Bekannte Einschränkungen bei der App-Steuerung für bedingten Zugriff

In diesem Artikel werden bekannte Einschränkungen für die Verwendung der App-Steuerung für bedingten Zugriff in Microsoft Defender for Cloud Apps beschrieben. Diese Einschränkungen umfassen Dateigrößenbeschränkungen für Sitzungsrichtlinien und Inhaltsüberprüfungen, verschlüsselte Dateiverarbeitung, IPv6-Unterstützung, Reverseproxysitzungsverhalten und Microsoft Edge In-Browser-Schutz. Überprüfen Sie diese Informationen, wenn Sie Sitzungs- oder Zugriffsrichtlinien konfigurieren oder unerwartete Richtlinienverhalten beheben.

Wenden Sie sich an unser Supportteam, um mehr über Sicherheitsbeschränkungen zu erfahren.

Maximale Dateigröße für Sitzungsrichtlinien

Sie können Sitzungsrichtlinien auf Dateien anwenden, die eine maximale Größe von 50 MB haben. Diese maximale Dateigröße ist beispielsweise relevant, wenn Sie Richtlinien definieren, um Dateidownloads von OneDrive zu überwachen, Dateiupdates zu blockieren oder Downloads oder Uploads von Schadsoftwaredateien zu blockieren.

Verwenden Sie für Dateien, die größer als 50 MB sind, die Mandanteneinstellungen, um zu bestimmen, ob die Datei zulässig oder blockiert ist, unabhängig von übereinstimmenden Richtlinien.

Wählen Sie Microsoft Defender XDR Einstellungen>Bedingter Zugriff App-Steuerung>Standardverhalten aus, um Einstellungen für Dateien zu verwalten, die größer als 50 MB sind.

Wenn die Endbenutzersitzung geschützt ist UND die Richtlinie auf "Immer die ausgewählte Aktion anwenden, auch wenn die Daten nicht gescannt werden können" festgelegt ist, wird mit dem Microsoft Edge-Browserschutz jede Datei blockiert, die größer als 50 MB ist.

Maximale Dateigröße für Sitzungsrichtlinien basierend auf der Inhaltsuntersuchung

Sitzungsrichtlinien können Dateiuploads und Downloads basierend auf der Inhaltsüberprüfung blockieren oder überwachen. Die Inhaltsüberprüfung wird nur für Dateien ausgeführt, die beide Bedingungen erfüllen: Die Datei ist kleiner als 30 MB, und die Datei hat weniger als 1 Millionen Zeichen.

Sie können beispielsweise eine der folgenden Sitzungsrichtlinien definieren:

• Hochladen von Dateien blockieren, die Sozialversicherungsnummern enthalten
• Schützen Sie den Download von Dateien, die geschützte Gesundheitsinformationen enthalten
• Blockieren des Downloads von Dateien mit der Vertraulichkeitsbezeichnung "sehr vertraulich"

Bei Inhaltsüberprüfungsrichtlinien wie diesen werden Dateien, die größer als 30 MB sind oder mehr als 1 Millionen Zeichen enthalten, nicht gescannt. Stattdessen unterliegen nicht gescannte Dateien der Richtlinieneinstellung Ausgewählte Aktion immer anwenden, auch wenn die Daten nicht gescannt werden können.

Die folgende Tabelle listet weitere Beispiele für Dateien auf, die gescannt bzw. nicht gescannt werden:

Dateien, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind

Wenn Ihr Mandant das gemeinsame Bearbeiten für Dateien mit verschlüsselten Sensitivitätsbezeichnungen aktiviert, können diese Dateien bei der Inhaltsüberprüfung nicht gelesen werden. Jede Sitzungsrichtlinie, die Uploads oder Downloads basierend auf Bezeichnungsfiltern oder Dateiinhalten blockiert, verwendet stattdessen die Einstellung Ausgewählte Aktion immer anwenden, auch wenn Daten nicht gescannt werden können.

Angenommen, Sie richten eine Sitzungsrichtlinie ein, um Downloads von Dateien mit Kreditkartennummern zu blockieren. Sie aktivieren auch " Immer anwenden" die ausgewählte Aktion, auch wenn Daten nicht gescannt werden können. Bei diesem Setup wird jede Datei mit einer verschlüsselten Vertraulichkeitsbezeichnung blockiert, unabhängig davon, was sie enthält.

