[この記事はプレリリース ドキュメントであり、変更されることがあります。]
Security Agent は、Power Pages Security ワークスペースに組み込まれている AI を利用したアシスタントであり、作成者が自然言語を使用してPower Pages サイトのセキュリティを確認、構成、強化するのに役立ちます。
エージェントは、セキュリティ体制の確認、認証と承認の構成、アプリケーションのセキュリティ設定の管理、一般的なセキュリティの問題のトラブルシューティングなど、Power Pages サイトのセキュリティ保護に関連する主要なセキュリティ シナリオをサポートします。 推奨事項はサイトの構成に基づいているため、一般的なガイダンスではなく、環境に基づいて情報に基づいて意思決定を行うことができます。
Important
- これはプレビュー機能です。
- プレビュー機能は運用環境での使用を想定しておらず、機能が制限されている可能性があります。 これらの機能は追加使用条件の対象であり、公式リリース前にアクセス可能です。これにより、お客様は早期に利用し、フィードバックを提供することができます。
構成を変更した場合、エージェントは更新を行う前に常に承認を要求するため、サイトのセキュリティを制御できます。
セキュリティ シナリオ
セキュリティ エージェントは、Power Pages サイト保護のコア領域をカバーする 4 つの主要なセキュリティ シナリオをサポートしています。
サイトのセキュリティ体制のレビュー
1 回の会話でサイトの全体的なセキュリティを確認します。 エージェントは、認証設定、承認構成、セキュリティ設定、脆弱性スキャンの結果、サイト構成を分析して、過度に制限されていないアクセス、匿名データの公開、認証の誤った構成、不足しているセキュリティ保護などの問題を特定します。 エージェントは、結果に優先順位を付け、プレーンな言語で説明し、推奨される修復手順を提供します。
プロンプトの例:
- サイトのセキュリティを確認し、優先度の最も高い問題を教えてください。
- 匿名ユーザーが現在アクセスできるすべての情報を表示します。
- 最新のセキュリティ スキャンの結果を要約します。
- 認証、承認、セキュリティの設定がベスト プラクティスに従うかどうかを確認します。
- 意図したよりも広範なアクセスを提供する Web ロールまたはアクセス許可を特定します。
- ページとテーブルのアクセス許可を確認し、不整合を強調表示します。
- 機密性の高い Dataverse テーブルが過度に制限されたアクセス許可によって公開されているかどうかを確認します。
- チームと共有できるセキュリティ体制レポートを作成します。
承認の構成
ユーザーがサイトのページと Dataverse データにアクセスする方法を構成します。 エージェントは、Web ロール、ページのアクセス許可、およびテーブルのアクセス許可の作成と更新に役立ちます。 既存の承認設定について説明し、サイトの構成に基づいて最小特権アクセスを推奨します。
プロンプトの例:
- すべての Web ロールとアクセスできるページを表示します。
- 認証されたユーザーの CaseReviewer という名前の Web ロールを作成します。
- CaseReviewer ロールを持つユーザーのみがアクセスできるように、SupportCases ページを制限します。
- CaseReviewer ロールがインシデントの読み取りと作成を許可するテーブルアクセス許可を作成します。
- このテーブルのアクセス許可をグローバル スコープから連絡先スコープに変更します。
- このテーブルのアクセス許可から匿名アクセスを削除します。
- Web ロールが割り当てられないすべてのテーブル権限を一覧表示します。
- RoleB と RoleC を持つユーザーは TestC にアクセスして TestForm を送信できますか?
認証の構成とトラブルシューティング
認証プロバイダーを構成し、認証設定を検証し、サインインに関する一般的な問題を診断します。 エージェントは、Microsoft Entra ID、OpenID Connect、SAML 2.0 をサポートしており、認証の問題を解決するための構成の更新を推奨します。
プロンプトの例:
- サイト認証のセットアップを確認し、正しく構成されていないことを教えてください。
- Microsoft Entra IDのサインイン設定を検証し、修正プログラムを推奨します。
- OpenID Connect の構成を検証します。
- ユーザーは [サインイン] をクリックしますが、サインイン ページに戻ります。 問題を特定するのに役立ちます。
- ユーザーは正常に認証されますが、サインイン後にアクセスが拒否されます。
- ローカル アカウントとMicrosoft Entra IDの両方をサポートするようにこのサイトを構成します。
- Microsoft Entra IDを既定のサインイン オプションとして設定します。
- 一部のユーザーに対してサインインが成功したが、他のユーザーに対して失敗する理由を調べるのに役立ちます。
アプリケーションのセキュリティ設定
コンテンツ セキュリティ ポリシー (CSP)、HTTP セキュリティ ヘッダー、CORS、Cookie 設定、セッション管理、WAF 関連の構成など、アプリケーション レベルのセキュリティ設定を確認して構成します。
プロンプトの例:
- 現在のコンテンツ セキュリティ ポリシーを確認し、改善を推奨します。
- JavaScript または CSS をブロックするコンテンツ セキュリティ ポリシーエラーを診断します。
- HTTP セキュリティ ヘッダーを確認して強化します。
- より安全な CORS 設定をお勧めします。
- 認証 Cookie の構成を確認します。
- 非アクティブなユーザーのセッション タイムアウトを更新します。
- 自分のサイトで WAF が有効になっているかどうかを確認し、現在の保護状態を説明します。
- アプリケーションのセキュリティ設定を確認し、改善を推奨します。
エージェントのしくみ
セキュリティ エージェントは、Power Pages Design Studio の [セキュリティ] ワークスペースにあります。 Security エージェントのチャット パネルを起動した後、自然言語を使用して実行する内容を説明します。 プロンプトの例を次に示します。
- サイトのセキュリティを確認します。
- Microsoft Entra ID認証を構成します。
- Sales ロールのアクセス許可を作成します。
- ユーザーがサインインできないのはなぜですか?
- コンテンツ セキュリティ ポリシーを構成します。
エージェントは、サイトの構成を分析し、その結果を説明し、必要に応じて構成の変更を提案します。 変更を適用する前に、承認が要求され、完了すると、更新された内容が正確に確認されます。
ベスト プラクティス
最適なエクスペリエンスを得る場合:
- 運用環境への変更を促進する前に、開発環境またはテスト環境でセキュリティ エージェントを使用します。
- 書き込みアクションを承認する前に、提案されたすべての構成変更を確認します。
- 会話エクスペリエンスを使用して、セキュリティの概念を理解し、サイトを構成します。
- 組織の標準的な ALM プロセスを使用して、承認された変更を検証して展開します。
推奨事項はサイトの構成に基づいているため、ガイダンスは、一般的なセキュリティのベスト プラクティスではなく、環境に合わせて調整されています。
関連するセキュリティ機能
セキュリティ エージェントに加えて、セキュリティ ワークスペースには、サイトを継続的に監視するのに役立つ自動化されたセキュリティ機能が含まれています。
セキュリティ スキャン (プレビュー) を使用すると、OWASP ベースのセキュリティ規則に対してサイトを評価する繰り返しの脆弱性スキャンをスケジュールできます。
サイト トラフィック監視 (プレビュー) は 、トラフィック パターンを継続的に分析して、疑わしいアクティビティと潜在的な攻撃を検出します。
両方の機能からの結果は、[セキュリティ] ワークスペースの [概要 ] ページにアラートとして表示されます。 そこから、アラートの詳細を確認したり、推奨されるアクションを直接実行したり、Security エージェントを開いて問題を理解したり、ガイド付き修復を受けたりすることができます。