条件付きアクセスを使用してユーザーとして機能するエージェントをセキュリティで保護する

条件付きアクセスを使用して、エージェント ID ではなく 、独自の エージェント ユーザー アカウントを使用してリソースにアクセスするエージェントを保護します。このアクセス パターンは、メールボックス、チャットへのアクセス、またはチーム メンバーとして共同作業ワークフローに参加する機能を必要とするエージェントをサポートします。

このアクセス パターンでは、アクセス トークンのサブジェクトはエージェントのユーザー アカウントです。 したがって、条件付きアクセス ポリシーは、エージェント ID ではなく、エージェントのユーザー アカウントを対象とします。

開始する前に、ライセンス、ロール、エージェント ユーザー、デバイス、ネットワークの要件を確認します。

前提条件

• 次のいずれかのライセンス プラン:
  • Microsoft 365 E7 (エージェント 365 とMicrosoft Entra スイートを含む) は、ユーザー ID とエージェント ID のガバナンスを提供します。
  • Microsoftエージェント 365 ライセンスは、少なくとも Microsoft Entra P1 または Microsoft 365 E3 とペアリングされています。
• 少なくとも 条件付きアクセス管理者 ロール。
• エージェント ID 情報に関連付けられた エージェント ユーザー アカウント。
• デバイス コンプライアンスの場合、Intune で管理される Windows 365 Cloud PC for Agents で実行されるエージェント。
• 準拠したネットワーク ポリシー向けの、Global Secure Access クライアントがインストールされた、エージェント向け Intune 管理の Windows 365 Cloud PC 上で実行されるエージェント。

エージェント ID を対象とするポリシーは、エージェントのユーザー アカウントには適用されません。 エージェントが独自のエージェント ID も使用する場合は、そのアクセス パターン用に別のポリシーを作成します。 詳細については、「 条件付きアクセスによる自律エージェントのセキュリティ保護」を参照してください。

エージェント ユーザーのポリシーの作成

条件付きアクセスは、これらのユーザーに似た自律エージェントにポリシーの適用を拡張します。 管理者は次のことをできます。

• すべてのエージェント ユーザーをターゲットにするか、特定のエージェント ユーザーを選択する
• カスタム セキュリティ属性を使用してポリシーを適用する
• エージェントのリスク条件を適用して危険なエージェントをブロックする
• エージェント実行環境の条件を使用して、エンドポイントで実行されているエージェントにポリシーのスコープを設定する
• マネージド エンドポイント (Windows 365 クラウド PC) で実行されているエージェントにデバイス コンプライアンスを適用する
• グローバル セキュア アクセス クライアントを使用してマネージド エンドポイント (Windows 365 クラウド PC) で実行されているエージェントに準拠したネットワークの場所を適用する

エージェント ユーザーの条件付きアクセス ポリシーを作成するには、次の設定を使用します。

• 割り当て: エージェント アクセス フローでは、アクセス トークンがエージェント ユーザー (トークンサブジェクト) に発行されるため、ポリシーをエージェントまたはそのエージェント ID ブループリントに割り当てます。
• ターゲット リソース: エージェントがアクセスする必要があるリソースを選択します。
• 条件: エージェントが特定のリスク レベルにある場合にポリシーを適用するかどうかを構成します。 たとえば、リスクの高いエージェントの制限付きポリシーなどです。 詳細については、「 エージェントの ID 保護」を参照してください。
• アクセス制御: このエージェントは独自の ID を使用してリソースにアクセスするため、修復は行われず、使用可能な唯一のオプションはアクセスをブロックすることです。

危険なエージェント ユーザー アカウントをブロックする

Microsoft Entra ID 保護 が中程度または高のエージェント リスクを検出した場合に、エージェント ユーザー アカウントをブロックするポリシーを作成します。 エージェントのリスクはプレビュー段階です。

1. Microsoft Entra 管理センターに、少なくとも条件付きアクセス管理者としてサインインします。
2. Entra ID>条件付きアクセス>ポリシーに移動します。
3. [新しいポリシー] を選択します。
4. ポリシーの名前を入力します。
5. [ 割り当て] で、[ ユーザー、エージェント、またはワークロード ID] を選択します。
6. [ このポリシーの適用対象] で、[エージェント] を選択 します。
   1. [ 含める] で、[ すべてのエージェント ユーザー (プレビュー)] を選択します。
7. [ ターゲット リソース>Include] で、[ すべてのリソース ] (以前の [すべてのクラウド アプリ]) を選択します。
8. [条件]>[Agent risk (プレビュー)]で、[構成] を [はい] に設定します。
   1. [中] と [高] を選択します。
9. アクセス制御>許可 で ブロック を選択し、次に 選択 を選択します。
10. [ポリシーの有効化] を [レポート専用] に設定します。
11. を選択してを作成します。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