Externe B2B-Benutzer in Teams

Sitzungsrichtlinien schützen keine externen B2B-Benutzer (Business-to-Business) für die Zusammenarbeit in Microsoft Teams-Anwendungen.

Sitzungssteuerung mit nicht interaktiven Tokens

Einige Apps verwenden nicht interaktive Zugriffstoken, um Benutzer zwischen Apps in derselben Suite umzuleiten. Wenn eine App in die App-Steuerung für bedingten Zugriff integriert ist, die andere jedoch nicht, funktionieren Sitzungssteuerelemente möglicherweise nicht wie erwartet. Beispielsweise kann der Teams-Client ein nicht interaktives Token für SharePoint abrufen und eine Sitzung in SharePoint Online (SPO) starten. Der Benutzer wird nicht aufgefordert, sich erneut anzumelden, sodass Sitzungskontrollen Richtlinien nicht abfangen oder durchsetzen können. Um diese Lücke zu vermeiden, integrieren Sie alle zugehörigen Apps, z. B. Teams, zusammen mit SPO.

IPv6-Einschränkungen

Zugriffs- und Sitzungsrichtlinien unterstützen nur IPv4. Wenn eine Anforderung über IPv6 erfolgt, werden IP-basierte Richtlinienregeln nicht angewendet. Diese Einschränkung gilt, wenn sowohl Reverseproxy als auch Microsoft Edge-In-Browser-Schutz verwendet werden.

Einschränkungen für Sitzungen, die vom Reverse-Proxy bereitgestellt werden

Die integrierten App-, Kontextverlust- und Dateiuploadbeschränkungen in diesem Abschnitt gelten nur für Sitzungen, die der Reverseproxy bedient. Benutzer von Microsoft Edge können vom In-Browser-Schutz profitieren, anstatt den Reverseproxy zu verwenden, sodass diese Einschränkungen sie nicht beeinträchtigen.

Einschränkungen für integrierte Apps und Browser-Plug-Ins

Die App-Steuerung für bedingten Zugriff in Defender for Cloud Apps ändert den zugrunde liegenden Anwendungscode. Integrierte Apps oder Browsererweiterungen werden derzeit nicht unterstützt.

Als Administrator möchten Sie möglicherweise das Standardsystemverhalten für den Fall definieren, dass eine Richtlinie nicht erzwungen werden kann. Sie können den Zugriff entweder zulassen oder vollständig blockieren.

Einschränkungen durch Kontextverlust

In den folgenden Anwendungen sind wir auf Szenarien gestoßen, in denen das Navigieren zu einem Link dazu führen kann, dass der vollständige Pfad des Links verloren geht. In der Regel gelangt der Benutzer zur Startseite der App.

• ArcGIS
• GitHub
• Microsoft Power Automate
• Microsoft PowerApps
• Workplace von Meta
• ServiceNow
• Workday
• Box
• Smartsheet

Einschränkungen beim Hochladen von Dateien

Wenn Sie eine Sitzungsrichtlinie anwenden, um den Upload vertraulicher Dateien zu blockieren oder zu überwachen, blockieren die Versuche des Benutzers, Dateien oder Ordner mithilfe eines Drag-and-Drop-Vorgangs hochzuladen, die vollständige Liste der Dateien und Ordner in den folgenden Szenarien:

• Ein Ordner, der mindestens eine Datei und mindestens einen Unterordner enthält.
• Ein Ordner, der mehrere Unterordner enthält
• Eine Auswahl von mindestens einer Datei und mindestens einem Ordner
• Auswahl mehrerer Ordner

Die folgende Tabelle enthält Beispielergebnisse, wenn Sie die Richtlinie Upload von Dateien blockieren definieren, die personenbezogene Daten auf OneDrive enthalten :

Einschränkungen für Sitzungen, die mit Microsoft Edge-In-Browser-Schutz bereitgestellt werden

Die Einschränkungen in Bezug auf Google Workspace, Deep Links und die Erzwingung veralteter Richtlinien in diesem Abschnitt gelten nur für Sitzungen, die mit dem In-Browser-Schutz von Microsoft Edge bereitgestellt werden.

