Directivas de acceso condicional para Windows 365 Link

Como parte de la configuración del entorno de su organización para admitir Windows 365 Link, debe asegurarse de que las directivas de acceso condicional se adapten tanto al inicio de sesión como a la conexión desde dispositivos de Windows 365 Link. Si se usa el acceso condicional para proteger los recursos que se usan para obtener acceso a equipos en la nube con Windows 365, como se describe en Establecer directivas de acceso condicional para Windows 365, también se debe usar otra directiva de acceso condicional para proteger la acción del usuario de registrar o unir dispositivos. Si no se crea esta segunda directiva, puede que se produzca un error en la autenticación de Windows 365 Link.

Para decidir si necesita una directiva de acción de usuario, siga estos pasos:

1. Compruebe si se desencadena alguna directiva al conectarse a recursos de Windows 365.
2. Cree una nueva directiva de acciones de usuario con los mismos controles de acceso.

Cómo funciona la autenticación de Windows 365 Link

PC en la nube Windows 365 Los dispositivos Windows 365 se autentican en dos fases consecutivas:

1. Inicio de sesión interactivo: cuando el usuario inicia sesión en la pantalla de inicio de sesión de Windows 365 Link, puede desencadenar directivas de acceso condicional aplicadas a las acciones de registrar o unir dispositivos. A los usuarios se les pueden mostrar mensajes o se les pide que opten por métodos de autenticación multifactor más sólidos. Esta fase genera el token que se usa en la segunda fase.

2. Conexiones no interactivas a los recursos del PC en la nube mediante el inicio de sesión único: Esta fase puede desencadenar directivas de acceso condicional si se aplican a recursos como Windows 365, Windows Cloud Login y Todos los recursos. No se puede pedir ni desafiar a los usuarios en esta fase. Si se necesita una autenticación más fuerte, se interrumpe la conexión y se muestra al usuario un error que indica que no se puede mostrar una ventana interactiva.

Revisar directivas existentes

Puede utilizar la herramienta What If para determinar si se aplica alguna directiva de acceso condicional a los recursos de Windows 365 relevantes durante la fase de conexión no interactiva. Esto incluye una directiva que se aplica a Todos los recursos (anteriormente Todas las aplicaciones en la nube).

1. Inicie sesión en el Centro de administración de Microsoft EntraProtection>Directivas> de >acceso> condicionalWhat if.
2. En Identidad de usuario o carga de trabajo , seleccione un usuario con el que probar.
3. Para aplicaciones en la nube, acciones o contexto de autenticación, seleccione Cualquier aplicación en la nube.
4. En Seleccionar tipo de destino , deje la aplicación en la nube seleccionada.
5. Seleccione Seleccionar aplicaciones y, a continuación, seleccione los siguientes recursos, si están disponibles:
   • Windows 365 (id. de aplicación 0af06dc6-e4b5-4f28-818e-e78e62d137a5).
   • Azure Escritorio virtual (id. de aplicación 9cdead84-a844-4324-93f2-b2e6bb768d07).
   • Inicio de sesión en la nube de Windows (id. de aplicación: 270efc09-cd0d-444b-a71f-39af4910ec45).
6. Seleccione What If.

Revise cada una de las directivas que se aplicarán y determine los controles de acceso usados para conceder acceso a esos recursos y configuraciones de sesión. Tenga en cuenta estas directivas para su uso al crear las nuevas directivas de acción de usuario en la sección siguiente.

Crear nueva directiva de acceso condicional para la fase de inicio de sesión interactivo

Con la información recopilada de la herramienta What If de la sección anterior, ahora puede crear una nueva directiva de acceso condicional para requerir los mismos controles para la fase de inicio de sesión.

1. Inicie sesión en el Centro de administración de Microsoft Microsoft EntraProtection>Directivas> de >acceso> condicionalNueva directiva
2. Asigne un nombre a la directiva. Considere la posibilidad de usar un estándar significativo para los nombres de directivas.
3. EnUsuarios de >asignaciones, seleccione 0 usuarios y grupos seleccionados.
4. En Incluir, selecciona Todos los usuarios o selecciona un grupo de usuarios que iniciarán sesión a través de dispositivos de Windows 365 Link.
5. En Excluir, seleccione Usuarios y grupos> para seleccionar las cuentas de acceso de emergencia o de rotura de cristal de su organización.
6. En Recursos de destino>,Acciones de usuario, seleccione Registrar o unir dispositivos.
7. En Concesión de controles> de acceso, use los mismos controles encontrados anteriormente con la herramienta What If.
8. Confirme la configuración y establezca Habilitar directiva en Solo informe.
9. Seleccione Crear.
10. Después de confirmar la configuración usando el modo de solo informe, cambie el botón de alternancia Habilitar directiva de solo informe a Activado.

Aunque estos pasos son específicamente para habilitar la autenticación interactiva en dispositivos de Windows 365 Link, la directiva de acción de usuario resultante también se aplica cuando los usuarios registran o unen dispositivos a Microsoft Entra ID.

Para obtener más información sobre cómo crear directivas de acceso condicional para el registro de dispositivos, incluidos los posibles conflictos, consulte Requerir autenticación multifactor para el registro de dispositivos.

Para obtener más información sobre las acciones del usuario con el acceso condicional, consulte Acciones del usuario.

Para obtener más información acerca de cómo crear directivas de acceso condicional para los recursos que se usan para Windows 365, consulte Establecer directivas de acceso condicional.

Pasos siguientes

Suprimir solicitud de consentimiento de inicio de sesión único.