Proteggere gli agenti che fungono da utenti con accesso condizionale

Usare l'accesso condizionale per proteggere un agente che accede alle risorse tramite il proprio account utente agente, anziché (o oltre) un'identità dell'agente. Questo modello di accesso supporta gli agenti che necessitano di una cassetta postale, l'accesso alla chat o la possibilità di partecipare a flussi di lavoro collaborativi come membro del team.

In questo modello di accesso, l'oggetto del token di accesso è l'account utente dell'agente. I criteri di accesso condizionale hanno quindi come destinazione l'account utente dell'agente, non l'identità dell'agente.

Prima di iniziare, esaminare i requisiti di licenza, ruolo, utente agente, dispositivo e rete.

Prerequisiti

• Uno dei piani di licenza seguenti:
  • Microsoft 365 E7, che include Agent 365 e Famiglia di prodotti Microsoft Entra, per fornire la governance delle identità utente e agente.
  • licenza Microsoft Agent 365 abbinata ad almeno Microsoft Entra P1 o Microsoft 365 E3.
• Almeno il ruolo Amministratore accesso condizionale .
• Un account utente di un agente associato a un'identità dell'agente.
• Per la conformità del dispositivo, un agente in esecuzione su un Windows 365 Cloud PC for Agents gestito da Intune.
• Per criteri di rete conformi, un agente in esecuzione su un Cloud PC Windows 365 per Agenti gestito da Intune con il client Accesso sicuro globale installato.

Una policy rivolta all'identità dell'agente non si applica all'account utente dell'agente. Se l'agente utilizza anche la propria identità dell'agente, crea un criterio separato per tale schema di accesso. Per altre informazioni, vedere Proteggere gli agenti autonomi con l'accesso condizionale.

Creazione di criteri per gli utenti dell'agente

L'accesso condizionale estende l'imposizione dei criteri a questi agenti autonomi simili agli utenti. Gli amministratori possono:

• Specificare come destinazione tutti gli utenti dell'agente o selezionare utenti specifici dell'agente
• Applicare criteri usando attributi di sicurezza personalizzati
• Applicare le condizioni di rischio dell'agente per bloccare gli agenti rischiosi
• Usare la condizione relativa agli ambienti di esecuzione dell'agente per applicare i criteri agli agenti in esecuzione sugli endpoint
• Applicare criteri di conformità dei dispositivi agli agenti in esecuzione su endpoint gestiti (Windows 365 Cloud PC)
• Applicare percorsi di rete conformi per gli agenti in esecuzione su endpoint gestiti (Windows 365 PC cloud) con un client di accesso sicuro globale

Per creare criteri di accesso condizionale per gli utenti dell'agente, usare le impostazioni seguenti:

• Assegnazioni: in un flusso di accesso dell'agente, il token di accesso viene rilasciato agli utenti dell'agente (oggetto del token), in modo da assegnare i criteri agli agenti o al progetto di identità dell'agente.
• Risorse di destinazione: Seleziona le risorse a cui l'agente deve accedere.
• Condizioni: configurare se si vuole applicare i criteri quando l'agente è a un determinato livello di rischio. Ad esempio, un criterio restrittivo per gli agenti ad alto rischio. Per altre informazioni, vedere Protezione ID per gli agenti.
• Controllo di accesso: poiché questo agente accede alle risorse con la propria identità, non esiste alcuna correzione e l'unica opzione disponibile blocca l'accesso.

Bloccare gli account utente dell'agente rischioso

Creare un criterio che blocca gli account utente dell'agente quando Microsoft Entra ID Protection rileva il rischio medio o elevato dell'agente. Il rischio dell'agente è disponibile in anteprima.

1. Accedi al Centro Amministrativo Microsoft Entra come almeno un Amministratore di Accesso Condizionale .
2. Passare a Entra ID>Accesso Condizionale>Politiche.
3. Selezionare Nuovi criteri.
4. Immetti un nome per il criterio.
5. In Assegnazioni selezionare Utenti, agenti o identità del carico di lavoro.
6. In Che cosa si applica questo criterio?, selezionare Agenti.
   1. In Includi selezionare Tutti gli utenti dell'agente (anteprima).
7. In Risorse di destinazione>includi, selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
8. In Condizioni>Rischio agente (anteprima) impostare Configura su Sì.
   1. Selezionare Medio e Alto.
9. In Controlli di accesso>Concedi, seleziona Blocca, quindi seleziona Seleziona.
10. Imposta Criterio di abilitazione su Solo report.
11. Fare clic su Crea.

