Aanbevolen beleidsregels voor autonome agents

Gebruik deze handleiding om voorwaardelijke toegang te configureren voor agents die zich verifiëren met hun eigen identiteit, zonder aangemelde gebruiker. Het toegangspatroon is bekend als de client credentials flow. In plaats van namens een gebruiker te handelen, verifieert de agent zich met zijn eigen referenties: een client-id die is gekoppeld aan een certificaat of beheerde identiteit die wordt beheerd door de blauwdruk voor de agentidentiteit. Dit toegangspatroon is van toepassing in de volgende scenario's:

  • Autonome agenten die onafhankelijk van elkaar werken:
    • Deze agents worden op de achtergrond uitgevoerd, reageren op gebeurtenissen of worden volgens een schema uitgevoerd. Een typisch voorbeeld is een agent die een dagelijks rapport genereert en het resultaat naar een groep werknemers verzendt. In dit scenario is er geen gebruiker aanwezig en werkt de agent zelfstandig.
  • Agents die niet altijd namens een gebruiker handelen:
    • Soms werken agents volledig zelfstandig. Bijvoorbeeld een back-end SMS-service die niet toegankelijk is voor gebruikers. In dit scenario is de OBO-stroom niet van toepassing en heeft de agent toegang tot de doelresource door rechtstreeks met zijn eigen identiteit te verifiëren.
  • Agents die op internet zijn gepubliceerd voor openbaar gebruik:
    • Deze agents verifiëren de gebruiker niet of bieden geen ondersteuning voor het delegeren van de context van de gebruiker aan downstreambronnen.

In deze scenario's is de agent degene die toegang aanvraagt en het onderwerp van het uitgegeven toegangstoken de agentidentiteit is in plaats van de gebruiker. Als gevolg hiervan is het beleidsbereik voor voorwaardelijke toegang van toepassing op de agentidentiteit, niet op een gebruiker.

Belangrijk

Lees het artikel Voorwaardelijke toegang voor agents voordat u een beleid voor voorwaardelijke toegang configureert. Het omvat de verificatiestroom, servicegrenzen en beperkingen om ervoor te zorgen dat u alle scenario's behandelt en uw bedrijfsgegevens en services goed zijn beveiligd.

Alleen specifieke agents toegang geven tot resources

Er zijn twee belangrijke bedrijfsscenario's waarbij beleidsregels voor voorwaardelijke toegang u kunnen helpen agents effectief te beheren. In het eerste scenario wilt u ervoor zorgen dat alleen goedgekeurde agents toegang hebben tot resources. U kunt dit doen door agents en resources te taggen met aangepaste beveiligingskenmerken die zijn gericht op uw beleid of door ze handmatig te selecteren met behulp van de uitgebreide objectkiezer.

Beleid voor voorwaardelijke toegang maken met behulp van de uitgebreide objectkiezer

Organisaties kunnen ook een beleid voor voorwaardelijke toegang maken met behulp van de verbeterde objectkiezer om alle agents te blokkeren, behalve de agents die door uw organisatie zijn beoordeeld en goedgekeurd.

De verbeterde objectkiezer vervangt de vorige ervaring met platte lijsten in zowel de secties toewijzing als doelresources van de beleidsconfiguratie. De nieuwe interface is bedoeld om de selectie van items die u binnen het beleid wilt opnemen te vereenvoudigen.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. Maak een zinvolle standaard voor de namen van uw beleid.
  5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
    1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Onder Opnemen, selecteer Alle agentidentiteiten.
      2. Onder Uitsluiten:
        1. Selecteer Afzonderlijke agentidentiteiten selecteren.
        2. Schakel met behulp van de verbeterde objectkiezer tussen de tabbladen Alle, Principals van agentblauwdrukken en Agent-identiteiten om de individuele agentblauwdrukken en/of agent-identiteiten te selecteren die zijn goedgekeurd voor gebruik in uw omgeving.
        3. Selecteer Selecteren.
  6. Onder Doelbronnen:
    1. Onder Opnemen, selecteer alle resources (voorheen 'Alle cloud-apps').
  7. Onder Toegangsbeheer>Verlenen:
    1. Selecteer Blokkeren.
    2. Selecteer Selecteren.
  8. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  9. Selecteer Maken om uw beleid te maken.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Voorkomen dat agents met een hoog risico toegang krijgen tot organisatieresources

In het tweede scenario kunnen organisaties een beleid voor voorwaardelijke toegang maken om agents met een hoog risico te blokkeren op basis van signals van Microsoft Entra Id-beveiliging. Zie Identity Protection voor agents voor meer informatie over risicodetectietypen en reacties voor agents.

