Обзор системы безопасности

Windows 365 для агентов построена на архитектуре, ориентированной на безопасность. Каждый уровень — от удостоверений и проверки подлинности до защиты от угроз, управления данными и аудита — призван обеспечивать соблюдение принципов "Никому не доверяй" во всех рабочих нагрузках агентов. На этой странице представлен обзор системы безопасности Windows 365 для агентов.

Каждый облачный компьютер для агентов присоединен к Microsoft Entra и зарегистрирован в Microsoft Intune, что предоставляет агентам управляемое удостоверение и состояние устройства с первого дня. Предоставляемая как средство MCP в Microsoft Agent 365, Windows 365 для агентов наследует журнал безопасности и аудита платформы, при этом Microsoft Defender обеспечивает защиту от угроз, а Microsoft Purview обеспечивает управление данными и видимость соответствия требованиям для каждого действия агента.

Краткий обзор основ безопасности

Модель безопасности в Windows 365 для агентов состоит из пяти основных компонентов. Каждый компонент относится к отдельному измерению платформы "Никому не доверяй", применяемой к рабочим нагрузкам агентов.

Основа	Что делает	Дополнительные сведения
Удостоверение	Агенты используют выделенную учетную запись пользователя агента Microsoft Entra, отдельную от пользователей-людей. Удостоверение привязано к сеансу, а не к устройству. Microsoft Entra предоставляет унифицированную плоскость управления удостоверениями и политиками для агентов, облачных компьютеров и сеансов.	Удостоверение и безопасность: безопасность по замыслу
Проверка подлинности	Проверка подлинности на основе токенов криптографически привязана к устройству. Сеансы аутентификации проходят при каждом соединении, с непрерывной проверкой на протяжении всего жизненного цикла сеанса с помощью сигнальных обозначений идентификаторов и контекста.	Модель проверки подлинности агента
Защита от угроз	Microsoft Defender для конечной точки может работать на облачном компьютере, обеспечивая обнаружение в режиме реального времени, расширенную видимость поиска, мониторинг Defender for Cloud Apps и элементы управления "точно в срок" на основе сигналов риска в реальном времени.	Защита от угроз с помощью Microsoft Defender
Управление данными	Microsoft Purview расширяет защиту от потери данных в конечной точке (DLP), управление состоянием безопасности данных (DSPM) для ИИ и обозреватель активности до рабочих нагрузок агентов, что обеспечивает согласованное управление конфиденциальными данными независимо от того, к которым обращаются пользователи или агенты.	Управление данными с помощью Microsoft Purview
Базовые параметры безопасности	Базовые параметры безопасности Windows 365 для агентов предоставляют рекомендуемый набор параметров безопасности Microsoft Intune, адаптированный для компьютеров W365 для облака агентов. Это помогает организациям быстро установить согласованное состояние безопасности, позволяя администраторам настраивать параметры в соответствии со своими бизнес-требованиями и требованиями соответствия.	Базовые параметры безопасности
Сетевая безопасность	Глобальный безопасный доступ (GSA) расширяет сетевую безопасность для облачных компьютеров агентов, перенаправляя интернет-трафик через профили, определенные администратором. GSA отслеживает веб-трафик и помогает защитить сеансы агентов с помощью веб-фильтрации и блокировки угроз.	Сетевая безопасность благодаря глобальному безопасному доступу (GSA)
Возможность аудита	Agent 365 обеспечивает централизованное управление и аудит. Каждое взаимодействие фиксируется и сопоставляется с удостоверениями, доступом и действиями. Группы безопасности могут отслеживать активность от исходного запроса пользователя до выполнения агентом и результирующих действий.	Управление и аудит

Принципы "Никому не доверяй" для рабочих нагрузок агентов

Windows 365 для агентов применяет принципы "Никому не доверяй" к каждому сеансу агента. "Никому не доверяй" не предполагает неявного доверия; Каждый запрос проверяется с использованием сигнальных сигналов идентификатора, устройства и политики, независимо от того, откуда он исходит или к какому ресурсу он обращается.

Принцип	Как это применимо к Windows 365 для агентов
Выполняйте проверку явным образом.	Каждый сеанс агента проходит проверку подлинности через Microsoft Entra с помощью учетных данных на основе маркеров и привязанных к устройству. Условный доступ оценивает удостоверение и контекст и разрешает доступ агента только с совместимых устройств.
Использование доступа с минимальными правами	Доступ к ресурсам явно назначается каждому удостоверению агента. Назначение пула в Intune определяет, какие удостоверения агентов могут получать облачные компьютеры. Политики нисходящей последовательности определяют, что агенты могут делать после подключения. Политики условного доступа могут явно блокировать доступ к ресурсам для удостоверений агентов.
Предполагайте наличие бреши в системе безопасности	Облачные компьютеры не сохраняют состояние и сбрасываются после каждого сеанса агента, что гарантирует отсутствие сохранения учетных данных и отсутствия доверия между рабочими нагрузками. Каждый сеанс выполняется в выделенной, изолированной среде. Microsoft Defender непрерывно обнаруживает угрозы, а Microsoft Purview отслеживает доступ к данным.

Как безопасность охватывает жизненный цикл агента

Элементы управления безопасностью встроены в каждый этап жизненного цикла сеанса агента. С момента подготовки облачного компьютера до момента его сброса и возвращения в пул проверка удостоверений, политика и защита применяются непрерывно.

Этап жизненного цикла	Что происходит	Средства контроля безопасности
Подготовка	Пулы облачных компьютеров подготавливаются, настраиваются и становятся доступными для использования агентом.	ИТ-администраторы определяют пулы по изображениям, регионам и размеру. Каждый облачный компьютер присоединен к Microsoft Entra и зарегистрирован в Intune. Можно развернуть датчик Microsoft Defender для конечной точки.
Приобретение	Облачный компьютер зарезервирован для определенного абонента и сеанса.	Назначение пула определяет, какие удостоверения агентов будут авторизованы.
Связь	Устанавливается сеанс с проверкой подлинности, и возможности становятся доступными.	Microsoft Entra выдает и проверяет маркеры. Условный доступ оценивает сигналы удостоверения, устройства и политики. Маркеры криптографически привязаны к устройству.
Действие	Агент управляет облачным компьютером с дополнительным наблюдением за человеком.	Windows и Microsoft Edge применяют политики безопасности устройств Intune для защиты среды облачного компьютера, в то время как условный доступ Microsoft Entra обеспечивает доступ к ресурсам. Microsoft Defender обеспечивает мониторинг в режиме реального времени, Microsoft Purview управляет данными, а все действия полностью проверяются и атрибутируются.
Выпуск	Сеанс завершается, облачный компьютер сбрасывается, и ресурсы возвращаются в пул.	Все учетные данные и маркеры будут уничтожены. Облачный компьютер возвращается к подготовленному базовому плану. Завершается подготовка журналов аудита.

Дальнейшие действия

• Сведения об удостоверениях и безопасности в Windows 365 для агентов.