Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Utilisez l’accès conditionnel pour protéger un agent qui accède aux ressources via son propre compte d’utilisateur agent, au lieu d’une identité d’agent (ou en plus). Ce modèle d’accès prend en charge les agents qui ont besoin d’une boîte aux lettres, d’un accès à la conversation ou de la possibilité de participer à des workflows collaboratifs en tant que membre de l’équipe.
Dans ce modèle d’accès, le sujet du jeton d’accès est le compte d’utilisateur de l’agent. Les stratégies d’accès conditionnel ciblent donc le compte d’utilisateur de l’agent, et non son identité d’agent.
Avant de commencer, passez en revue les exigences relatives aux licences, au rôle, à l’utilisateur de l’agent, à l’appareil et au réseau.
Prerequisites
- L’un des plans de licence suivants :
- Microsoft 365 E7, qui inclut agent 365 et Suite Microsoft Entra, pour fournir une gouvernance des identités utilisateur et agent.
- Une licence Microsoft Agent 365 associée au minimum à Microsoft Entra P1 ou à Microsoft 365 E3.
- Au moins le rôle Administrateur d’accès conditionnel .
- Un compte d’utilisateur d’agent lié à une identité d’agent.
- Pour la conformité des appareils, un agent qui s’exécute sur un Windows 365 PC Cloud pour les agents.
- Pour les stratégies réseau conformes, un agent qui s’exécute sur un PC cloud Windows 365 géré par Intune pour les agents avec le client Accès sécurisé global installé.
Important
Le ciblage des utilisateurs de l’agent est en version préliminaire. Les stratégies qui ciblent tous les utilisateurs n’incluent pas de comptes d’utilisateur d’agent. L’inclusion et l’exclusion par groupe ne sont pas non plus prises en charge pour les comptes utilisateur d’agent. Ciblez « tous les utilisateurs de l’agent », sélectionnez des utilisateurs d’agent individuels ou utilisez des attributs de sécurité personnalisés.
Une stratégie qui cible une identité d’agent ne s’applique pas au compte d’utilisateur de l’agent. Si l’agent utilise également son propre identité d’agent, créez une stratégie distincte pour ce modèle d’accès. Pour plus d’informations, consultez Sécuriser les agents autonomes avec l’accès conditionnel.
Créer des politiques pour les utilisateurs agents
L’accès conditionnel étend l’application de la stratégie à ces agents autonomes de type utilisateur. Les administrateurs peuvent :
- Cibler tous les utilisateurs de l’agent ou sélectionner des utilisateurs d’agent spécifiques
- Appliquer des stratégies à l’aide d’attributs de sécurité personnalisés
- Appliquer des conditions de risque d’agent pour bloquer les agents à risque
- Utiliser la condition des environnements d’exécution de l’agent pour étendre les stratégies aux agents s’exécutant sur des points de terminaison
- Appliquer la conformité des appareils pour les agents s’exécutant sur des points de terminaison managés (Windows 365 PC cloud)
- Appliquer des emplacements réseau conformes pour les agents s’exécutant sur des points de terminaison managés (Windows 365 PC cloud) avec un client Global Secure Access
Pour créer une stratégie d’accès conditionnel pour les utilisateurs de l’agent, utilisez les paramètres suivants :
- Attributions : dans un flux d’accès agent, le jeton d’accès est émis aux utilisateurs agents (le sujet du jeton), vous attribuez donc la stratégie aux agents ou à leur modèle d’identité d’agent.
- Ressources cibles : sélectionnez les ressources auxquelles l’agent doit accéder.
- Conditions : configurez si vous souhaitez que la stratégie s’applique lorsque l’agent est à un niveau de risque particulier. Par exemple, une stratégie restrictive pour les agents à haut risque. Pour plus d’informations, consultez ID Protection pour les agents.
- Contrôle d’accès : étant donné que cet agent accède aux ressources avec sa propre identité, il n’existe aucune correction et la seule option disponible bloque l’accès.
Bloquer les comptes d’utilisateur de l’agent à risque
Créez une stratégie qui bloque les comptes d’utilisateur de l’agent lorsque Protection Microsoft Entra ID détecte un risque d’agent moyen ou élevé. Le risque de l’agent est en version préliminaire.
- Connectez-vous au centre d’administration Microsoft Entra en tant qu’au moins un Administrateur d’accès conditionnel.
- Accédez à Entra ID>Accès conditionnel>Politiques.
- Sélectionnez Nouvelle stratégie.
- Permet d’entrer un nom pour la stratégie.
- Sous Affectations, sélectionnez Utilisateurs, agents ou identités de charge de travail.
- Sous Qu’est-ce que cette stratégie s’applique à ?, sélectionnez Agents.
- Sous Inclure, sélectionnez Tous les utilisateurs de l’agent (préversion).
- Sous Ressources cibles>Inclure, sélectionnez Toutes les ressources (anciennement « Toutes les applications cloud »).
- Sous Conditions>Risque de l'agent (préversion), réglez Configurer sur Oui.
- Sélectionnez Moyen et Élevé.
- Sous Contrôles d’accès>Accorder, sélectionnez Bloquer, puis Sélectionner.