Dopo aver confermato le impostazioni usando l'impatto sui criteri o la modalità solo report, spostare l'interruttore Abilita criteri da Solo report a Attivato.

Richiedi un dispositivo conforme

Alcuni utenti dell'agente sono agenti che usano computer. Questi agenti gestiscono un ambiente desktop per completare le attività, in modo analogo a come un utente umano interagisce con le applicazioni. Usare questo criterio per un agente eseguito su un endpoint gestito, ad esempio un Windows 365 Cloud PC per gli agenti. La condizione Ambienti di esecuzione agente (anteprima) limita i criteri alle sessioni utente agente che iniziano dagli endpoint. Gli agenti che non sono in esecuzione su un dispositivo sono esclusi dalla valutazione.

Tieni presente che non tutti gli agenti vengono eseguiti sugli endpoint. Gli agenti in esecuzione direttamente nell'infrastruttura Microsoft non hanno un dispositivo associato. Le policy a cui è applicata questa condizione non si applicano a quegli agenti cloud-native, evitando così blocchi involontari.

1. Accedi al Centro Amministrativo Microsoft Entra come almeno un Amministratore di Accesso Condizionale .
2. Passare a Entra ID>Accesso Condizionale>Politiche.
3. Selezionare Nuovi criteri.
4. Immetti un nome per il criterio.
5. In Assegnazioni selezionare Utenti, agenti o identità del carico di lavoro.
   1. In Che cosa si applica questo criterio?, selezionare Agenti.
      1. In Includi selezionare Tutti gli utenti dell'agente (anteprima).
6. In Risorse di destinazione>includi, selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
7. In Condizioni>Ambienti di esecuzione dell'agente (anteprima), impostare Configura su Sì.
   1. In Includi selezionare Sessioni utente agente avviate dagli endpoint.
8. In Controlli di accesso>, sotto Concedi, selezionare Concedi accesso.
   1. Selezionare Richiedi che il dispositivo sia contrassegnato come conforme e quindi selezionare Seleziona.
9. Imposta Criterio di abilitazione su Solo report.
10. Fare clic su Crea.

Dopo aver confermato le impostazioni usando l'impatto sui criteri o la modalità solo report, spostare l'interruttore Abilita criteri da Solo report a Attivato.

Richiede una rete conforme

Usare questo criterio per richiedere agli agenti in esecuzione sugli endpoint di connettersi tramite una rete conforme usando l'accesso sicuro globale. Il client fornisce il segnale di posizione di rete che viene valutato da Conditional Access. Questo vale per gli agenti eseguiti in un endpoint gestito, ad esempio un Windows 365 Cloud PC per gli agenti.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra con il ruolo minimo di amministratore dell'accesso condizionale.
2. Passare a Entra ID>Accesso Condizionale>Politiche.
3. Selezionare Nuovi criteri.
4. Immetti un nome per il criterio.
5. In Assegnazioni selezionare Utenti, agenti o identità del carico di lavoro.
   1. In Che cosa si applica questo criterio?, selezionare Agenti.
   2. In Includi selezionare Tutti gli utenti dell'agente (anteprima).
6. In Risorse di destinazione>includi, selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
7. In Condizioni>Ambienti di esecuzione dell'agente (anteprima), impostare Configura su Sì.
   1. In Includi selezionare Sessioni utente agente avviate dagli endpoint.
8. In Controlli di accesso>, sotto Concedi, selezionare Concedi accesso.
   1. Selezionare Richiedi rete conforme e quindi selezionare Seleziona.
9. Imposta Criterio di abilitazione su Solo report.
10. Fare clic su Crea.

Dopo aver confermato le impostazioni usando l'impatto sui criteri o la modalità solo report, spostare l'interruttore Abilita criteri da Solo report a Attivato.

Contenuti correlati

• Accesso condizionale per gli agenti
• Identità dell'agente di destinazione nei criteri di accesso condizionale
• Proteggere gli agenti autonomi con Accesso condizionale di Microsoft Entra
• Sicurezza per l'intelligenza artificiale con l'identità dell'agente Microsoft Entra
• Microsoft Entra ID Protection e agenti