База знаний агента оптимизации условного доступа

Организации, использующие политики условного доступа для защиты доступа к ресурсам, должны устанавливать стандарты и шаблоны, чтобы оставаться упорядоченными. Например, наличие согласованного соглашения об именовании может обеспечить упорядочение и предотвратить перекрытие политики или пробелы. Агент оптимизации условного доступа может использовать документ из вашей организации, который сопоставляет эти стандарты, чтобы агент мог рассуждать в контексте, используя вами разработанные шаблоны.

Вместо того чтобы полагаться только на универсальные рекомендации, агент включает собственные соглашения вашей организации, такие как политики имен, то, как вы отделяете администраторов от обычных пользователей и какие учетные записи всегда должны быть исключены. Это помогает создавать рекомендации, которые лучше отражают управление условным доступом в клиенте.

Базы знаний особенно полезны в средах, где:

• Для различных пользователей требуются различные наборы политик, такие как администраторы, пользователи рабочей силы и подрядчики.
• Применяются стандарты именования политик
• Учетные записи аварийного доступа должны всегда исключаться
• Определенный набор требуемых политик условного доступа должен поддерживаться в клиенте.

Как работает база знаний

Общий процесс настройки и использования базы знаний выглядит следующим образом:

1. Руководство по отправке: администратор отправляет один документ Word (.docx) или PDF-документ, описывающий стандарты условного доступа организации. Вы можете скачать шаблон или отправить собственный документ.

2. Интерпретация агента. Агент анализирует документ и извлекает рекомендации, связанные с условным доступом, даже если он внедрен в более широкую систему управления или операционную документацию.

3. Структурированное понимание: агент создает сводку по естественному языку, представляющую свое понимание отправленного руководства.

4. Приложение к будущим рекомендациям. Утвержденное понимание применяется к будущим рекомендациям условного доступа, созданным агентом. Существующие рекомендации не изменяются ретроактивно.

Компоненты файлов базы знаний

Доступный и эффективный файл базы знаний должен быть подробным, конкретным и структурированным. Файл должен содержать четкие и практические сведения, которые агент оптимизации условного доступа может использовать для принятия обоснованных решений.

Шаблон можно скачать из параметров агента для использования в качестве отправной точки. Шаблон предоставляет структурированный формат с разделами для каждой поддерживаемой категории, чтобы можно было заполнить конкретные сведения организации.

Разработка стратегии на основе персоны

Узнайте, как разные группы пользователей в организации защищены с помощью политик условного доступа. Если несколько политик применяют один и тот же элемент управления (например, MFA), агент использует это руководство для выбора правильной политики на основе личности пользователя. Вот некоторые примеры.

• Обычные пользователи рабочей силы включены в базовые политики
• Администраторы могут быть включены как в базовые политики, так и в отдельный набор политик для их конкретных потребностей
• Подрядчики управляются собственными политиками, отдельно от базовых показателей

Если стратегия условного доступа применяет определенные политики к сотрудникам с полным временем, опишите, как определяются сотрудники с полным временем. Например, определяются ли эти сотрудники по определенным атрибутам пользователя или принадлежности к группам?

Будьте явными. Если структура вашей политики, ориентированной на пользователей, основана на ролях, укажите точные встроенные роли Microsoft Entra ID. Например, используйте термин "Администратор условного доступа", а не "пользователи с правами администратора".

Правила именования политик

Укажите способ именования политик условного доступа, включая требуемую структуру, упорядочивание и терминологию.

Агент использует это руководство, если:

• Создание новых политик
• Объединение аналогичных политик
• Создание рекомендаций по переименованию политики

Обработка аварийной учетной записи

Вы можете определить, какие учетные записи или группы представляют идентичности аварийного доступа (breakglass) и как их нужно исключать.

Агент применяет это руководство, если:

• Создание новых политик
• Определение отсутствующих исключений
• Рекомендации по обновлению существующих политик

Требуемые политики условного доступа

Определите набор политик условного доступа, которые ожидается, что ваша организация будет иметь в клиенте. Для каждой требуемой политики опишите целевых пользователей, приложений, условий и предоставьте элементы управления, которые должна применять политика.

Агент использует эти указания, чтобы:

• Проверьте текущие политики условного доступа на соответствие желаемому состоянию
• Определение пробелов, в которых необходимые политики отсутствуют или не являются неполными
• Предложить новые политики для закрытия пробелов в охвате и выравнивания с предполагаемой конфигурацией вашей организации

Например, если вашей организации требуется, чтобы все гостевые пользователи прошли проверку подлинности с помощью MFA при доступе к любому облачному приложению, опишите это ожидание в базе знаний. Агент сравнивает требуемое состояние с политиками, настроенными в настоящее время в клиенте, и предоставляет рекомендации по любым отсутствующим политикам.

Напишите каждую нужную политику в виде полной инструкции. Рассмотрим пример.

• Создание политики условного доступа, требующей многофакторной проверки подлинности и соответствующего устройства для всех пользователей, обращаюющихся к Office 365 из Windows или macOS. Исключите аварийные и служебные учетные записи. Задайте политику только для отчетов".
• "Создайте политику условного доступа, которая блокирует устаревшую проверку подлинности для всех пользователей, обращаюющихся ко всем приложениям. Исключите группу EmergencyAccess. Задайте для политики значение "Включено".

