使用條件式存取來保護以使用者身分運作的代理程式

使用條件存取來保護透過自身 代理使用者帳號存取資源的代理，而非（或附加）代理身份。此存取模式支援需要信箱、聊天權限或作為團隊成員參與協作工作流程的客服人員。

在此存取模式中，存取權杖的主體是代理的使用者帳號。 因此，條件存取政策針對的是代理的使用者帳號，而非代理身份。

開始前，請先檢視授權、角色、代理使用者、裝置及網路需求。

先決條件

• 下列其中一種授權方案：
  • Microsoft 365 E7，包含 Agent 365 與 Microsoft Entra 套件，提供使用者與代理身份的治理。
  • Microsoft Agent 365 授權需搭配至少 Microsoft Entra P1 或 Microsoft 365 E3。
• 至少要有 條件式存取管理員 角色。
• 一個與代理身份連結的 客服使用者帳號 。
• 用於裝置合規、在由 Intune 管理的 Windows 365 Cloud PC for Agents 上執行的代理程式。
• 適用於符合規範的網路原則：在由 Intune 管理且已安裝 全域安全存取 用戶端的 Windows 365 代理程式雲端電腦上執行的代理程式。

針對代理身份的政策不適用於代理的使用者帳號。 如果代理也使用自己的代理身份，請為該存取模式建立獨立政策。 欲了解更多資訊，請參閱 「以條件存取保護自主代理」。

為代理使用者建立政策

條件式存取將原則強制執行延伸至這些類似使用者的自主代理。 系統管理員可以:

• 鎖定所有代理使用者或選擇特定代理使用者
• 使用自訂安全屬性套用政策
• 套用代理人風險條件來阻擋風險代理人
• 利用代理執行環境條件來設定政策範圍，適用於端點上執行的代理
• 針對在受管理的端點（Windows 365 雲端電腦）上執行的代理程式強制執行裝置合規性
• 針對在受控端點（Windows 365 雲端電腦）上使用 Global Secure Access 用戶端執行的代理程式，強制套用符合規範的網路位置

要為代理使用者建立條件存取政策，請使用以下設定：

• 指派：在代理存取流程中，存取權杖會發放給代理使用者（權杖主體），因此你會將政策指派給代理或其代理身份藍圖。
• 目標資源：選擇代理需要存取的資源。
• 條件：設定您是否希望在代理人處於特定風險等級時套用該政策。 例如，針對高風險代理人的限制性政策。 欲了解更多資訊，請參閱 代理人身份保護。
• 存取控制：由於該代理以自身身份存取資源，無法修復，唯一可用的選項是封鎖存取。

封鎖有風險的客服用戶帳號

建立一項政策，當 Microsoft Entra ID Protection 偵測到中高代理風險時，會封鎖代理使用者帳號。 Agent Risk 目前處於預覽階段。

1. 請至少以「條件式存取管理員」的身份登入Microsoft Entra 管理中心。
2. 請瀏覽至 Entra ID>條件存取>政策。
3. 選擇 新政策。
4. 輸入政策名稱。
5. 在 「指派」中，選擇 使用者、代理或工作負載身份。
6. 在「 此政策適用於哪些？」中，選擇 代理人。
   1. 在 包含中，選擇 「所有代理使用者（預覽）」。
7. 在 [目標資源>包含] 底下，選取 [所有資源] （先前稱為 [所有雲端應用程式] 。
8. 在條件>代理風險（預覽）中，將配置設為「是」。
   1. 選擇 中 等和 高。
9. 在存取控制>授權中，選擇封鎖，然後選擇選擇。
10. 將 啟用政策 設為 僅報告。
11. 選取 ，創建。

在使用 政策影響模式或僅報告模式確認設定後，將 啟用政策 切換從 僅限報告 模式移為 開啟。

要求具備合規設備

有些代理使用者是使用電腦的代理。 這些代理在桌面環境中操作以完成任務，類似人類使用者與應用程式的互動方式。 使用此政策適用於在受管端點上執行的代理，例如 Windows 365 Cloud PC for Agents。 代理執行環境（預覽）條件限制該政策僅適用於從端點開始的代理使用者會話。 無法在裝置上運行的代理程式會被排除在評估之外。

請注意，並非所有代理都在端點上運行。 直接在 Microsoft 基礎設施中運行的代理程式沒有相關裝置。 帶有此條件的政策不適用於這些雲端原生代理，這能防止非預期的封鎖。

1. 請至少以「條件式存取管理員」的身份登入Microsoft Entra 管理中心。
2. 請瀏覽至 Entra ID>條件存取>政策。
3. 選擇 新政策。
4. 輸入政策名稱。
5. 在 「指派」中，選擇 使用者、代理或工作負載身份。
   1. 在「 此政策適用於哪些？」中，選擇 代理人。
      1. 在 包含中，選擇 「所有代理使用者（預覽）」。
6. 在 [目標資源>包含] 底下，選取 [所有資源] （先前稱為 [所有雲端應用程式] 。
7. 在條件>代理執行環境（預覽版）中，將配置設為「是」。
   1. 在 「包含」中，選擇 由端點發起的代理使用者會話。
8. 在 [存取控制]>[授權] 下，選取 [授予存取權限]。
   1. 選擇 「要求裝置被標記為合規」，然後選擇 「選擇」。
9. 將 啟用政策 設為 僅報告。
10. 選取 ，創建。

在使用 政策影響模式或僅報告模式確認設定後，將 啟用政策 切換從 僅限報告 模式移為 開啟。

要求網路合規

使用此政策要求端點上的代理程式透過合規網路使用 Global Secure Access 連線。 用戶端提供條件存取（Conditional Access）評估的網路位置訊號。 此規定適用於運行於受管理端點上的代理程式，例如Windows 365 Cloud PC for Agents。

1. 至少以條件存取管理員身份登入 Microsoft Entra 管理中心 。
2. 請瀏覽至 Entra ID>條件存取>政策。
3. 選擇 新政策。
4. 輸入政策名稱。
5. 在 「指派」中，選擇 使用者、代理或工作負載身份。
   1. 在「 此政策適用於哪些？」中，選擇 代理人。
   2. 在 包含中，選擇 「所有代理使用者（預覽）」。
6. 在 [目標資源>包含] 底下，選取 [所有資源] （先前稱為 [所有雲端應用程式] 。
7. 在條件>代理執行環境（預覽版）中，將配置設為「是」。
   1. 在 「包含」中，選擇 由端點發起的代理使用者會話。
8. 在 [存取控制]>[授權] 下，選取 [授予存取權限]。
   1. 選擇 「要求符合規範的網路」，然後選擇 「選擇」。
9. 將 啟用政策 設為 僅報告。
10. 選取 ，創建。

在使用 政策影響模式或僅報告模式確認設定後，將 啟用政策 切換從 僅限報告 模式移為 開啟。

相關內容

• 代理的條件存取
• 條件存取政策中的目標代理身份
• 使用 Microsoft Entra 條件式存取保護自主代理程式
• 利用 Microsoft Entra 代理身份來保護人工智慧的安全
• Microsoft Entra ID 保護與代理程式