contiene più sottocartelle
- Selezione di almeno un file e almeno una cartella
- Selezione di più cartelle
La tabella seguente elenca i risultati di esempio quando si definisce il criterio Blocca caricamento di file che contengono dati personali in OneDrive :
| Scenario | Risultato |
|---|---|
| Un utente tenta di caricare una selezione di 200 file non sensibili mediante trascinamento. | I file sono bloccati. |
| Un utente tenta di caricare una selezione di 200 file usando la finestra di dialogo di caricamento dei file. Alcuni sono sensibili e altri no. | I file non sensibili vengono caricati. I file sensibili sono bloccati. |
| Un utente tenta di caricare una selezione di 200 file tramite un'operazione di trascinamento. Alcuni sono sensibili e altri no. | Il set completo di file è bloccato. |
Limitazioni per le sessioni servite con la protezione microsoft edge nel browser
Le limitazioni relative a Google Workspace, ai collegamenti diretti e all'applicazione di criteri obsoleti in questa sezione si applicano solo alle sessioni gestite tramite la protezione nel browser di Microsoft Edge.
I controlli sessione di Microsoft Edge sicuri non possono essere usati con Google Workspace nei browser Microsoft Edge aziendali
Google Workspace non è supportato con la protezione nel browser in Microsoft Edge per le aziende. Di conseguenza, i controlli di sessione sicura di Microsoft Edge in Google Workspace non sono supportati. In Google Workspaces le analisi dei file DLP in tempo reale non sono supportate, viene usata l'autenticazione di fallback dei suffissi e il caricamento, il download, il taglio e la copia dei file non sono supportati.
Il collegamento diretto viene perso quando l'utente passa a Microsoft Edge facendo clic su "Continua in Microsoft Edge"
A un utente che avvia una sessione in un browser diverso da Microsoft Edge viene richiesto di passare a Microsoft Edge facendo clic sul pulsante "Continua in Microsoft Edge".
Se l'URL punta a una risorsa all'interno dell'applicazione protetta, l'utente viene indirizzato alla home page dell'applicazione in Microsoft Edge.
Il collegamento diretto viene perso quando l'utente passa al profilo di lavoro di Microsoft Edge'
A un utente che avvia una sessione in Microsoft Edge con un profilo diverso dal profilo di lavoro viene richiesto di passare al profilo di lavoro facendo clic sul pulsante "Passa al profilo di lavoro".
Se l'URL punta a una risorsa all'interno dell'applicazione protetta, l'utente viene indirizzato alla home page dell'applicazione in Microsoft Edge.
Applicazione dei criteri di sessione obsoleta con Microsoft Edge
Quando un criterio di sessione viene applicato tramite la protezione nel browser di Microsoft Edge e l'utente viene successivamente rimosso dal criterio di Accesso condizionale (CA) corrispondente, l'applicazione originale del criterio di sessione potrebbe comunque persistere.
Scenario di esempio:
A un utente è stato originariamente assegnato un criterio CA per Salesforce insieme a un criterio di sessione Defender for Cloud Apps per bloccare i download di file. Di conseguenza, i download sono stati bloccati quando l'utente ha eseguito l'accesso a Salesforce in Microsoft Edge.
Anche se in seguito l'amministratore ha rimosso i criteri ca, l'utente continua a riscontrare il blocco di download in Microsoft Edge a causa dei dati dei criteri memorizzati nella cache.
Opzioni di mitigazione:
Opzione 1: Pulizia automatica
- Aggiungi di nuovo l'utente/app nell'ambito dei criteri di accesso condizionale.
- Rimuovere il criterio di sessione corrispondente di Defender for Cloud Apps.
- Attendere l'accesso degli utenti all'applicazione tramite Microsoft Edge. In questo modo viene attivata automaticamente la rimozione dei criteri.
- Rimuovere l'utente/l'applicazione dall'ambito di applicazione dei criteri di Accesso Condizionale.
Opzione 2: Eliminare il file di criteri memorizzato nella cache (pulizia manuale)
- Passare a: C:\Users<username>\AppData\Local\Microsoft\Edge\
- Eliminare il file: mda_store.1.txt
Opzione 3: Rimuovere il profilo di lavoro in Microsoft Edge (pulizia manuale)
- Aprire Microsoft Edge.
- Passare a Impostazioni profilo.
- Eliminare il profilo di lavoro associato ai criteri di sessione obsoleti.
Ognuna di queste opzioni di mitigazione forza un aggiornamento dei criteri e risolve i problemi di imposizione correlati ai criteri di sessione obsoleti.