Beveilig agents die als gebruikers fungeren met Voorwaardelijke toegang

Gebruik Voorwaardelijke toegang om een agent te beveiligen die toegang heeft tot resources via een eigen agentgebruikersaccount, in plaats van (of naast) een agentidentiteit. Dit toegangspatroon ondersteunt agents die een postvak, toegang tot chat of de mogelijkheid hebben om als teamlid deel te nemen aan gezamenlijke werkstromen.

In dit toegangspatroon is het onderwerp van het toegangstoken het gebruikersaccount van de agent. Beleid voor voorwaardelijke toegang richt zich daarom op het gebruikersaccount van de agent, niet op de agentidentiteit.

Controleer voordat u begint de licentie-, rol-, agent-gebruiker-, apparaat- en netwerkvereisten.

Prerequisites

• Een van de volgende licentieplannen:
  • Microsoft 365 E7, waaronder Agent 365 en Microsoft Entra Suite, om governance van gebruikers- en agentidentiteiten te bieden.
  • Microsoft Agent 365-licentie gekoppeld aan ten minste Microsoft Entra P1 of Microsoft 365 E3.
• Ten minste de rol Beheerder voor voorwaardelijke toegang .
• Een agentgebruikersaccount dat is gekoppeld aan een agent-id.
• Voor apparaatnaleving, een agent die wordt uitgevoerd op een door Intune beheerde Windows 365 Cloud PC for Agents.
• Voor netwerkbeleid dat voldoet aan de vereisten: een agent die draait op een door Intune beheerde Windows 365 Cloud PC for Agents waarop de Global Secure Access-client is geïnstalleerd.

Een beleid dat is gericht op een agentidentiteit, is niet van toepassing op het gebruikersaccount van de agent. Als de agent ook een eigen agentidentiteit gebruikt, maakt u een afzonderlijk beleid voor dat toegangspatroon. Zie Autonome agents beveiligen met voorwaardelijke toegang voor meer informatie.

Beleid maken voor agentgebruikers

Conditional Access breidt de handhaving van beleid uit tot deze gebruikersachtige autonome agents. Beheerders kunnen:

• Alle agentgebruikers targeten of specifieke agentgebruikers selecteren
• Beleid toepassen met aangepaste beveiligingskenmerken
• Agentrisicovoorwaarden toepassen om riskante agents te blokkeren
• Gebruik de voorwaarde 'uitvoeringsomgevingen van agents' om het bereik van beleidsregels te beperken tot agents die op eindpunten worden uitgevoerd
• Apparaatcompatibiliteit afdwingen voor agents die worden uitgevoerd op beheerde eindpunten (Windows 365 Cloud-pc's)
• Compatibele netwerklocaties afdwingen voor agents die worden uitgevoerd op beheerde eindpunten (Windows 365 Cloud-pc's) met een Global Secure Access-client

Gebruik de volgende instellingen om een beleid voor voorwaardelijke toegang te maken voor agentgebruikers:

• Toewijzingen: In een toegangsproces voor agenten wordt het toegangstoken uitgegeven aan de agentgebruikers (het token-subject), dus wijst u het beleid toe aan agenten of hun identiteitsblauwdruk als agent.
• Doelbronnen: selecteer de resources die de agent nodig heeft voor toegang.
• Voorwaarden: Configureer of u het beleid wilt toepassen wanneer de agent zich op een bepaald risiconiveau bevindt. Bijvoorbeeld een beperkend beleid voor agents die een hoog risico lopen. Zie voor meer informatie ID Protection voor agents.
• Toegangsbeheer: omdat deze agent toegang heeft tot resources met een eigen identiteit, is geen herstel mogelijk en is de enige beschikbare optie het blokkeren van toegang.

Riskante agentgebruikersaccounts blokkeren

Maak een beleid waarmee gebruikersaccounts van agents worden geblokkeerd wanneer Microsoft Entra Id-beveiliging gemiddeld of hoog agentrisico detecteert. Agentrisico is beschikbaar als preview.

