Proteggere gli agenti autonomi con accesso condizionale

Usa Accesso Condizionale per controllare l'accesso degli agenti autonomi che si autenticano con la propria identità dell'agente e senza alcun utente connesso. Questo modello di accesso include gli agenti eseguiti in background, rispondono agli eventi, vengono eseguiti in base a una pianificazione o vengono pubblicati per l'uso pubblico senza contesto utente delegato.

In questo modello di accesso, l'oggetto del token di accesso è l'identità dell'agente. I criteri di accesso condizionale hanno quindi come destinazione l'identità dell'agente, non un utente o l'account utente di un agente.

Prima di iniziare, consulta i requisiti di licenza, ruolo e configurazione dell'agente.

Prerequisiti

  • Uno dei piani di licenza seguenti:
    • Microsoft 365 E7, che comprende Agent 365 e Famiglia di prodotti Microsoft Entra, per proteggere l'accesso sia per gli utenti che per gli agenti.
    • Microsoft Agent 365, associato a:
      • Microsoft Entra ID P1 o Microsoft 365 E3 per l'accesso condizionale.
      • Microsoft Entra ID P2 o Microsoft 365 E5 quando si usa Accesso condizionale basato sul rischio dell'agente.
  • Almeno il ruolo Amministratore accesso condizionale .
  • Almeno un'identità agente registrata nel tenant.
  • L'agente utilizza il flusso OAuth per app autonome.

Important

Prima di configurare un criterio di accesso condizionale, leggere l'articolo Accesso condizionale per gli agenti . Illustra l'autenticazione, i limiti del servizio e le limitazioni per garantire che tutti gli scenari e i dati e i servizi aziendali siano ben protetti.

Consentire solo a agenti specifici di accedere alle risorse

Crea un criterio di blocco che escluda le identità agente approvate o i modelli di identità agente. Inizia in modalità di sola segnalazione per poter valutare gli effetti del criterio prima di applicarlo. A tale scopo, è possibile etichettare agenti e risorse con attributi di sicurezza personalizzati destinati ai criteri, oppure selezionarli manualmente utilizzando il selettore oggetti avanzato.

Creare criteri di accesso condizionale usando la selezione oggetti avanzata

Le organizzazioni possono creare criteri di accesso condizionale usando la selezione oggetti avanzata per bloccare tutti gli agenti tranne quelli esaminati e approvati dall'organizzazione.

La selezione oggetti avanzata sostituisce l'esperienza dell'elenco piatto sia nelle sezioni di assegnazione che nelle risorse di destinazione della configurazione della policy. La nuova esperienza è destinata a semplificare la selezione degli elementi che si desidera definire nell'ambito dei criteri.

  1. Accedi al Centro Amministrativo Microsoft Entra come almeno un Amministratore di Accesso Condizionale .
  2. Passare a Entra ID>Accesso Condizionale>Politiche.
  3. Selezionare Nuovi criteri.
  4. Dai un nome alla tua politica. Definire uno standard significativo per i nomi delle policy.
  5. In Assegnazioni selezionare Utenti, agenti o identità del carico di lavoro.
    1. In Che cosa si applica questo criterio?, selezionare Agenti.
      1. In Includi selezionare Tutte le identità dell'agente.
      2. Sotto Escludi:
        1. Selezionare Seleziona identità dei singoli agenti.
        2. Con il selettore di oggetti avanzato, passa tra le schede Tutte, Principali blueprint agente e Identità dell'agente per selezionare i singoli blueprint agente, le identità dell'agente o entrambi che vuoi escludere.
        3. Selezionare Seleziona.
  6. In Risorse di destinazione:
    1. In Includi selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
  7. In Controlli di accesso>Concedi:
    1. Selezionare Blocca.
    2. Selezionare Seleziona.
  8. Confermare le impostazioni e impostare Attiva criterio su Solo report.
  9. Selezionare Crea per creare la politica.

Dopo aver confermato le impostazioni usando l'impatto dei criteri o la modalità solo report, spostare l'interruttore Abilita criterio da Solo report a Sì.

Per altre informazioni sulle opzioni di assegnazione e sulla selezione oggetti, vedere Identità dell'agente di destinazione nei criteri di accesso condizionale.

Bloccare le identità degli agenti ad alto rischio

Creare criteri che bloccano le identità degli agenti ad alto rischio, in base ai segnali provenienti da Microsoft Entra ID Protection, dalle risorse dell'organizzazione. Per informazioni dettagliate sui tipi di rilevamento dei rischi e sulle azioni di risposta per gli agenti, vedere Identity Protection per gli agenti. Il rischio dell'agente è disponibile in anteprima.

  1. Accedi al Centro Amministrativo Microsoft Entra come almeno un Amministratore di Accesso Condizionale .
  2. Passare a Entra ID>Accesso Condizionale>Politiche.
  3. Selezionare Nuovi criteri.
  4. Immetti un nome per il criterio.
  5. In Assegnazioni selezionare Utenti, agenti o identità del carico di lavoro.
    1. In Che cosa si applica questo criterio?, selezionare Agenti.
      1. In Includi selezionare Tutte le identità dell'agente.
  6. In Risorse di destinazione>includi, selezionare Tutte le risorse (in precedenza "Tutte le app cloud").
  7. In Condizioni>Rischio agente (anteprima) impostare Configura su Sì.
    1. In Configurare i livelli di rischio dell'agente necessari per applicare i criteri selezionare Alto. Queste indicazioni si basano sulle raccomandazioni Microsoft e potrebbero essere diverse per ogni organizzazione.
  8. In Controlli di accesso>Concedi, seleziona Blocca, quindi seleziona Seleziona.
  9. Imposta Criterio di abilitazione su Solo report.
  10. Fare clic su Crea.

Dopo aver confermato le impostazioni usando l'impatto dei criteri o la modalità solo report, spostare l'interruttore Abilita criterio da Solo report a Sì.

Per informazioni dettagliate sui rilevamenti dei rischi degli agenti, vedere Microsoft Entra ID Protection e agenti.

Criteri per gli account utente degli agenti

Per creare criteri per un agente che accede alle risorse tramite il proprio account utente, trovare le linee guida per i criteri degli utenti agente in Agenti sicuri che fungono da utenti con Accesso condizionale di Microsoft Entra. L'articolo include i criteri seguenti:

Contenuti correlati

  • Ultimo aggiornamento: