Empfohlene Richtlinien für autonome Agents

Verwenden Sie dieses Handbuch, um bedingten Zugriff für Agents zu konfigurieren, die sich mit ihrer eigenen Identität authentifizieren, ohne dass ein Benutzer angemeldet ist. Das Zugriffsmuster ist als Client-Credentials-Fluss bekannt. Anstatt im Namen eines Benutzers zu handeln, authentifiziert sich der Agent mit seinen eigenen Anmeldeinformationen – eine Client-ID, die mit einem Zertifikat oder einer verwalteten Identität gekoppelt ist, die vom Agent-Identitätsplan verwaltet wird. Dieses Zugriffsmuster gilt in den folgenden Szenarien:

  • Autonome Agenten, die unabhängig arbeiten:
    • Diese Agents werden im Hintergrund ausgeführt, reagieren auf Ereignisse oder werden nach einem Zeitplan ausgeführt. Ein typisches Beispiel ist ein Agent, der einen täglichen Bericht generiert und das Ergebnis an eine Gruppe von Mitarbeitern sendet. In diesem Szenario ist kein Benutzer vorhanden, und der Agent arbeitet eigenständig.
  • Agents, die nicht immer im Namen eines Benutzers handeln:
    • Manchmal arbeiten Agenten ganz allein. Beispielsweise ein nicht für Benutzer zugänglicher Back-End-SMS-Dienst. In diesem Szenario gilt der OBO-Fluss nicht, und der Agent greift auf die Zielressource zu, indem er sich direkt mit seiner eigenen Identität authentifiziert.
  • Im Web veröffentlichte Agenten für die öffentliche Nutzung:
    • Diese Agents authentifizieren entweder den Benutzer nicht oder unterstützen die Delegierung des Benutzerkontexts an Downstream-Ressourcen nicht.

In diesen Szenarien ist der Agent der, der Zugriff anfordert, und der Betreff des ausgestellten Zugriffstokens ist die Agentidentität und nicht der Benutzer. Daher gilt der Richtlinienbereich für bedingten Zugriff auf die Agentidentität, nicht für einen Benutzer.

Wichtig

Lesen Sie vor dem Konfigurieren einer Richtlinie für bedingten Zugriff den Artikel " Bedingter Zugriff für Agents ". Sie deckt den Authentifizierungsfluss, Dienstgrenzen und Einschränkungen ab und stellt sicher, dass alle Szenarien abgedeckt sind und Ihre Unternehmensdaten sowie -dienste gut geschützt sind.

Zulassen, dass nur bestimmte Agents auf Ressourcen zugreifen können

Es gibt zwei wichtige Geschäftsszenarien, in denen Richtlinien für bedingten Zugriff Ihnen helfen können, Agents effektiv zu verwalten. Im ersten Szenario sollten Sie sicherstellen, dass nur genehmigte Agents auf Ressourcen zugreifen können. Sie können dies tun, indem Sie Agenten und Ressourcen mit benutzerdefinierten Sicherheitsattributen versehen, die in Ihrer Richtlinie festgelegt sind, oder indem Sie sie manuell über den erweiterten Objektauswahl auswählen.

Erstellen einer Richtlinie für bedingten Zugriff mithilfe der erweiterten Objektauswahl

Alternativ können Organisationen mithilfe der erweiterten Objektauswahl eine Richtlinie für bedingten Zugriff erstellen, um alle Agents außer den von Ihrer Organisation überprüften und genehmigten Agents zu blockieren.

Die verbesserte Objektauswahlfunktion ersetzt die vorherige flache Listenansicht in den Abschnitten "Zuordnung" und "Zielressourcen" der Richtlinienkonfiguration. Die neue Erfahrung soll die Auswahl der Elemente vereinfachen, die Sie in die Richtlinie einschließen möchten.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" "Alle Agentidentitäten" aus.
      2. Führen Sie unter Ausschließen die folgenden Schritte aus:
        1. Wählen Sie "Einzelne Agentidentitäten auswählen" aus.
        2. Wechseln Sie mithilfe der erweiterten Objektauswahl zwischen den Registerkarten "Alle", " Agent-Blueprintprinzipale" und "Agent-Identitäten ", um die einzelnen Agent-Blueprints und/oder Agentidentitäten auszuwählen, die für die Verwendung in Ihrer Umgebung genehmigt wurden.
        3. Wählen Sie Auswählen.
  6. Unter Zielressourcen:
    1. Wählen Sie unter Einschließen die Option Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
  7. Führen Sie unter Zugriffssteuerungen>Gewähren die folgenden Aktionen aus:
    1. Wählen Sie Blockieren aus.
    2. Wählen Sie Auswählen.
  8. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  9. Wählen Sie Erstellen aus, um Ihre Richtlinie zu erstellen.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Verhindern, dass Agents mit hohem Risiko auf Organisationsressourcen zugreifen

