Agentes seguros que atuam como utilizadores com Acesso Condicional

Use o Acesso Condicional para proteger um agente que acede a recursos através da sua própria conta de utilizador agente, em vez de (ou em complemento) de uma identidade de agente. Este padrão de acesso suporta agentes que necessitam de uma caixa de correio, acesso a chat ou a capacidade de participar em fluxos de trabalho colaborativos como membro da equipa.

Neste padrão de acesso, o sujeito do token de acesso é a conta de utilizador do agente. As políticas de Acesso Condicional visam, portanto, a conta de utilizador do agente, não a sua identidade de agente.

Antes de começar, reveja os requisitos de licenciamento, funções, agente-utilizador, dispositivo e rede.

Pré-requisitos

  • Um dos seguintes planos de licença:
    • Microsoft 365 E7, que inclui o Agent 365 e o Microsoft Entra Suite, para assegurar a governação de identidades de utilizadores e agentes.
    • Licença Microsoft Agent 365 combinada com, pelo menos, Microsoft Entra P1 ou Microsoft 365 E3.
  • Pelo menos o papel de Administrador de Acesso Condicional .
  • Uma conta de utilizador de agente ligada à identidade de um agente.
  • Para a conformidade do dispositivo, um agente que é executado num Windows 365 Cloud PC for Agents gerido pelo Intune.
  • Para políticas de rede compatíveis, um agente que é executado num Windows 365 Cloud PC para Agentes gerido pela Intune, com o cliente Global Secure Access instalado.

Importante

O direcionamento de utilizadores do agente está em pré-visualização. As políticas que visam todos os utilizadores não incluem contas de utilizadores agentes. A inclusão e exclusão em grupo também não são suportadas para contas de utilizador agente. Direcionar "todos os utilizadores de agentes", selecionar utilizadores individuais de agentes ou usar atributos de segurança personalizados.

Uma política que visa a identidade de um agente não se aplica à conta de utilizador do agente. Se o agente também usar a sua própria identidade de agente, crie uma política separada para esse padrão de acesso. Para mais informações, consulte Proteger agentes autónomos com Acesso Condicional.

Criação de políticas para utilizadores de agentes

O Acesso Condicional estende a aplicação de políticas a estes agentes autónomos semelhantes ao utilizador. Os administradores podem:

  • Selecionar todos os utilizadores agente como alvo ou selecionar utilizadores agente específicos
  • Aplicar políticas usando atributos de segurança personalizados
  • Aplicar condições de risco para agentes para bloquear agentes de risco
  • Utilize a condição de ambientes de execução dos agentes para restringir o âmbito das políticas aos agentes em execução nos terminais
  • Aplicar a conformidade dos dispositivos a agentes em execução em pontos finais geridos (Cloud PCs do Windows 365)
  • Impor localizações de rede compatíveis para agentes a correr em endpoints geridos (PCs Cloud com Windows 365) com um cliente Global Secure Access

Para criar uma política de Acesso Condicional para utilizadores agentes, utilize as seguintes definições:

  • Atribuições: Num fluxo de acesso de agente, o token de acesso é emitido aos utilizadores agentes (o sujeito do token), pelo que atribui a política aos agentes ou ao seu modelo de identidade do agente.
  • Recursos-alvo: Selecione os recursos que o agente precisa de aceder.
  • Condições: Configure se quer que a política se aplique quando o agente está num determinado nível de risco. Por exemplo, uma apólice restritiva para agentes de alto risco. Para mais informações, consulte Proteção de Identificação para agentes.
  • Controlo de acesso: Como este agente acede a recursos com a sua própria identidade, não há remediação e a única opção disponível é bloquear o acesso.

Bloquear contas de utilizador de agentes arriscados

Crie uma política que bloqueie contas de utilizador de agente quando Microsoft Entra ID Protection detetar um risco de agente médio ou elevado. O risco do agente está em Pré-visualização.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Introduza um nome para a política.
  5. Em Atribuições, selecione Utilizadores, agentes ou identidades de carga de trabalho.
  6. Em A Que se aplica esta política?, selecione Agentes.
    1. Em Incluir, selecione Todos os utilizadores do agente (Pré-visualização).
  7. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente "Todos os aplicativos na nuvem").
  8. Em Conditions>Agent risk (Pré-visualização), defina Configurar para Sim.
    1. Selecione Médio e Alto.
  9. Em Controlos de acesso>Conceder, selecione Bloquear e, em seguida, Selecionar.
  10. Definir a política de Ativar para apenas relatório.
  11. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo somente relatório, mova a alternância Habilitar política de Somente relatório para Ativado.

