Políticas de acesso condicional para o Windows 365 Link

Como parte da configuração do ambiente da sua organização para oferecer suporte ao Windows 365 Link, você deve garantir que suas políticas de Acesso Condicional acomodem a entrada e a conexão de dispositivos Windows 365 Link. Se o Acesso Condicional for usado para proteger recursos usados para acessar PCs na nuvem do Windows 365, conforme descrito em Definir políticas de acesso condicional para o Windows 365, outra política de Acesso Condicional também deverá ser usada para proteger a ação do usuário para registrar ou ingressar dispositivos. Se essa segunda política não for criada, a autenticação do Windows 365 Link poderá falhar.

Para decidir se você precisa de uma política de ação do usuário, siga estas etapas:

1. Verifique se alguma política é acionada ao conectar-se aos recursos do Windows 365.
2. Crie uma nova política de ação do usuário com os mesmos controles de acesso.

Como funciona a autenticação do Windows 365 Link

Os dispositivos PC na nuvem do Windows 365 são autenticados em dois estágios consecutivos:

1. Entrada interativa: quando o usuário entra na tela de entrada do Windows 365 Link, ele pode disparar políticas de Acesso Condicional aplicadas a ações de Registrar ou Ingressar dispositivos. Os usuários podem ver mensagens ou ser desafiados a usar métodos de autenticação multifator mais fortes. Este estágio gera o token que é usado no segundo estágio.

2. Conexões não interativas com recursos do PC na nuvem usando logon único: esse estágio poderá disparar políticas de Acesso Condicional se elas forem aplicadas a recursos como o Windows 365, o Windows Cloud Login e todos os recursos. Os usuários não podem ser solicitados ou desafiados nesta fase. Se for necessária uma autenticação mais forte, a conexão será interrompida e o usuário verá um erro informando que uma janela interativa não pode ser mostrada.

Examinar as políticas existentes

Você pode usar a ferramenta Hipóteses para determinar se alguma política de Acesso Condicional é aplicada a recursos relevantes do Windows 365 durante o estágio de conexão não interativa. Isso inclui uma política aplicada a Todos os recursos (anteriormente, Todos os aplicativos de nuvem).

1. Entre no centro de administração do Microsoft EntraProtection> Políticas de >Acesso>Condicional>What if.
2. Em User or Workload identity (Identidade do usuário), selecione um usuário para testar.
3. Para Aplicativos de nuvem, ações ou contexto de autenticação, selecione Qualquer aplicativo de nuvem.
4. Para Selecionar o tipo de destino, deixe o Aplicativo de nuvem selecionado.
5. Selecione Selecionar aplicativos e, em seguida, selecione os seguintes recursos, se estiverem disponíveis:
   • Windows 365 (ID do aplicativo 0af06dc6-e4b5-4f28-818e-e78e62d137a5).
   • Área de Trabalho Virtual do Azure (ID do aplicativo 9cdead84-a844-4324-93f2-b2e6bb768d07).
   • Login na Nuvem do Windows (ID do aplicativo 270efc09-cd0d-444b-a71f-39af4910ec45).
6. Selecione What If.

Examine cada uma das políticas que serão aplicadas e determine os controles de acesso usados para conceder acesso a esses recursos e configurações de sessão. Observe essas políticas para uso ao criar as novas políticas de ação do usuário na próxima seção.

Criar nova política de Acesso Condicional para o estágio de entrada interativa

Usando as informações coletadas na ferramenta Hipóteses na seção anterior, agora você pode criar uma nova política de Acesso Condicional para exigir os mesmos controles para o estágio de entrada.

1. Entre no centro de administração do Microsoft EntraProtection> Políticas de >Acesso>Condicional>Nova política
2. Dê um nome à sua política. Considere o uso de um padrão significativo para nomes de política.
3. Em Usuários de Atribuições>, selecione 0 usuários e grupos selecionados.
4. Em Incluir, selecione Todos os usuários ou selecione um grupo de usuários que entrarão por meio de dispositivos Windows 365 Link.
5. Em Excluir, selecione Usuários e grupos> , selecione o acesso de emergência da sua organização ou contas de emergência.
6. Em Recursos de> destinoAções do usuário, selecione Registrar ou ingressar dispositivos.
7. Em Conceder controles> de acesso, use os mesmos controles encontrados anteriormente usando a ferramenta What If.
8. Confirme as configurações e defina Habilitar política como Somente relatório.
9. Selecione Criar.
10. Depois de confirmar as configurações usando o modo somente relatório, altere a alternância Habilitar política de Somente relatório para Ativado.

Embora essas etapas sejam especificamente para habilitar a autenticação interativa em dispositivos Windows 365 Link, a política de ação do usuário resultante também é aplicada quando os usuários registram ou ingressam dispositivos no Microsoft Entra ID.

Para obter mais informações sobre como criar políticas de Acesso Condicional para registro de dispositivo, incluindo possíveis conflitos, consulte Exigir autenticação multifator para registro de dispositivo.

Para obter mais informações sobre ações do usuário com Acesso Condicional, consulte Ações do usuário.

Para obter mais informações sobre como criar políticas de Acesso Condicional para recursos usados no Windows 365, consulte Definir políticas de Acesso Condicional.

Próximas etapas

Suprimir o prompt de consentimento para logon único.