- Définissez Activer la stratégie sur Rapport uniquement.
- Cliquez sur Créer.
Après avoir confirmé vos paramètres en utilisant l’impact de la stratégie ou le mode rapport uniquement, déplacez le bouton bascule Activer la stratégie de Rapport uniquement à Activé.
Exiger un appareil conforme
Certains utilisateurs d’agents sont des agents qui utilisent un ordinateur. Ces agents opèrent un environnement de bureau pour effectuer des tâches similaires à la façon dont un utilisateur humain interagit avec les applications. Utilisez cette stratégie pour un agent qui s’exécute sur un point de terminaison managé, tel qu’un PC cloud Windows 365 pour les agents. La condition Environnements d’exécution de l’agent (Preview) restreint la stratégie aux sessions utilisateur de l’agent initiées depuis des points de terminaison. Les agents qui ne s’exécutent pas sur un appareil sont exclus de l’évaluation.
Notez que tous les agents ne fonctionnent pas sur des points de terminaison. Les agents s'exécutant directement dans Microsoft infrastructure n'ont pas d'appareil associé. Les stratégies délimitées avec cette condition ne s’appliquent pas à ces agents natifs cloud, ce qui empêche le blocage inattendu.
- Connectez-vous au centre d’administration Microsoft Entra en tant qu’au moins un Administrateur d’accès conditionnel.
- Accédez à Entra ID>Accès conditionnel>Politiques.
- Sélectionnez Nouvelle stratégie.
- Permet d’entrer un nom pour la stratégie.
- Sous Affectations, sélectionnez Utilisateurs, agents ou identités de charge de travail.
- Sous Qu’est-ce que cette stratégie s’applique à ?, sélectionnez Agents.
- Sous Inclure, sélectionnez Tous les utilisateurs de l’agent (préversion).
- Sous Qu’est-ce que cette stratégie s’applique à ?, sélectionnez Agents.
- Sous Ressources cibles>Inclure, sélectionnez Toutes les ressources (anciennement « Toutes les applications cloud »).
- Sous Conditions>Environnements d’exécution de l’agent (Aperçu), définissez Configurer sur Oui.
- Sous Inclure, sélectionnez Sessions utilisateur de l’agent lancées à partir de points de terminaison.
- Sous Contrôles d’accès>Accorder, sélectionnez Accorder l’accès.
- Sélectionnez Exiger que l’appareil soit marqué comme conforme, puis sélectionnez Sélectionner.
- Définissez Activer la stratégie sur Rapport uniquement.
- Cliquez sur Créer.
Après avoir confirmé vos paramètres en utilisant l’impact de la stratégie ou le mode rapport uniquement, déplacez le bouton bascule Activer la stratégie de Rapport uniquement à Activé.
Note
Un agent peut s’exécuter techniquement sur n’importe quel ordinateur. La conformité des appareils nécessite l’inscription Intune, qui est actuellement prise en charge uniquement sur les PC cloud Windows 365 pour les agents. En l’absence de la condition Environnements d’exécution de l’agent, cette stratégie bloque les agents s’exécutant dans une infrastructure cloud, sans aucun moyen d’être conformes.
Exiger un réseau conforme
Utilisez cette stratégie pour exiger que les agents s’exécutant sur des points de terminaison se connectent via un réseau conforme à l’aide de Global Secure Access. Le client fournit le signal d’emplacement réseau que l’accès conditionnel évalue. Cela s’applique aux agents qui s’exécutent sur un point de terminaison managé, tel qu’un PC cloud Windows 365 pour les agents.
- Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’accès conditionnel au moins.
- Accédez à Entra ID>Accès conditionnel>Politiques.
- Sélectionnez Nouvelle stratégie.
- Permet d’entrer un nom pour la stratégie.
- Sous Affectations, sélectionnez Utilisateurs, agents ou identités de charge de travail.
- Sous Qu’est-ce que cette stratégie s’applique à ?, sélectionnez Agents.
- Sous Inclure, sélectionnez Tous les utilisateurs de l’agent (préversion).
- Sous Ressources cibles>Inclure, sélectionnez Toutes les ressources (anciennement « Toutes les applications cloud »).
- Sous Conditions>Environnements d’exécution de l’agent (Aperçu), définissez Configurer sur Oui.
- Sous Inclure, sélectionnez Sessions utilisateur de l’agent lancées à partir de points de terminaison.
- Sous Contrôles d’accès>Accorder, sélectionnez Accorder l’accès.
- Sélectionnez Exiger un réseau conforme, puis sélectionnez Sélectionner.
- Définissez Activer la stratégie sur Rapport uniquement.
- Cliquez sur Créer.
Après avoir confirmé vos paramètres en utilisant l’impact de la stratégie ou le mode rapport uniquement, déplacez le bouton bascule Activer la stratégie de Rapport uniquement à Activé.
Note
Utilisez la condition Environnements d’exécution de l’agent (Aperçu) pour limiter cette stratégie aux seules sessions basées sur des points de terminaison. Sans cette condition, les agents natifs cloud sans client d’accès sécurisé global sont bloqués sans chemin d’accès à la conformité.