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
2. Blader naar Entra ID>Voorwaardelijke toegang>Beleidsregels.
3. Selecteer Nieuw beleid.
4. Geef een naam op voor het beleid.
5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
6. Selecteer agents onder Waarop dit beleid van toepassing is.
   1. Selecteer onder OpnemenAlle agentgebruikers (Preview).
7. Selecteer onder Doelresources>OpnemenAlle resources (voorheen 'Alle cloud-apps').
8. \ Stel onder Voorwaarden>Agentrisico (Preview)Configureren in op Ja.
   1. Selecteer Normaal en Hoog.
9. Onder Toegangsbeheer>Verlenen selecteert u Blokkeren en vervolgens Selecteren.
10. Stel Beleid inschakelen in op Alleen rapporteren.
11. Klik op Creëren.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Een conform apparaat vereisen

Sommige gebruikers van agents zijn agents die een computer gebruiken. Deze agents gebruiken een bureaubladomgeving om taken uit te voeren, vergelijkbaar met hoe een menselijke gebruiker communiceert met toepassingen. Gebruik dit beleid voor een agent die wordt uitgevoerd op een beheerd eindpunt, zoals een Windows 365 Cloud PC voor Agents. De voorwaarde agentuitvoeringsomgevingen (preview) beperkt het beleid tot agentgebruikerssessies die beginnen vanaf eindpunten. Agents die niet op een apparaat draaien, worden uitgesloten van evaluatie.

Houd er rekening mee dat niet alle agenten op eindpunten draaien. Agents die rechtstreeks in de Microsoft-infrastructuur draaien, hebben geen gekoppeld apparaat. Beleidsregels binnen het bereik van deze voorwaarde zijn niet van toepassing op deze cloudeigen agents, waardoor onbedoelde blokkering wordt voorkomen.

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
2. Blader naar Entra ID>Voorwaardelijke toegang>Beleidsregels.
3. Selecteer Nieuw beleid.
4. Geef een naam op voor het beleid.
5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
   1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Selecteer onder OpnemenAlle agentgebruikers (Preview).
6. Selecteer onder Doelresources>OpnemenAlle resources (voorheen 'Alle cloud-apps').
7. Stel onder Voorwaarden>Agent-uitvoeringsomgevingen (Preview)Configureren in op Ja.
   1. Selecteer onder Opnemenagentgebruikerssessies die zijn gestart vanuit eindpunten.
8. Selecteer onder Toegangsbeheer de optie >.
   1. Selecteer Vereisen dat het apparaat als compatibel moet worden gemarkeerd en selecteer vervolgens Selecteren.
9. Stel Beleid inschakelen in op Alleen rapporteren.
10. Klik op Creëren.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Een compatibel netwerk is vereist

Gebruik dit beleid om agents die worden uitgevoerd op eindpunten te verplichten om verbinding te maken via een compatibel netwerk met behulp van Global Secure Access. De client biedt het netwerklocatiesignaal dat voorwaardelijke toegang evalueert. Dit geldt voor agents die worden uitgevoerd op een beheerd eindpunt, zoals een Windows 365 cloud-pc voor agents.

1. Meld u aan bij het Microsoft Entra-beheercentrum als Beheerder van voorwaardelijke toegang.
2. Blader naar Entra ID>Voorwaardelijke toegang>Beleidsregels.
3. Selecteer Nieuw beleid.
4. Geef een naam op voor het beleid.
5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
   1. Selecteer agents onder Waarop dit beleid van toepassing is.
   2. Selecteer onder OpnemenAlle agentgebruikers (Preview).
6. Selecteer onder Doelresources>OpnemenAlle resources (voorheen 'Alle cloud-apps').
7. Stel onder Voorwaarden>Agent-uitvoeringsomgevingen (Preview)Configureren in op Ja.
   1. Selecteer onder Opnemenagentgebruikerssessies die zijn gestart vanuit eindpunten.
8. Selecteer onder Toegangsbeheer de optie >.
   1. Selecteer Compatibel netwerk vereisen en selecteer vervolgens Selecteren.
9. Stel Beleid inschakelen in op Alleen rapporteren.
10. Klik op Creëren.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Verwante onderwerpen

• Voorwaardelijke toegang voor agents
• Doelagentidentiteiten in beleid voor voorwaardelijke toegang
• Autonome agents beveiligen met Microsoft Entra Voorwaardelijke toegang
• Beveiliging voor AI met Microsoft Entra-agentidentiteit
• Microsoft Entra Id-beveiliging en agents