Exigir um dispositivo compatível

Alguns utilizadores-agente são agentes que utilizam computadores. Estes agentes operam um ambiente de ambiente de trabalho para completar tarefas, de forma semelhante à forma como um utilizador humano interage com as aplicações. Use esta política para um agente que corra num endpoint gerido, como um PC Cloud com Windows 365 para Agentes. A condição de ambientes de execução do agente (Preview) limita a política às sessões do utilizador do agente que começam nos endpoints. Agentes que não funcionam num dispositivo são excluídos da avaliação.

Note que nem todos os agentes correm nos endpoints. Agentes a correr diretamente na infraestrutura da Microsoft não têm um dispositivo associado. As políticas abrangidas por esta condição não se aplicam a esses agentes nativos da cloud, o que evita bloqueios não intencionais.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Introduza um nome para a política.
  5. Em Atribuições, selecione Utilizadores, agentes ou identidades de carga de trabalho.
    1. Em A Que se aplica esta política?, selecione Agentes.
      1. Em Incluir, selecione Todos os utilizadores do agente (Pré-visualização).
  6. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente "Todos os aplicativos na nuvem").
  7. Em Condições>Ambientes de execução do agente (Pré-visualização), defina Configurar como Sim.
    1. Em Incluir, selecione sessões de utilizador do agente iniciadas nos pontos finais.
  8. Em Controlo de acesso>Conceder, selecione Conceder acesso.
    1. Selecione Exigir que o dispositivo seja marcado como conforme e depois selecione Selecionar.
  9. Definir a política de Ativar para apenas relatório.
  10. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo somente relatório, mova a alternância Habilitar política de Somente relatório para Ativado.

Note

Tecnicamente, um agente pode correr em qualquer máquina. A conformidade com dispositivos requer a inscrição no Intune, que atualmente só é suportada em PCs Cloud com Windows 365 para Agentes. Sem a condição ambientes de execução do agente a delimitar o âmbito desta política, os agentes em execução na infraestrutura na cloud ficam bloqueados, sem qualquer forma de cumprir.

Exigir uma rede compatível

Use esta política para exigir que os agentes a correr nos endpoints se conectem através de uma rede compatível usando o Global Secure Access. O cliente fornece o sinal de localização da rede que o Acesso Condicional avalia. Isto aplica-se a agentes que correm num endpoint gerido, como um Windows 365 Cloud PC for Agents.

  1. Inicia sessão no centro de administração do Microsoft Entra pelo menos como Administrador de Acesso Condicional.
  2. Navegue até Entra ID>Acesso Condicional>Políticas.
  3. Selecione Nova política.
  4. Introduza um nome para a política.
  5. Em Atribuições, selecione Utilizadores, agentes ou identidades de carga de trabalho.
    1. Em A Que se aplica esta política?, selecione Agentes.
    2. Em Incluir, selecione Todos os utilizadores do agente (Pré-visualização).
  6. Em Recursos de destino>Incluir, selecione Todos os recursos (anteriormente "Todos os aplicativos na nuvem").
  7. Em Condições>Ambientes de execução do agente (Pré-visualização), defina Configurar como Sim.
    1. Em Incluir, selecione sessões de utilizador do agente iniciadas nos pontos finais.
  8. Em Controlo de acesso>Conceder, selecione Conceder acesso.
    1. Selecione Exigir rede compatível e depois selecione Selecionar.
  9. Definir a política de Ativar para apenas relatório.
  10. Selecione Criar.

Depois de confirmar suas configurações usando o impacto da política ou o modo somente relatório, mova a alternância Habilitar política de Somente relatório para Ativado.

Note

Use a condição de ambientes de execução do Agente (Preview) para definir esta política apenas para sessões baseadas em endpoints. Sem esta condição, os agentes nativos da cloud sem o cliente Global Secure Access ficam bloqueados, sem forma de alcançar a conformidade.

Conteúdo relacionado

  • Última atualização a