Sichere Microsoft Edge-Sitzungssteuerelemente können nicht mit Google Workspace in Microsoft Edge-Enterprise-Browsern verwendet werden

Google Workspace wird nicht mit browserinternem Schutz im Enterprise Microsoft Edge-Browser unterstützt. Daher werden Steuerelemente für sichere Microsoft Edge-Sitzungen in Google Workspaces nicht unterstützt. In Google Workspaces werden DLP-Dateiscans in Echtzeit nicht unterstützt, die Fallbackauthentifizierung von Suffixen wird verwendet, und Das Hochladen, Herunterladen, Ausschneiden und Kopieren von Dateien wird nicht unterstützt.

Deep Link geht verloren, wenn der Benutzer zu Microsoft Edge wechselt, indem er auf "Weiter in Microsoft Edge" klickt.

Ein Benutzer, der eine Sitzung in einem anderen Browser als Microsoft Edge startet, wird aufgefordert, zu Microsoft Edge zu wechseln, indem er auf die Schaltfläche "In Microsoft Edge fortfahren" klickt.

Wenn die URL auf eine Ressource innerhalb der geschützten Anwendung verweist, wird der Benutzer zur Startseite der Anwendung in Microsoft Edge weitergeleitet.

Deep Link geht verloren, wenn der Benutzer zum Microsoft Edge-Arbeitsprofil wechselt.

Ein Benutzer, der eine Sitzung in Microsoft Edge mit einem anderen Profil als dem Arbeitsprofil startet, wird aufgefordert, zu ihrem Arbeitsprofil zu wechseln, indem er auf die Schaltfläche "Zum Arbeitsprofil wechseln" klickt.

Wenn die URL auf eine Ressource innerhalb der geschützten Anwendung verweist, wird der Benutzer zur Startseite der Anwendung in Microsoft Edge weitergeleitet.

Durchsetzung veralteter Sitzungsrichtlinien mit Microsoft Edge

Wenn eine Sitzungsrichtlinie mithilfe des In-Browser-Schutzes von Microsoft Edge erzwungen wird und der Benutzer später aus der entsprechenden Richtlinie für bedingten Zugriff (Ca) entfernt wird, kann die ursprüngliche Sitzungserzwingung weiterhin bestehen bleiben.

Beispielszenario:

Einem Benutzer wurde ursprünglich eine Zertifizierungsstellenrichtlinie für Salesforce zusammen mit einer Defender for Cloud Apps Sitzungsrichtlinie zum Blockieren von Dateidownloads zugewiesen. Daher wurden Downloads blockiert, wenn der Benutzer auf Salesforce in Microsoft Edge zugegriffen hat.

Obwohl der Administrator die Zertifizierungsstellenrichtlinie später entfernt hat, tritt der Downloadblock in Microsoft Edge aufgrund zwischengespeicherter Richtliniendaten weiterhin auf.

Entschärfungsoptionen:

Option 1: Automatische Bereinigung

1. Fügen Sie den Benutzer/die App wieder dem Bereich der Zertifizierungsstellenrichtlinie hinzu.
2. Entfernen Sie die entsprechende Defender for Cloud Apps Sitzungsrichtlinie.
3. Warten Sie, bis Benutzer mithilfe von Microsoft Edge auf die Anwendung zugreifen. Dies löst automatisch das Entfernen der Richtlinie aus.
4. Entfernen Sie den Benutzer/die App aus dem Bereich der Zertifizierungsstellenrichtlinie.

Option 2: Löschen der zwischengespeicherten Richtliniendatei (manuelle Bereinigung)

1. Wechseln Sie zu: C:\Users<username>\AppData\Local\Microsoft\Edge\
2. Datei löschen: mda_store.1.txt

Option 3: Entfernen des Arbeitsprofils in Microsoft Edge (manuelle Bereinigung)

1. Öffnen Sie Microsoft Edge.
2. Navigieren Sie zu Profileinstellungen.
3. Löschen Sie das Arbeitsprofil, das der veralteten Sitzungsrichtlinie zugeordnet ist.

Jede dieser Gegenmaßnahmen erzwingt eine Richtlinienaktualisierung und löst Erzwingungsprobleme im Zusammenhang mit veralteten Sitzungsrichtlinien.

Verwandte Inhalte

• App-Steuerung für bedingten Zugriff in Microsoft Defender for Cloud Apps