Panoramica sulla sicurezza

Windows 365 for Agents è basato su un'architettura security-first. Ogni livello, dall'identità e autenticazione alla protezione dalle minacce, alla governance dei dati e alla verificabilità, è progettato per applicare i principi Zero Trust nei carichi di lavoro degli agenti. In questa pagina viene fornita una panoramica della sicurezza di Windows 365 for Agents.

Ogni Cloud PC per agenti è iscritto a Microsoft Entra e iscritto a Microsoft Intune, il che offre agli agenti un'identità gestita e un comportamento del dispositivo fin dal primo giorno. Esposto come strumento MCP all'interno di Microsoft Agent 365, Windows 365 for Agents eredita la sicurezza e l'audit trail della piattaforma, con Microsoft Defender che fornisce protezione dalle minacce e Microsoft Purview che offre governance dei dati e visibilità della conformità in ogni azione dell'agente.

I pilastri della sicurezza in sintesi

Il modello di sicurezza per Windows 365 for Agents è organizzato attorno a cinque pilastri. Ogni pilastro affronta una dimensione distinta del framework Zero Trust applicato ai carichi di lavoro degli agenti.

Pilastro Funzione Ulteriori informazioni
Identità Gli agenti usano un account utente agente di Microsoft Entra dedicato, separato dagli utenti umani. L'identità è associata alla sessione, non al dispositivo. Microsoft Entra fornisce un piano di controllo unificato di identità e criteri tra agenti, PC cloud e sessioni. Identità e sicurezza: secure by design
Autenticazione L'autenticazione basata su token è associata crittograficamente al dispositivo. Le sessioni sono autenticate su ogni connessione, con verifica continua per tutto il ciclo di vita della sessione usando segnali di identità e contesto. Modello di autenticazione agente
Protezione dalle minacce Microsoft Defender per endpoint può essere eseguito nel PC cloud, offrendo rilevamento in tempo reale, visibilità della ricerca avanzata, monitoraggio di Defender for Cloud Apps e controlli just-in-time basati su segnali di rischio in tempo reale. Protezione dalle minacce con Microsoft Defender
Governance dei dati Microsoft Purview estende la prevenzione della perdita dei dati degli endpoint (DLP), la gestione della postura di sicurezza dei dati (DSPM) per l'intelligenza artificiale e Esplora attività ai carichi di lavoro degli agenti, in modo da garantire che i dati sensibili siano governati in modo coerente indipendentemente dall'accesso da parte di utenti o agenti. Governance dei dati con Microsoft Purview
Linea di base per la sicurezza La baseline di sicurezza di Windows 365 for Agents fornisce un set consigliato di impostazioni di sicurezza di Microsoft Intune personalizzate per W365 for Agent Cloud PCs. Aiuta le organizzazioni a stabilire rapidamente una postura di sicurezza coerente, consentendo agli amministratori di personalizzare le impostazioni per soddisfare i requisiti aziendali e di conformità. Linea di base per la sicurezza
Sicurezza della rete Global Secure Access (GSA) estende la sicurezza di rete ai PC cloud degli agenti instradando il traffico Internet attraverso profili definiti dall'amministratore. GSA monitora il traffico Web e aiuta a proteggere le sessioni degli agenti con il filtro Web e il blocco delle minacce. Sicurezza di rete con Global Secure Access (GSA)
Verificabilità Agent 365 fornisce governance centralizzata e verificabilità. Ogni interazione viene acquisita e correlata tra identità, accesso e azioni. I team di sicurezza possono tenere traccia dell'attività dalla richiesta dell'utente di origine fino all'esecuzione dell'agente e alle azioni risultanti. Governance e verificabilità

Principi Zero Trust per i carichi di lavoro degli agenti

Windows 365 for Agents applica principi Zero Trust a ogni sessione dell'agente. Zero Trust non presuppone alcuna attendibilità implicita; ogni richiesta viene convalidata usando segnali di identità, dispositivo e criteri, indipendentemente da dove proviene o dalla risorsa a cui accede.

Principio Come si applica a Windows 365 for Agents
Verificare esplicitamente Ogni sessione dell'agente viene autenticata tramite Microsoft Entra con credenziali legate al dispositivo basate su token. L'accesso condizionale valuta l'identità e il contesto e consente l'accesso agli agenti solo da dispositivi conformi.
Usare l'accesso con privilegi minimi L'accesso alle risorse viene assegnato in modo esplicito all'identità di ogni agente. L'assegnazione del pool in Intune determina quali identità degli agenti possono acquisire i PC cloud. Le policy downstream definiscono cosa possono fare gli agenti dopo la connessione. I criteri di accesso condizionale possono impedire esplicitamente alle identità degli agenti di accedere alle risorse.
Presupporre le violazioni I PC cloud sono senza stato e reimpostati dopo ogni sessione dell'agente, il che garantisce che non vengano mantenute le credenziali e che non venga trasferita alcuna attendibilità tra i carichi di lavoro. Ogni sessione viene eseguita in un ambiente dedicato e isolato. Microsoft Defender fornisce il rilevamento continuo delle minacce e Microsoft Purview monitora l'accesso ai dati.

Estensione della sicurezza al ciclo di vita degli agenti

I controlli di sicurezza sono integrati in ogni fase del ciclo di vita della sessione dell'agente. Dal momento in cui viene effettuato il provisioning di un Cloud PC al momento in cui viene reimpostato e restituito al pool, l'identità, i criteri e la protezione vengono applicati continuamente.

Fase del ciclo di vita Effetto Controlli di sicurezza
Preparazione I pool di PC cloud vengono forniti, configurati e resi disponibili per l'uso da parte degli agenti. Gli amministratori IT definiscono i pool con immagini, aree e dimensioni. Ogni Cloud PC è aggiunto a Microsoft Entra e registrato a Intune. È possibile distribuire il sensore Microsoft Defender per endpoint.
Acquisisci Un Cloud PC è riservato per un chiamante e una sessione specifici. L'assegnazione del pool determina quali identità degli agenti sono autorizzate.
Connessione Viene stabilita una sessione autenticata e le funzionalità diventano disponibili. Microsoft Entra rilascia e convalida i token. L'accesso condizionale valuta i segnali di identità, dispositivi e criteri. I token sono associati crittograficamente al dispositivo.
Azione L'agente aziona il Cloud PC, con l'osservazione umana opzionale. I criteri di sicurezza dei dispositivi di Intune vengono applicati da Windows e Microsoft Edge per proteggere l'ambiente Cloud PC, mentre l'accesso condizionale di Microsoft Entra protegge l'accesso alle risorse. Microsoft Defender fornisce il monitoraggio in tempo reale, Microsoft Purview governa i dati e tutte le azioni sono completamente controllate e attribuite.
Rilascio La sessione termina, il Cloud PC viene reimpostato e la capacità torna nel pool. Tutte le credenziali e i token vengono eliminati. Il Cloud PC torna alla baseline di cui è stato effettuato il provisioning. I log di controllo sono finalizzati.

Passaggi successivi

  • Last updated on