準拠しているデバイスを要求する

一部のエージェント ユーザーは、コンピューターを使用するエージェントです。 これらのエージェントは、人間のユーザーがアプリケーションと対話する方法と同様に、デスクトップ環境を操作してタスクを完了します。 このポリシーは、Windows 365 Cloud PC for Agents など、マネージド エンドポイントで実行されるエージェントに使用します。 エージェント実行環境 (プレビュー) 条件は、エンドポイントから開始されるエージェント ユーザー セッションにポリシーを制限します。 デバイスで実行されないエージェントは、評価から除外されます。

すべてのエージェントがエンドポイントで実行されるわけではないことに注意してください。 Microsoftインフラストラクチャで直接実行されているエージェントには、関連付けられたデバイスがありません。 この条件をスコープとするポリシーは、意図しないブロックを防ぐクラウドネイティブ エージェントには適用されません。

1. Microsoft Entra 管理センターに、少なくとも条件付きアクセス管理者としてサインインします。
2. Entra ID>条件付きアクセス>ポリシーに移動します。
3. [新しいポリシー] を選択します。
4. ポリシーの名前を入力します。
5. [ 割り当て] で、[ ユーザー、エージェント、またはワークロード ID] を選択します。
   1. [ このポリシーの適用対象] で、[エージェント] を選択 します。
      1. [ 含める] で、[ すべてのエージェント ユーザー (プレビュー)] を選択します。
6. [ ターゲット リソース>Include] で、[ すべてのリソース ] (以前の [すべてのクラウド アプリ]) を選択します。
7. [ 条件>Agent 実行環境 (プレビュー) で、[ 構成] を [はい] に設定します。
   1. [ 含める] で、 エンドポイントから開始されたエージェント ユーザー セッションを選択します。
8. [ アクセス制御>許可] で、[アクセス権の 付与] を選択します。
   1. [デバイスを準拠としてマークする] を選択し、次に [選択] を選択します。
9. [ポリシーの有効化] を [レポート専用] に設定します。
10. を選択してを作成します。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

準拠しているネットワークを要求する

このポリシーを使用して、エンドポイントで実行されているエージェントに対して 、グローバル セキュリティで保護されたアクセスを使用して準拠しているネットワーク経由で接続するように要求します。 クライアントは、条件付きアクセスが評価するネットワークロケーション信号を提供します。 これは、Windows 365 Cloud PC for Agents など、マネージド エンドポイントで実行されるエージェントに適用されます。

1. Microsoft Entra 管理センターに、少なくとも条件付きアクセス管理者としてサインインします。
2. Entra ID>条件付きアクセス>ポリシーに移動します。
3. [新しいポリシー] を選択します。
4. ポリシーの名前を入力します。
5. [ 割り当て] で、[ ユーザー、エージェント、またはワークロード ID] を選択します。
   1. [ このポリシーの適用対象] で、[エージェント] を選択 します。
   2. [ 含める] で、[ すべてのエージェント ユーザー (プレビュー)] を選択します。
6. [ ターゲット リソース>Include] で、[ すべてのリソース ] (以前の [すべてのクラウド アプリ]) を選択します。
7. [ 条件>Agent 実行環境 (プレビュー) で、[ 構成] を [はい] に設定します。
   1. [ 含める] で、 エンドポイントから開始されたエージェント ユーザー セッションを選択します。
8. [ アクセス制御>許可] で、[アクセス権の 付与] を選択します。
   1. [ 準拠ネットワークを要求する] を選択し、[選択] を 選択します。
9. [ポリシーの有効化] を [レポート専用] に設定します。
10. を選択してを作成します。

ポリシーの影響モードまたはレポート専用モードを使用して設定を確認したら、[ポリシーの有効化] トグルを [レポートのみ] から [オン] に移動します。

関連するコンテンツ

• エージェントの条件付きアクセス
• 条件付きアクセス ポリシーのターゲット エージェント ID
• Microsoft Entra 条件付きアクセスを使用して自律エージェントをセキュリティで保護する
• Microsoft Entra エージェント ID を使用した AI のセキュリティ
• Microsoft Entra ID 保護およびエージェント