Protección de agentes que actúan como usuarios con acceso condicional

Use el acceso condicional para proteger un agente que accede a los recursos a través de su propia cuenta de usuario del agente, en lugar de (o además) de una identidad del agente. Este patrón de acceso admite agentes que necesitan un buzón, acceso al chat o la capacidad de participar en flujos de trabajo de colaboración como miembro del equipo.

En este patrón de acceso, el sujeto del token de acceso es la cuenta de usuario del agente. Por lo tanto, las directivas de acceso condicional se aplican a la cuenta de usuario del agente, no a su identidad como agente.

Antes de empezar, revise los requisitos de licencia, rol, usuario de agente, dispositivo y red.

Prerequisites

• Uno de los siguientes planes de licencia:
  • Microsoft 365 E7, que incluye el Agente 365 y Microsoft Entra Suite, para proporcionar gobernanza de identidades de usuario y agente.
  • una licencia de Microsoft Agent 365 combinada con al menos Microsoft Entra P1 o Microsoft 365 E3.
• Al menos el rol Administrador de acceso condicional .
• Una cuenta de usuario del agente vinculada a una identidad del agente.
• Para el cumplimiento de los requisitos de los dispositivos, un agente que se ejecute en un Windows 365 Cloud PC para agentes administrado por Intune.
• Para el cumplimiento de las directivas de red, un agente que se ejecute en un PC en la nube de Windows 365 para agentes administrado por Intune con el cliente Global Secure Access instalado.

Una directiva que tiene como destino una identidad del agente no se aplica a la cuenta de usuario del agente. Si el agente también usa su propia identidad, crea una política independiente para ese patrón de acceso. Para obtener más información, consulte Protección de agentes autónomos con acceso condicional.

Crear políticas para usuarios del agente

El acceso condicional amplía la aplicación de directivas a estos agentes autónomos similares al usuario. Los administradores pueden:

• Dirigirse a todos los usuarios del agente o seleccionar usuarios específicos del agente
• Aplicación de directivas mediante atributos de seguridad personalizados
• Aplicación de condiciones de riesgo del agente para bloquear agentes de riesgo
• Utiliza la condición de entornos de ejecución del agente para aplicar las directivas a los agentes que se ejecutan en puntos de conexión
• Exigir la conformidad de los dispositivos para los agentes que se ejecutan en dispositivos administrados (PCs en la nube de Windows 365)
• Exigir ubicaciones de red compatibles para los agentes que se ejecutan en puntos de conexión administrados (Windows 365 PC en la nube) con un cliente de acceso seguro global

Para crear una directiva de acceso condicional para los usuarios del agente, use la siguiente configuración:

• Asignaciones: En un flujo de acceso de agente, el token de acceso se emite a los usuarios del agente (el sujeto del token), por lo que la directiva se asigna a los agentes o a su plantilla de identidad de agente.
• Recursos de destino: seleccione los recursos a los que el agente necesita acceder.
• Condiciones: configure si desea que se aplique la directiva cuando el agente esté en un nivel de riesgo determinado. Por ejemplo, una directiva restrictiva para agentes que son de alto riesgo. Para obtener más información, consulte Protección de identificadores para agentes.
• Control de acceso: dado que este agente accede a los recursos con su propia identidad, no hay ninguna corrección y la única opción disponible está bloqueando el acceso.

Bloquear cuentas de usuario de agente de riesgo

Cree una directiva que bloquee las cuentas de usuario del agente cuando Protección de Microsoft Entra ID detecte el riesgo medio o alto del agente. El riesgo de agente se encuentra en fase de vista previa.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.
2. Vaya a Entra ID>Acceso Condicional>Políticas.
3. Seleccione Nueva directiva.
4. Escriba un nombre para la directiva.
5. En Asignaciones, seleccione Usuarios, agentes o identidades de carga de trabajo.
6. En ¿A qué se aplica esta directiva?, seleccione Agentes.
   1. En Incluir, seleccione Todos los usuarios del agente (versión preliminar).
7. En Recursos de> destinoIncluir, seleccione Todos los recursos (anteriormente "Todas las aplicaciones en la nube") .
8. En Condiciones>riesgo del agente (versión preliminar), establezca Configurar en Sí.
   1. Seleccione Medio y Alto.
9. En Controles de acceso>, seleccione Bloquear y, a continuación, seleccione Seleccionar.
10. Establezca Activar directiva en Solo informar.
11. Selecciona Crear.

Una vez confirmada la configuración con el impacto de la directiva o el modo de solo informe, cambie la selección de Habilitar directiva de Solo informe a Activado.

Requerir un dispositivo compatible

Algunos usuarios de agentes son agentes que utilizan ordenadores. Estos agentes operan un entorno de escritorio para completar tareas, de forma similar a cómo interactúa un usuario humano con las aplicaciones. Use esta directiva para un agente que se ejecute en un punto de conexión administrado, como un equipo en la nube de Windows 365 para agentes. La condición Entornos de ejecución del agente (versión preliminar) limita la directiva a las sesiones de usuario del agente que comienzan desde los puntos de conexión. Los agentes que no se ejecutan en un dispositivo se excluyen de la evaluación.

Ten en cuenta que no todos los agentes se ejecutan en terminales. Los agentes que se ejecutan directamente en la infraestructura de Microsoft no tienen un dispositivo asociado. Las directivas a las que se aplica esta condición no se aplican a esos agentes nativos en la nube, lo que evita el bloqueo no deseado.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.
2. Vaya a Entra ID>Acceso Condicional>Políticas.
3. Seleccione Nueva directiva.
4. Escriba un nombre para la directiva.
5. En Asignaciones, seleccione Usuarios, agentes o identidades de carga de trabajo.
   1. En ¿A qué se aplica esta directiva?, seleccione Agentes.
      1. En Incluir, seleccione Todos los usuarios del agente (versión preliminar).
6. En Recursos de> destinoIncluir, seleccione Todos los recursos (anteriormente "Todas las aplicaciones en la nube") .
7. En Condiciones>Entornos de ejecución del agente (versión preliminar), establezca Configurar en Sí.
   1. En Incluir, seleccione Sesiones de usuario del agente iniciadas desde puntos de conexión.
8. En Controles de acceso>Conceder, seleccione Conceder acceso.
   1. Seleccione Requerir que el dispositivo esté marcado como compatible y, a continuación, seleccione Seleccionar.
9. Establezca Activar directiva en Solo informar.
10. Selecciona Crear.

Una vez confirmada la configuración con el impacto de la directiva o el modo de solo informe, cambie la selección de Habilitar directiva de Solo informe a Activado.

Requerir una red compatible

Use esta directiva para requerir que los agentes que se ejecutan en los puntos de conexión se conecten a través de una red compatible mediante acceso seguro global. El cliente proporciona la señal de ubicación de red que evalúa el acceso condicional. Esto se aplica a los agentes que se ejecutan en un punto de conexión administrado, como un equipo en la nube de Windows 365 para agentes.

1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un administrador de acceso condicional.
2. Vaya a Entra ID>Acceso Condicional>Políticas.
3. Seleccione Nueva directiva.
4. Escriba un nombre para la directiva.
5. En Asignaciones, seleccione Usuarios, agentes o identidades de carga de trabajo.
   1. En ¿A qué se aplica esta directiva?, seleccione Agentes.
   2. En Incluir, seleccione Todos los usuarios del agente (versión preliminar).
6. En Recursos de> destinoIncluir, seleccione Todos los recursos (anteriormente "Todas las aplicaciones en la nube") .
7. En Condiciones>Entornos de ejecución del agente (versión preliminar), establezca Configurar en Sí.
   1. En Incluir, seleccione Sesiones de usuario del agente iniciadas desde puntos de conexión.
8. En Controles de acceso>Conceder, seleccione Conceder acceso.
   1. Seleccione Requerir red compatible y, a continuación, seleccione Seleccionar.
9. Establezca Activar directiva en Solo informar.
10. Selecciona Crear.

Una vez confirmada la configuración con el impacto de la directiva o el modo de solo informe, cambie la selección de Habilitar directiva de Solo informe a Activado.

Contenido relacionado

• Acceso condicional para agentes
• Identidades de agente de destino en directivas de acceso condicional
• Protección de agentes autónomos con Acceso condicional de Microsoft Entra
• Seguridad para la inteligencia artificial con la identidad del agente de Microsoft Entra
• Protección de Microsoft Entra ID y agentes