Im zweiten Szenario können Organisationen eine Richtlinie für bedingten Zugriff erstellen, um Risiko-Agents basierend auf signalen von Microsoft Entra ID Protection zu blockieren. Ausführliche Informationen zu Risikoerkennungstypen und Reaktionsaktionen für Agents finden Sie unter Identity Protection für Agents.

Mit den folgenden Schritten wird eine Richtlinie für den bedingten Zugriff erstellt, um zu verhindern, dass alle Agents mit hohem Risiko auf die Ressourcen Ihrer Organisation zugreifen.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" "Alle Agentidentitäten" aus.
  6. Unter Zielressourcen:
    1. Wählen Sie unter Einschließen die Option Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Risiko (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter "Agent-Risikostufen konfigurieren", die für die Durchsetzung der Richtlinie erforderlich sind, "Hoch" aus. Diese Anleitung basiert auf Microsoft-Empfehlungen und kann für jede Organisation unterschiedlich sein.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Blockieren aus.
    2. Wählen Sie Auswählen.
  9. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  10. Wählen Sie "Erstellen" aus, um Ihre Richtlinie zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Richtlinien für die Benutzerkonten autonomer Agents

Einige autonome Agents können wie Benutzer mit ihren eigenen Postfächern, Gruppenmitgliedschaften und Unternehmensidentitäten arbeiten. Diese Agents verwenden das Benutzerkonto eines Agents anstelle (oder zusätzlich zu) einer Agentidentität.

Bedingter Zugriff erweitert die Richtlinienerzwingung auf diese benutzerähnlichen autonomen Agents. Administratoren haben folgende Möglichkeiten:

  • Wählen Sie alle Agentenbenutzer aus oder bestimmte Agentenbenutzer.
  • Anwenden von Richtlinien mit benutzerdefinierten Sicherheitsattributen
  • Anwenden von Agent-Risikobedingungen, um riskante Agents zu blockieren
  • Verwenden Sie die Bedingung „Agentenausführungsumgebungen“, um Richtlinien auf Agenten zu beschränken, die auf Endpunkten ausgeführt werden
  • Erzwingen der Gerätecompliance für Agents, die auf verwalteten Endpunkten ausgeführt werden (Windows 365 Cloud-PCs)
  • Konforme Netzwerkstandorte für Agenten mit Global Secure Access-Client erzwingen

Verwenden Sie die folgenden Einstellungen, um eine Richtlinie für bedingten Zugriff für Agents zu erstellen, die mit ihrer eigenen Identität arbeiten:

  • Zuweisungen: In einem Agentenzugriffs-Flow wird das Zugriffstoken an die Agent-Identität (das Token-Subjekt) ausgestellt, daher weisen Sie die Richtlinie Agenten oder deren Agent-Identitäts-Blueprint zu.
  • Zielressourcen: Wählen Sie die Ressourcen aus, auf die der Agent zugreifen muss.
  • Bedingungen: Konfigurieren, ob der Agent gefährdet ist. Weitere Informationen finden Sie unter ID Protection für Agents.
  • Zugriffssteuerung: Da dieser Agent auf Ressourcen mit eigener Identität zugreift, gibt es keine Wartung, und die einzige verfügbare Option blockiert den Zugriff.

Blockieren der Benutzerkonten riskanter Agents

Diese Richtlinie blockiert autonome Agenten, die als Benutzer agieren, wenn Microsoft Entra ID Protection ein mittleres oder hohes Risiko erkennt.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  6. Unter Zielressourcen:
    1. Wählen Sie unter Einschließen die Option Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Risiko (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter "Agent-Risikostufen konfigurieren", die für die Durchsetzung der Richtlinie erforderlich sind, "Mittel" und "Hoch" aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Blockieren aus.
    2. Wählen Sie Auswählen.
  9. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  10. Wählen Sie "Erstellen" aus, um Ihre Richtlinie zu aktivieren.

