Proteger agentes que atuam como usuários com acesso condicional

Use o Acesso Condicional para proteger um agente que acessa recursos por meio de sua própria conta de usuário do agente, em vez de (ou além) de uma identidade de agente. Esse padrão de acesso dá suporte a agentes que precisam de uma caixa de correio, acesso ao chat ou à capacidade de participar de fluxos de trabalho colaborativos como membro da equipe.

Nesse padrão de acesso, o assunto do token de acesso é a conta de usuário do agente. Portanto, as políticas de Acesso Condicional têm como destino a conta de usuário do agente, não a identidade do agente.

Antes de começar, examine os requisitos de licenciamento, função, agente-usuário, dispositivo e rede.

Pré-requisitos

  • Um dos seguintes planos de licença:
    • Microsoft 365 E7, que inclui o Agente 365 e Suíte do Microsoft Entra, para fornecer governança de identidades de usuário e agente.
    • licença do Microsoft Agent 365 associada a pelo menos o Microsoft Entra P1 ou o Microsoft 365 E3.
  • Pelo menos a função administrador de acesso condicional .
  • Uma conta de usuário do agente vinculada a uma identidade de agente.
  • Para conformidade de dispositivos, um agente que é executado em um Windows 365 Cloud PC para Agentes gerenciado pelo Intune.
  • Para políticas de rede compatíveis, um agente que é executado em um Windows 365 Cloud PC para Agentes gerenciado pelo Intune com o cliente Acesso Seguro Global instalado.

Importante

O direcionamento de usuários do agente está em prévia. As políticas direcionadas a todos os usuários não incluem contas de usuário do agente. Também não há suporte para inclusão e exclusão baseadas em grupo para contas de usuário do agente. Direcione "todos os usuários do agente", selecione usuários individuais do agente ou use atributos de segurança personalizados.

Uma política direcionada a uma identidade de agente não se aplica à conta de usuário do agente. Se o agente também usar sua própria identidade de agente, crie uma política separada para esse padrão de acesso. Para obter mais informações, consulte Proteger agentes autônomos com acesso condicional.

Criando políticas para usuários agentes

O Acesso Condicional estende a imposição de política a esses agentes autônomos semelhantes ao usuário. Os administradores podem:

  • Direcionar todos os usuários do agente ou selecionar usuários específicos do agente
  • Aplicar políticas usando atributos de segurança personalizados
  • Aplicar condições de risco do agente para bloquear agentes arriscados
  • Use a condição de ambientes de execução do agente para definir o escopo das políticas para agentes em execução em pontos de extremidade
  • Aplicar a conformidade de dispositivo para agentes executados em endpoints gerenciados (Cloud PCs do Windows 365)
  • Imponha locais de rede compatíveis para agentes em execução em pontos de extremidade gerenciados (Windows 365 Cloud PCs) com um cliente de Acesso Seguro Global

Para criar uma política de Acesso Condicional para usuários do agente, use as seguintes configurações:

  • Atribuições: em um fluxo de acesso de agente, o token de acesso é emitido para os usuários agentes (o titular do token); portanto, você atribui a política aos agentes ou ao modelo de identidade do agente.
  • Recursos de destino: selecione os recursos que o agente precisa acessar.
  • Condições: configure se você deseja que a política seja aplicada quando o agente estiver em um determinado nível de risco. Por exemplo, uma política restritiva para agentes de alto risco. Para obter mais informações, consulte ID Protection para agentes.
  • Controle de acesso: como esse agente acessa recursos com sua própria identidade, não há correção e a única opção disponível é bloquear o acesso.

Bloquear contas de usuário do agente arriscado

Crie uma política que bloqueia contas de usuário do agente quando Microsoft Entra ID Protection detecta o risco médio ou alto do agente. O risco do agente está em versão preliminar.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um administrador de acesso condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Insira um nome para a política.
  5. Em Atribuições, selecione Usuários, agentes ou identidades de carga de trabalho.
  6. Em O que essa política se aplica?, selecione Agentes.
    1. Em Incluir, selecione Todos os usuários do agente (versão prévia).
  7. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente 'Todos os aplicativos de nuvem').
  8. Em Condições>Risco do agente (Versão Prévia), defina Configurar como Sim.
    1. Selecione Médio e Alto.
  9. Em Controles de acesso>Conceder, selecione Bloquear e, em seguida, selecione Selecionar.
  10. Defina Habilitar política como Somente relatório.
  11. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo Somente Relatório, mova o alternador Habilitar política de Somente Relatório para Ativar.