Met de volgende stappen maakt u een beleid voor voorwaardelijke toegang om te voorkomen dat alle agents met een hoog risico toegang krijgen tot de resources van uw organisatie.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. Maak een zinvolle standaard voor de namen van uw beleid.
  5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
    1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Onder Opnemen, selecteer Alle agentidentiteiten.
  6. Onder Doelbronnen:
    1. Onder Opnemen, selecteer alle resources (voorheen 'Alle cloud-apps').
  7. \ Stel onder Voorwaarden>Agentrisico (Preview)Configureren in op Ja.
    1. Onder Agentrisiconiveaus configureren die nodig zijn om beleid af te dwingen selecteer je Hoog. Deze richtlijnen zijn gebaseerd op Microsoft-aanbevelingen en kunnen voor elke organisatie anders zijn.
  8. Onder Toegangsbeheer>Verlenen.
    1. Selecteer Blokkeren.
    2. Selecteer Selecteren.
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid in te schakelen.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Beleid voor gebruikersaccounts van autonome agents

Sommige autonome agents kunnen werken als gebruikers met hun eigen postvakken, groepslidmaatschappen en bedrijfsidentiteiten. Deze agents gebruiken het gebruikersaccount van een agent in plaats van (of naast) een agentidentiteit.

Conditional Access breidt de handhaving van beleid uit tot deze gebruikersachtige autonome agents. Beheerders kunnen:

  • Alle agentgebruikers targeten of specifieke agentgebruikers selecteren
  • Beleid toepassen met aangepaste beveiligingskenmerken
  • Agentrisicovoorwaarden toepassen om riskante agents te blokkeren
  • Gebruik de voorwaarde 'uitvoeringsomgevingen van agents' om het bereik van beleidsregels te beperken tot agents die op eindpunten worden uitgevoerd
  • Apparaatcompatibiliteit afdwingen voor agents die worden uitgevoerd op beheerde eindpunten (Windows 365 Cloud-pc's)
  • Compatibele netwerklocaties afdwingen voor agents met een Global Secure Access-client

Als u een beleid voor voorwaardelijke toegang wilt maken voor agents die met hun eigen identiteit werken, gebruikt u de volgende instellingen:

  • Toewijzingen: In een toegangsproces voor agenten wordt het toegangstoken uitgegeven aan de agentidentiteit (het subject van het token), dus wijst u het beleid toe aan agenten of de blauwdruk van hun agentidentiteit.
  • Doelbronnen: selecteer de resources die de agent nodig heeft voor toegang.
  • Voorwaarden: Configureer of de agent risico loopt. Zie voor meer informatie ID Protection voor agents.
  • Toegangsbeheer: omdat deze agent toegang heeft tot resources met een eigen identiteit, is geen herstel mogelijk en is de enige beschikbare optie het blokkeren van toegang.

Gebruikersaccounts van riskante agents blokkeren

Dit beleid blokkeert autonome agents die werken als gebruikers wanneer Microsoft Entra Id-beveiliging gemiddeld of hoog risico detecteert.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. Maak een zinvolle standaard voor de namen van uw beleid.
  5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
    1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Selecteer onder OpnemenAlle agentgebruikers (Preview).
  6. Onder Doelbronnen:
    1. Onder Opnemen, selecteer alle resources (voorheen 'Alle cloud-apps').
  7. \ Stel onder Voorwaarden>Agentrisico (Preview)Configureren in op Ja.
    1. Selecteer Normaal en Hoog onder Agentrisiconiveaus configureren die nodig zijn om beleid af te dwingen.
  8. Onder Toegangsbeheer>Verlenen.
    1. Selecteer Blokkeren.
    2. Selecteer Selecteren.
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid in te schakelen.

