安全概览

Windows 365 for Agents构建在安全优先的体系结构上。 从标识和身份验证到威胁防护、数据管理和可审核性的每个层都旨在跨代理工作负载强制实施零信任原则。 本页提供Windows 365 for Agents的安全概述。

每台适用于代理的云电脑都Microsoft Entra加入并Microsoft Intune注册，这从第一天起就为代理提供托管标识和设备状态。 Windows 365 for Agents在 Microsoft Agent 365 中作为 MCP 工具公开，继承了平台的安全性和审核线索，Microsoft Defender提供威胁防护，Microsoft Purview 提供跨每个代理操作的数据治理和合规性可见性。

安全支柱概览

Windows 365 for Agents的安全模型围绕五大支柱进行组织。 每个支柱都涉及应用于代理工作负载的零信任框架的不同维度。

支柱	功能	了解详细信息
标识	代理使用独立于人类用户的专用Microsoft Entra代理用户帐户。 标识绑定到会话，而不是设备。 Microsoft Entra跨代理、云电脑和会话提供统一的标识和策略控制平面。	标识和安全性：设计安全
身份验证	基于令牌的身份验证以加密方式绑定到设备。 会话在每个连接上进行身份验证，在整个会话生命周期中使用标识和上下文信号进行持续验证。	代理身份验证模型
威胁防护	Microsoft Defender for Endpoint可以在云电脑上运行，提供实时检测、高级搜寻可见性、Defender for Cloud Apps监视和基于实时风险信号的实时控制。	使用 Microsoft Defender 进行威胁防护
数据治理	Microsoft Purview 将终结点数据丢失防护 (DLP) 、AI 数据安全态势管理 (DSPM) 和活动资源管理器扩展到代理工作负载，从而确保无论用户还是代理访问，敏感数据都得到一致的控制。	使用 Microsoft Purview 进行数据管理
网络安全	全局安全访问 (GSA) 通过管理员定义的配置文件路由 Internet 流量，将网络安全扩展到代理云电脑。 GSA 监视 Web 流量，并通过 Web 筛选和威胁阻止来帮助保护代理会话。	使用全局安全访问 (GSA) 的网络安全性
可审核性	Agent 365提供集中式治理和可审核性。 每个交互都会跨标识、访问和操作进行捕获和关联。 安全团队可以通过代理的执行和生成的操作跟踪来自发起的用户请求的活动。	治理和可审核性

代理工作负载的零信任原则

Windows 365 for Agents将零信任原则应用于每个代理会话。 零信任假定没有隐式信任;使用标识、设备和策略信号验证每个请求，而不管请求的来源或访问的资源是什么。

原则	它如何应用于Windows 365 for Agents
显式验证	每个代理会话都通过Microsoft Entra使用基于令牌的设备绑定凭据进行身份验证。 条件访问评估标识和上下文，仅允许从合规设备进行代理访问。
使用最低特权访问	资源访问权限显式分配给每个代理标识。 Intune 中的池分配确定哪些代理标识可以获取云电脑。 下游策略定义代理在连接后可以执行的操作。 条件访问策略可以显式阻止代理标识访问资源。
假定漏洞	云电脑是无状态的，并在每次代理会话后重置，这可确保不会保留任何凭据，也没有跨工作负载传递信任。 每个会话在专用的独立环境中运行。 Microsoft Defender提供持续的威胁检测，Microsoft Purview 监视数据访问。

安全性如何跨代理生命周期

安全控制融入到代理会话生命周期的每个阶段。 从预配云电脑到重置并返回到池的那一刻起，会持续强制实施标识、策略和保护。

生命周期阶段	发生的情况	安全控制措施
准备	云电脑池已预配、配置并可供代理使用。	IT 管理员使用映像、区域和大小定义池。 每台云电脑都已加入Microsoft Entra且Intune注册。 可以部署Microsoft Defender for Endpoint传感器。
获得	云电脑是为特定的调用方和会话保留的。	池分配确定授权的代理标识。
连接	已建立经过身份验证的会话，并且功能可用。	Microsoft Entra问题和验证令牌。 条件访问评估标识、设备和策略信号。 令牌以加密方式绑定到设备。
行动	代理使用可选的人工观察操作云电脑。	Intune设备安全策略由 Windows 和 Microsoft Edge 强制实施，以保护云电脑环境，而Microsoft Entra条件访问保护资源访问。 Microsoft Defender提供实时监视，Microsoft Purview 控制数据，并且所有操作都经过完全审核和归定。
发布	会话结束，云电脑重置，容量将返回到池。	销毁所有凭据和令牌。 云电脑将返回到其预配的基线。 审核日志已完成。

后续步骤

• 了解 Windows 365 for Agents 中的标识和安全性。