Omówienie zabezpieczeń tożsamości

Windows 365 for Agents zapewnia środowisko wykonywania dla obciążeń agentów, łącząc Microsoft Entra tożsamość, izolację komputera w chmurze i mechanizmy kontroli zabezpieczeń platformy Microsoft 365, zarządzane kompleksowo przez zasady Zero Trust. Każdy komputer w chmurze jest przyłączony Microsoft Entra i zarejestrowany Microsoft Intune, co zapewnia agentom tożsamość zarządzaną i stan urządzenia od pierwszego dnia. Uwidoczniona jako narzędzie MCP w ramach Agent 365, dziedziczy ślad zabezpieczeń i inspekcji platformy, a Microsoft Defender zapewnia ochronę przed zagrożeniami, a usługa Microsoft Purview zapewnia wgląd w zarządzanie danymi i zgodność w ramach każdej akcji agenta.

Komputery w chmurze dla agentów to:

  • Pula: dynamicznie przypisywana z puli udostępnionej na zadanie.
  • Bezstanowe: Resetuj po każdej sesji agenta bez przesuń stanu do przodu
  • Programowe: dostęp do agentów, a nie użytkowników interakcyjnych.

Windows 365 for Agents integruje tożsamość, uwierzytelnianie i zaufanie urządzeń do każdej sesji agenta, co gwarantuje, że wszystkie akcje są zarządzane, izolowane i podlegają inspekcji. Przy użyciu podejścia typu identity-first, Zero Trust każde żądanie agenta jest weryfikowane przy użyciu sygnałów tożsamości, urządzeń i zasad, a mechanizmy zabezpieczeń są wymuszane w całym cyklu życia sesji.

Dlaczego tożsamość ma tutaj znaczenie

Tożsamość ma kluczowe znaczenie dla sposobu, w jaki Windows 365 for Agents zapewnia bezpieczną automatyzację na dużą skalę.

Możliwości Co umożliwia
Umożliwia bezpieczne buforowanie Wielu agentów współużytkuje infrastrukturę bez udostępniania tożsamości.
Dostęp o zakresie sesji Każde połączenie jest uwierzytelniane i zarządzane przez zasady.
Obsługuje efemeryczne obliczenia Tożsamość jest przenoszona z sesją, a nie z urządzeniem.
Wymusza izolację Sesje są niezależne i resetowane między zastosowaniami.
Pełna możliwość inspekcji Każda akcja sięga tożsamości określonego użytkownika agenta.

Razem ten model zapewnia, że agenci mogą działać na dużą skalę, w ramach współdzielonej, dynamicznej infrastruktury, pozostając w pełni regulowanym w granicach zabezpieczeń i zgodności przedsiębiorstwa. Agenci uzyskują dostęp, którego potrzebują, aby zapewnić produktywność w ramach tych samych barier przedsiębiorstwa, co użytkownicy.

Integracja tożsamości z Microsoft Entra

Microsoft Entra udostępnia ujednoliconą płaszczyznę kontroli tożsamości i zasad między agentami (zobacz dokumentację Identyfikator agenta Microsoft Entra), komputery w chmurze i sesje. W Windows 365 for Agents agenci nie mają przypisanego dedykowanego urządzenia. Zamiast tego wyewidencjonują komputer w chmurze z przypisanej puli komputerów w chmurze na zadanie, używają go, a następnie zaewidencjonują go z powrotem do puli po zakończeniu zadania, co powoduje zresetowanie. Tożsamość użytkownika agenta jest powiązana z sesją, a nie urządzeniem. Uwierzytelnianie jest ponownie nawiązywane dla każdego połączenia, a dostęp jest stale regulowany przez zasady.

