Использование условного доступа с Майкрософт Tunnel в Intune

Если среда Microsoft Intune использует условный доступ Майкрософт Entra, политики условного доступа можно использовать для доступа устройств к VPN-шлюзу Майкрософт Tunnel.

Для поддержки интеграции условного доступа и Майкрософт Tunnel используйте Microsoft Graph PowerShell , чтобы разрешить клиенту поддержку Майкрософт Tunnel. Включив поддержку Майкрософт Tunnel в клиенте, вы сможете создать политики условного доступа, которые будут применяться к приложению Майкрософт Tunnel.

Подготовка клиента к работе

Прежде чем приступать к настройке политик условного доступа для туннеля, вы должны разрешить клиенту поддержку Майкрософт Tunnel для условного доступа. Используйте модуль PowerShell Microsoft Graph и запустите сценарий PowerShell, чтобы изменить клиент, чтобы добавить шлюз Майкрософт Tunnel в качестве облачного приложения. После того как туннель будет добавлен как облачное приложение, его можно будет выбрать как часть политики условного доступа.

Важно!

Поддержка AzureAD PowerShell прекращена в марте 2025 г. Она заменена Microsoft Graph PowerShell. Дополнительные сведения см. в разделе Требуется действие: сведения и ресурсы для прекращения использования MSOnline и AzureAD PowerShell — 2025.

1. Скачайте и установитемодуль Майкрософт.Graph.

2. Скачайте скрипт PowerShell с именемmst-ca-provisioning.ps1 из https://aka.ms/mst-ca-provisioning.

3. Используя учетные данные с разрешениями роли Microsoft Entra ID, эквивалентными Intune администратору, запустите сценарий из любого расположения в вашей среде, чтобы подготовить клиент.

   Скрипт изменяет клиент, создавая субъект-службу со следующими сведениями:

   • Идентификатор приложения: 3678c9e9-9681-447a-974d-d19f668fcd88
   • Имя: шлюз Майкрософт Tunnel

   Добавление этого субъекта-службы требуется, чтобы можно было выбрать облачное приложение туннеля при настройке политик условного доступа. Кроме того, с помощью Graph можно добавить сведения о субъекте-службе в клиент.

4. После завершения выполнения скрипта вы можете создавать политики условного доступа обычным образом.

Условный доступ для ограничения доступа к Майкрософт Tunnel

Если вы будете использовать политику условного доступа для ограничения доступа пользователей, рекомендуется настраивать эту политику после подготовки клиента для поддержки облачного приложения шлюза Майкрософт Tunnel, но перед установкой шлюза туннеля.

1. Войдите в центр >администрирования Microsoft IntuneБезопасность конечной точки>Условный доступ>Создать политику. Центр администрирования предоставляет интерфейс Microsoft Entra для создания политик условного доступа.

2. Укажите имя для данной политики.

3. Чтобы настроить доступ пользователей и групп, в разделе Назначения выберите Пользователи и группы.

   1. Выберите Включить>Все пользователи.
   2. Затем выберите Исключить, а затем настройте группы, к которым требуется предоставить доступ, а затем сохраните конфигурацию пользователя и группы.

4. В разделе Целевые ресурсы> выберите Ресурсы для параметра Выберите, к чему применяется эта политика. В области включения Выберите ресурсы выберите шлюз Майкрософт Tunnel.

5. В разделе Элементы управления доступом нажмите Предоставить разрешения, выберите Блокировать доступ, а затем сохраните конфигурацию.

6. Переключите параметр Включить политику в положение Вкл..

7. Нажмите Создать.

Дополнительные сведения о создании политик условного доступа см. в разделе Создание политики условного доступа на основе информации об устройстве.

Связанные материалы

Мониторинг Майкрософт Tunnel