Добавление файла в базу знаний

Чтобы упростить процесс установки, можно скачать шаблон для использования в качестве отправной точки. Шаблон доступен непосредственно в параметрах агента.

1. Войдите в Центр администрирования Microsoft Entra как минимум в качестве Администратора безопасности.

2. Перейдите к Агенту оптимизации условного доступа>Параметры>Источники знаний.

3. Выберите "Скачать шаблон файла ", чтобы скачать файл шаблона базы знаний.

4. Откройте шаблон (CA_Knowledge_Base_Template.docx) и замените текст-заполнитель на принятые в вашей организации стандарты условного доступа, правила именования, аварийные учетные записи и требуемые политики.

5. Сохраните файл в виде Word (.docx) или PDF-документа.

6. Вернитесь в раздел "Источники знаний " и нажмите кнопку "Отправить ".

   

7. Перетащите файл на открывающуюся панель или выберите " Отправить файл ", чтобы перейти к файлу на компьютере.

   

Агент обрабатывает файл и анализирует его, чтобы убедиться, что он содержит необходимые сведения.

Note

Вам не требуется использовать шаблон. Вы можете отправить любой документ Word (.docx) или PDF-документ, содержащий стандарты условного доступа вашей организации. Шаблон предоставляет удобную отправную точку с разделами для каждой поддерживаемой категории.

Рекомендации, на которые влияет база знаний

После успешного добавления рекомендаций в базу знаний агент оптимизации условного доступа может выполнить инструкции в следующих сценариях:

• Создание базовой политики. Новые рекомендуемые политики соответствуют стандартам именования клиента и включают правильные исключения.

• Предложения слияния политик. При консолидации аналогичных политик результирующая политика отражает стандарты вашей организации.

• Исправление смещения пользователей. Если новые пользователи выходят за рамки существующего покрытия, агент выбирает соответствующую политику в соответствии с рекомендациями пользователя.

• Устранение аварийного доступа: Рекомендации по исключению учетных записей для экстренного доступа, включая нужные пользователи или группы.

• Исправление именования политик. Если политика не соответствует определенным стандартам именования, агент рекомендует соответствующую именованную замену.

• Аудит требуемой политики. При определении предполагаемых политик условного доступа агент сравнивает их с текущей конфигурацией и рекомендует новым политикам закрыть все пробелы.

Когда следует использовать базу знаний?

Рекомендуется использовать базу знаний, если ваша организация:

• Поддерживает строгие стандарты именования условного доступа
• Разделяет политики по персональным характеристикам пользователя или профилю риска.
• Регулярно проводит аудит политик условного доступа
• Нужны рекомендации для согласования с внутренними процессами управления
• Необходимо определить и обеспечить применение определенного набора политик условного доступа во всем тенанте.

Рекомендации по написанию документа базы знаний

Качество рекомендаций агента зависит от четкости и специфики документа базы знаний. Выполните следующие рекомендации, чтобы получить лучшие результаты:

• Будьте явными и конкретными. Используйте точные Microsoft Entra имена объектов, имена групп и имена ролей. Например, можно сказать "Администратор условного доступа" вместо "пользователей с правами администратора".
• Напишите полные инструкции. Каждое утверждение должно быть самодостаточным. Вместо перечисления маркированных точек напишите полные предложения, описывающие предполагаемое поведение.
• Определите свои термины. Если в вашей организации используются такие лица, как "Admin" или "Guest", определите именно тех, кто принадлежит каждому пользователю с помощью ролей, членства в группах или атрибутов пользователя.
• Укажите область применения для каждого требования. Укажите, какие пользователи, приложения, условия, элементы управления и исключения применяются. Не заставляйте агента додумывать недостающие детали.
• Используйте предоставленный шаблон. Скачайте шаблон базы знаний из раздела "Источники знаний " параметров агента, чтобы убедиться, что документ соответствует ожидаемой структуре.

Шаблон базы знаний содержит разделы для следующих разделов:

• Правила именования: точный формат и допустимые значения для именования политик условного доступа.
• Учетные записи для аварийного доступа: учетные записи или группы, назначенные для аварийного доступа, и правила их исключения.
• Определения persona и охват политики: сегментирование групп пользователей и применение политик к каждому человеку.
• Базовые требования к политике: список ожидаемых состояний политики, описывающих минимальные элементы управления доступом в организации.

Tip

Замените весь текст-заполнитель в шаблоне на информацию, относящуюся к вашему арендатору. Универсальные или расплывчатые описания снижают способность агента создавать соответствующие предложения.

Область и ограничения

База знаний имеет следующие ограничения:

• Один документ базы знаний для каждого клиента
• Поддерживаемые форматы файлов: Word (.docx) и PDF
• Максимальный размер файла: 5 МБ
• База знаний применяется только к будущим запускам агента

Процесс отправки может завершиться ошибкой, если документ не соответствует перечисленным критериям. Если у документа есть метка конфиденциальности, отправка также может завершиться ошибкой. Так как организации могут настраивать критерии меток конфиденциальности, мы не можем предложить определенную метку конфиденциальности.