Richtlinien für bedingten Zugriff für Windows 365 Link

Im Rahmen der Einrichtung der Umgebung Ihrer Organisation zur Unterstützung von Windows 365 Link müssen Sie sicherstellen, dass Ihre Richtlinien für bedingten Zugriff sowohl die Anmeldung als auch die Verbindung von Windows 365 Link-Geräten berücksichtigen. Wenn bedingter Zugriff verwendet wird, um Ressourcen zu schützen, die für den Zugriff auf Windows 365 Cloud PCs verwendet werden, wie unter Festlegen von Richtlinien für bedingten Zugriff für Windows 365 beschrieben, muss auch eine andere Richtlinie für bedingten Zugriff verwendet werden, um die Benutzeraktion zum Registrieren oder Beitreten von Geräten zu schützen. Wenn diese zweite Richtlinie nicht erstellt wird, kann die Windows 365 Link-Authentifizierung fehlschlagen.

Führen Sie die folgenden Schritte aus, um zu entscheiden, ob Sie eine Benutzeraktionsrichtlinie benötigen:

1. Überprüfen Sie, ob beim Herstellen einer Verbindung mit Windows 365-Ressourcen Richtlinien ausgelöst werden.
2. Erstellen Sie eine neue Benutzeraktionsrichtlinie mit denselben Zugriffskontrollen.

Funktionsweise der Windows 365 Link-Authentifizierung

Windows 365 Cloud-PC-Geräte authentifizieren sich in zwei aufeinander folgenden Phasen:

1. Interaktive Anmeldung: Wenn sich der Benutzer auf dem Anmeldebildschirm von Windows 365 Link anmeldet, kann dies Richtlinien für bedingten Zugriff auslösen, die auf Aktionen zum Registrieren oder Beitreten von Geräten angewendet werden. Benutzern können Nachrichten angezeigt oder zu stärkeren mehrstufigen Authentifizierungsmethoden aufgefordert werden. In dieser Phase wird das Token generiert, das in der zweiten Phase verwendet wird.

2. Nicht-interaktive Verbindungen mit Cloud-PC-Ressourcen mittels einmaligem Anmelden: In dieser Phase können Richtlinien für bedingten Zugriff ausgelöst werden, wenn sie auf Ressourcen wie Windows 365, Windows Cloud Login und Alle Ressourcen angewendet werden. Benutzer können in dieser Phase nicht aufgefordert oder herausgefordert werden. Wenn eine stärkere Authentifizierung erforderlich ist, wird die Verbindung unterbrochen, und dem Benutzer wird ein Fehler angezeigt, dass kein interaktives Fenster angezeigt werden kann.

Überprüfen vorhandener Richtlinien

Sie können das Tool "Was wäre, wenn" verwenden, um zu ermitteln, ob während der nicht interaktiven Verbindungsphase Richtlinien für bedingten Zugriff auf relevante Windows 365-Ressourcen angewendet werden. Dies schließt eine Richtlinie ein, die auf alle Ressourcen (zuvor Alle Cloud-Apps) angewendet wird.

1. Melden Sie sich beim Microsoft Entra Admin Center>Protection-Richtlinien>>für bedingten Zugriff>an What if.
2. Wählen Sie unter Benutzer- oder Workloadidentität einen Benutzer zum Testen aus.
3. Wählen Sie für Cloud-Apps, Aktionen oder Authentifizierungskontext die Option Beliebige Cloud-App aus.
4. Lassen Sie für Zieltyp auswählenCloud-App ausgewählt.
5. Wählen Sie Apps auswählen und dann die folgenden Ressourcen aus, falls diese verfügbar sind:
   • Windows 365 (App-ID 0af06dc6-e4b5-4f28-818e-e78e62d137a5).
   • Azure Virtual Desktop (App-ID 9cdead84-a844-4324-93f2-b2e6bb768d07).
   • Windows Cloud-Anmeldung (App-ID 270efc09-cd0d-444b-a71f-39af4910ec45).
6. Wählen Sie "What If" aus.

Überprüfen Sie jede der anzuwendenden Richtlinien, und legen Sie die Zugriffskontrollen fest, die zum Gewähren des Zugriffs auf diese Ressourcen und Sitzungseinstellungen verwendet werden. Notieren Sie sich diese Richtlinien für die Verwendung beim Erstellen der neuen Benutzeraktionsrichtlinien im nächsten Abschnitt.

Neue Richtlinie für bedingten Zugriff für interaktive Anmeldephase erstellen

Mit den Informationen, die Sie aus dem Tool "Was wäre wenn " im vorherigen Abschnitt gesammelt haben, können Sie nun eine neue Richtlinie für den bedingten Zugriff erstellen, um die gleichen Steuerelemente für die Anmeldephase zu erfordern.

1. Melden Sie sich beim Microsoft Entra Admin Center>anProtection>Richtlinien>für bedingten Zugriff>Neue Richtlinie
2. Geben Sie Ihrer Richtlinie einen Namen. Erwägen Sie die Verwendung eines aussagekräftigen Standards für Richtliniennamen.
3. Wählen Sie unter"Zuweisungen von Benutzern>" die Option "0 ausgewählte Benutzer und Gruppen" aus.
4. Wählen Sie unter "Einschließen" die Option "Alle Benutzer" aus, oder wählen Sie eine Gruppe von Benutzern aus, die sich über Windows 365 Link-Geräte anmelden.
5. Wählen Sie unter "Ausschließen" die Option "Benutzer und Gruppen>" aus, wählen Sie die Notfallzugriffs- oder Break-Glass-Konten Ihrer organization aus.
6. Wählen Sie unter "Zielressourcen>"die Option "Geräte registrieren oder verknüpfen" aus.
7. Verwenden Sie unter "Zugriffssteuerungen>gewähren" die gleichen Steuerelemente, die Sie zuvor mit dem Tool "Was wäre wenn " gefunden haben.
8. Bestätigen Sie Ihre Einstellungen, und legen Sie Richtlinie aktivieren auf "Nur Bericht" fest.
9. Wählen Sie Erstellen aus.
10. Nachdem Sie die Einstellungen im Modus "Nur Bericht" bestätigt haben, ändern Sie den Umschalter Richtlinie aktivieren von "Nur Bericht" in "Ein".

Während diese Schritte speziell für das Aktivieren der interaktiven Authentifizierung auf Windows 365 Link-Geräten vorgesehen sind, wird die resultierende Benutzeraktionsrichtlinie auch angewendet, wenn Benutzer Geräte bei Microsoft Entra ID registrieren oder mit dieser verknüpfen.

Weitere Informationen zum Erstellen von Richtlinien für bedingten Zugriff für die Geräteregistrierung, einschließlich potenzieller Konflikte, finden Sie unter Erfordern der mehrstufigen Authentifizierung für die Geräteregistrierung.

Weitere Informationen zu Benutzeraktionen mit bedingtem Zugriff finden Sie unter Benutzeraktionen.

Weitere Informationen zum Erstellen von Richtlinien für bedingten Zugriff für Ressourcen, die für Windows 365 verwendet werden, finden Sie unter Festlegen von Richtlinien für bedingten Zugriff.

Nächste Schritte

Zustimmungsaufforderung für einmaliges Anmelden unterdrücken.