Ein kompatibles Gerät für die Benutzerkonten von Agenten vorschreiben

Einige autonome Agents sind computergestützte Agents. Diese Agents betreiben eine Desktopumgebung, um Aufgaben auszuführen, ähnlich wie ein menschlichen Benutzer mit Anwendungen interagiert. Sie werden in der Regel auf dedizierten Windows 365 Cloud-PCs für Agents ausgeführt, bei denen es sich um intune verwaltete Windows-Geräte handelt. Da der Cloud-PC ein verwalteter Endpunkt ist, kann sein Konformitätsstatus von Conditional Access ebenso wie bei einem Laptop eines Mitarbeiters ausgewertet werden.

Allerdings werden nicht alle Agenten auf Endpunkten ausgeführt. Agents, die direkt in Microsoft Infrastruktur ausgeführt werden, verfügen nicht über ein zugeordnetes Gerät. Richtlinien, die mit dieser Bedingung versehen sind, gelten nicht für diese cloudnativen Agenten, wodurch unbeabsichtigtes Blockieren verhindert wird.

Die Bedingung Agent-Ausführungsumgebungen (Vorschau) löst dieses Problem, indem die Richtlinie nur angewendet wird, wenn die Agent-Benutzersitzung von einem Endpunkt aus gestartet wird. Cloud-native Agents ohne Gerät werden vollständig von der Auswertung ausgeschlossen.

Note

Ein Agent kann technisch gesehen auf jeder Maschine laufen. Gerätecomplianceprüfungen erfordern jedoch die Intune-Registrierung, die heute nur auf Windows 365 Cloud-PCs für Agents unterstützt wird. Ohne die Bedingung, die den Geltungsbereich dieser Richtlinie auf Agentausführungsumgebungen beschränkt, werden Agenten, die in der Cloud-Infrastruktur ausgeführt werden, blockiert, ohne die Möglichkeit, die Compliance-Anforderungen zu erfüllen.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  6. Unter Zielressourcen:
    1. Wählen Sie unter Einschließen die Option Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Ausführungsumgebungen (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter „Einschließen“von Endpunkten initiierte Agent-Benutzersitzungen aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff gewähren aus.
    2. Wählen Sie Gerät muss als konform gekennzeichnet werden aus.
    3. Wählen Sie Auswählen.
  9. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  10. Wählen Sie "Erstellen" aus, um Ihre Richtlinie zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Ein konformes Netzwerk für die Benutzerkonten von Agenten erfordern

Ähnlich wie bei der Gerätecompliance können Sie verlangen, dass auf Endpunkten ausgeführte Agenten über Global Secure Access eine Verbindung über ein konformes Netzwerk herstellen. Der globale Secure Access-Client, der auf dem Endpunkt installiert ist, stellt das Netzwerkspeicherortsignal bereit, das der bedingte Zugriff auswertet.

Verwenden Sie die Bedingung Agent-Ausführungsumgebungen (Vorschau), um diese Richtlinie ausschließlich auf endpunktbasierte Sitzungen zu beschränken. Ohne diese Bedingung werden cloudeigene Agents ohne globalen Client für den sicheren Zugriff ohne Pfad zur Compliance blockiert.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
  2. Navigieren Sie zu Entra ID>Bedingter Zugriff>Richtlinien.
  3. Wählen Sie Neue Richtlinie.
  4. Benennen Sie Ihre Richtlinie. Erstellen Sie einen aussagekräftigen Standard für die Namen Ihrer Richtlinien.
  5. Wählen Sie unter "Aufgaben" die Option "Benutzer", "Agents" oder "Workloadidentitäten" aus.
    1. Wählen Sie unter "Was gilt diese Richtlinie für?", wählen Sie "Agents" aus.
      1. Wählen Sie unter "Einschließen" die Option "Alle Agentbenutzer" (Vorschau) aus.
  6. Unter Zielressourcen:
    1. Wählen Sie unter Einschließen die Option Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
  7. Legen Sie unter Bedingungen>Agent-Ausführungsumgebungen (Vorschau) " Konfigurieren" auf "Ja" fest.
    1. Wählen Sie unter „Einschließen“von Endpunkten initiierte Agent-Benutzersitzungen aus.
  8. Unter Zugriffssteuerungen>Erteilen:
    1. Wählen Sie Zugriff gewähren aus.
    2. Wählen Sie "Kompatibles Netzwerk anfordern" aus.
    3. Wählen Sie Auswählen.
  9. Bestätigen Sie Ihre Einstellungen und legen Sie Richtlinie aktivieren auf Nur Berichten fest.
  10. Wählen Sie "Erstellen" aus, um Ihre Richtlinie zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Verwandte Inhalte

  • Last updated on