Een apparaat dat voldoet aan het beleid vereisen voor gebruikersaccounts van agenten

Sommige autonome agents zijn computergebaseerde agents. Deze agents gebruiken een bureaubladomgeving om taken uit te voeren, vergelijkbaar met hoe een menselijke gebruiker communiceert met toepassingen. Ze draaien doorgaans op toegewezen Windows 365 Cloud-pc's voor agents, dat door Intune beheerde Windows-apparaten zijn. Omdat de cloud-pc een beheerd eindpunt is, kan de nalevingsstatus worden geëvalueerd door voorwaardelijke toegang, net als de laptop van een werknemer.

Niet alle agents worden echter uitgevoerd op eindpunten. Agents die rechtstreeks in de Microsoft-infrastructuur draaien, hebben geen gekoppeld apparaat. Beleidsregels binnen het bereik van deze voorwaarde zijn niet van toepassing op deze cloudeigen agents, waardoor onbedoelde blokkering wordt voorkomen.

De voorwaarde agentuitvoeringsomgevingen (preview) lost dit op door het beleid alleen toe te passen wanneer de gebruikerssessie van de agent wordt gestart vanaf een eindpunt. Cloudeigen agents zonder apparaat worden volledig uitgesloten van evaluatie.

Note

Een agent kan technisch gezien op elke machine draaien. Voor apparaatnalevingscontroles is echter Intune-inschrijving vereist. Deze wordt momenteel alleen ondersteund op Windows 365 Cloud-pc's voor agents. Zonder de voorwaarde voor agentuitvoeringsomgevingen die dit beleid bepalen, worden agents die in de cloudinfrastructuur worden uitgevoerd, geblokkeerd zonder dat er geen pad naar naleving is.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. Maak een zinvolle standaard voor de namen van uw beleid.
  5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
    1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Selecteer onder OpnemenAlle agentgebruikers (Preview).
  6. Onder Doelbronnen:
    1. Onder Opnemen, selecteer alle resources (voorheen 'Alle cloud-apps').
  7. Stel onder Voorwaarden>Agent-uitvoeringsomgevingen (Preview)Configureren in op Ja.
    1. Selecteer onder Opnemenagentgebruikerssessies die zijn gestart vanuit eindpunten.
  8. Onder Toegangsbeheer>Verlenen.
    1. Selecteer Toegang verlenen.
    2. Selecteer Vereisen dat het apparaat als compatibel moet worden gemarkeerd.
    3. Selecteer Selecteren.
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid in te schakelen.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Een compatibel netwerk vereisen voor gebruikersaccounts van agents

Net als bij apparaatcompatibiliteit kunt u vereisen dat agents die worden uitgevoerd op eindpunten verbinding maken via een compatibel netwerk met behulp van Global Secure Access. De Global Secure Access-client die op het eindpunt is geïnstalleerd, biedt het netwerklocatiesignaal dat voorwaardelijke toegang evalueert.

Gebruik de voorwaarde agentuitvoeringsomgevingen (preview) om dit beleid alleen te beperken tot sessies op basis van eindpunten. Zonder deze voorwaarde worden cloud-native agents zonder Global Secure Access-client geblokkeerd, zonder mogelijkheid om te voldoen aan de nalevingsvereisten.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
  2. Blader naar Entra ID>Voorwaardelijke Toegang>Beleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. Maak een zinvolle standaard voor de namen van uw beleid.
  5. Onder Toewijzingen selecteer je gebruikers, agents of workloadidentiteiten.
    1. Selecteer agents onder Waarop dit beleid van toepassing is.
      1. Selecteer onder OpnemenAlle agentgebruikers (Preview).
  6. Onder Doelbronnen:
    1. Onder Opnemen, selecteer alle resources (voorheen 'Alle cloud-apps').
  7. Stel onder Voorwaarden>Agent-uitvoeringsomgevingen (Preview)Configureren in op Ja.
    1. Selecteer onder Opnemenagentgebruikerssessies die zijn gestart vanuit eindpunten.
  8. Onder Toegangsbeheer>Verlenen.
    1. Selecteer Toegang verlenen.
    2. Selecteer Een compatibel netwerk vereisen.
    3. Selecteer Selecteren.
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid in te schakelen.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Verwante inhoud

  • Last updated on