Tożsamości agenta

Każdy agent używa dedykowanej tożsamości użytkownika agenta Microsoft Entra, oddzielonej od użytkowników ludzkich i bezproblemowo uwierzytelnia się za pomocą przepływów opartych na tokenach do Windows 365 for Agents maszyn wirtualnych. Dostęp do zasobów jest jawnie przypisywany do każdej tożsamości agenta, a zarządzanie cyklem życia (tworzenie, wyłączanie, inspekcja) jest centralnie zarządzane w Agent 365. Ten model umożliwia wielu agentom współużytkowanie puli komputerów w chmurze przy zachowaniu ścisłej kontroli na poziomie tożsamości, widoczności i dzienników inspekcji. Agenci nigdy nie będą używać ponownie poświadczeń użytkownika ani personifikować ich, co zapewnia wyraźną granicę zabezpieczeń. Windows 365 for Agents maszyny wirtualne są tylko agentami i są ściśle zarezerwowane dla obciążeń agentów programowych, co gwarantuje, że tylko autoryzowane tożsamości agentów mogą inicjować sesje, uruchamiać zadania lub uzyskiwać dostęp do zasobów. Ten projekt wymusza silną izolację między zautomatyzowanymi agentami a użytkownikami ludzkimi, co dodatkowo zmniejsza ryzyko i utrzymuje bezpieczną granicę z możliwością inspekcji.

Wymuszanie zasad w całym cyklu życia

Wymuszanie zasad obejmuje cykl życia agenta:

  • Kontrola tożsamości: Microsoft Entra jako scentralizowana płaszczyzna tożsamości i zasad.
  • Przypisywanie puli dla agentów w Intune: określa, które tożsamości agentów mogą uzyskiwać komputery w chmurze.
  • Ustanowienie sesji: Microsoft Entra dostęp warunkowy ocenia tożsamość i kontekst przed zezwoleniem na połączenie.
  • Dostęp do zasobów: zasady podrzędne definiują, co agenci mogą zrobić po nawiązaniu połączenia.

Takie podejście utrzymuje agentów w tych samych granicach zabezpieczeń przedsiębiorstwa co użytkownicy, nawet jako programowi, autonomiczni aktorzy.

Windows 365 for Agents integruje się z zasadami dostępu warunkowego dla tożsamości użytkowników agenta w celu wymuszania kontroli dostępu opartej na zasadach dla tożsamości użytkowników agenta, traktowanej tak jak użytkownicy.

Z dostępem warunkowym:

  • Dostęp jest oceniany w czasie rzeczywistym przy użyciu tożsamości i sygnałów kontekstowych.
  • Zasady zapewniają, że agenci działają tylko w zaufanych, zgodnych środowiskach.
  • Dostęp może być dynamicznie dozwolony, ograniczony lub blokowany na podstawie ryzyka.

Takie podejście umożliwia:

  • Wymuszanie dostępu warunkowego na podstawie zgodności urządzeń przy użyciu kontrolek udzielania.
  • Stosowanie spójnych zasad zarówno dla agentów, jak i użytkowników.

Rozszerzając Zero Trust poza uwierzytelnianie, każde żądanie agenta jest stale weryfikowane i zarządzane. Możesz jawnie zablokować ryzykownych lub niezatwierdzone agentów, co gwarantuje, że tylko przejrzani i zgodni agenci będą mogli uzyskiwać dostęp do zasobów.

Kompleksowy dziennik inspekcji

Ponieważ każdy użytkownik ludzki i użytkownik agenta mają odrębne tożsamości Microsoft Entra, każda akcja jest poprawnie przypisywana w całym łańcuchu delegowania. Administratorzy mogą śledzić żądanie od momentu, gdy użytkownik wyświetli monit o agenta za pośrednictwem każdego zadania wykonywanego przez agenta w jego imieniu, a działanie jest skorelowane między:

  • Agent 365: monit użytkownika źródłowego i wykonanie zadania agenta.
  • Microsoft Entra dzienniki logowania: zdarzenia uwierzytelniania zarówno dla użytkownika ludzkiego, jak i tożsamości użytkownika agenta.
  • Microsoft Defender: sygnały zagrożeń i zdarzenia zabezpieczeń powiązane z sesją.
  • Microsoft Purview: dostęp do danych, zgodność i działania nadzoru.

Ten ujednolicony widok inspekcji zapewnia zespołom ds. zabezpieczeń i zgodności jeden spójny zapis tego, kto zainicjował, który agent działał i co zrobił agent. Zachowuje odpowiedzialność nawet wtedy, gdy praca jest delegowana do agentów autonomicznych.

Aby uzyskać więcej informacji, zobacz Zabezpieczanie agentów sztucznej inteligencji na dużą skalę przy użyciu Microsoft Agent 365.

Następne kroki

Zawartość pokrewna

  • Last updated on