Exigir um dispositivo em conformidade

Alguns usuários de agentes são agentes que usam computadores. Esses agentes operam um ambiente de área de trabalho para concluir tarefas, semelhante à maneira como um usuário humano interage com aplicativos. Use esta política para um agente que é executado em um endpoint gerenciado, como um Cloud PC do Windows 365 para Agentes. A condição Ambientes de execução do agente (Versão prévia) restringe a política a sessões de usuário do agente iniciadas em pontos de extremidade. Os agentes que não são executados em um dispositivo são excluídos da avaliação.

Observe que nem todos os agentes são executados em pontos de extremidade. Os agentes executados diretamente na infraestrutura da Microsoft não têm um dispositivo associado. As políticas com escopo com essa condição não se aplicam a esses agentes nativos de nuvem, o que impede o bloqueio não intencional.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um administrador de acesso condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Insira um nome para a política.
  5. Em Atribuições, selecione Usuários, agentes ou identidades de carga de trabalho.
    1. Em O que essa política se aplica?, selecione Agentes.
      1. Em Incluir, selecione Todos os usuários do agente (versão prévia).
  6. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente 'Todos os aplicativos de nuvem').
  7. Em Condições>Ambientes de execução do agente (Versão prévia), defina Configurar como Sim.
    1. Em Incluir, selecione sessões de usuário do agente iniciadas a partir de endpoints.
  8. Em Controles de acesso>Conceder, selecione Conceder acesso.
    1. Selecione Exigir que o dispositivo seja marcado como compatível e selecione Selecionar.
  9. Defina Habilitar política como Somente relatório.
  10. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo Somente Relatório, mova o alternador Habilitar política de Somente Relatório para Ativar.

Note

Tecnicamente, um agente pode ser executado em qualquer computador. A conformidade do dispositivo requer o registro do Intune, que hoje só tem suporte em computadores de nuvem Windows 365 para agentes. Sem a condição de ambientes de execução do Agente que analisa essa política, os agentes em execução na infraestrutura de nuvem são bloqueados sem caminho para a conformidade.

Exigir uma rede em conformidade

Use esta política para exigir que os agentes em execução em pontos de extremidade se conectem por meio de uma rede compatível usando o Acesso Seguro Global. O cliente fornece o sinal de local de rede que o Acesso Condicional avalia. Isso se aplica a agentes que são executados em um ponto de extremidade gerenciado, como um pc de nuvem Windows 365 para agentes.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Insira um nome para a política.
  5. Em Atribuições, selecione Usuários, agentes ou identidades de carga de trabalho.
    1. Em O que essa política se aplica?, selecione Agentes.
    2. Em Incluir, selecione Todos os usuários do agente (versão prévia).
  6. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente 'Todos os aplicativos de nuvem').
  7. Em Condições>Ambientes de execução do agente (Versão prévia), defina Configurar como Sim.
    1. Em Incluir, selecione sessões de usuário do agente iniciadas a partir de endpoints.
  8. Em Controles de acesso>Conceder, selecione Conceder acesso.
    1. Selecione Exigir rede em conformidade e selecione Selecionar.
  9. Defina Habilitar política como Somente relatório.
  10. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo Somente Relatório, mova o alternador Habilitar política de Somente Relatório para Ativar.

Note

Use a condição Ambientes de execução do agente (Versão prévia) para limitar o escopo desta política apenas a sessões baseadas em endpoint. Sem essa condição, agentes nativos de nuvem sem um cliente de Acesso Seguro Global são bloqueados sem caminho para a conformidade.

Conteúdo relacionado

  • Última atualização em