Dispositivi gestiti tramite identità con controllo delle app per l'accesso condizionale

È possibile aggiungere condizioni ai criteri per stabilire se un dispositivo è gestito o meno. Per identificare lo stato di un dispositivo, configurare i criteri di accesso e sessione per verificare la presenza di condizioni specifiche, a seconda che si disponga o meno di Microsoft Entra.

Verificare la gestione dei dispositivi con Microsoft Entra

Se si dispone di Microsoft Entra, fare in modo che i criteri verifichino la presenza di dispositivi conformi a Microsoft Intune o di dispositivi aggiunti a Microsoft Entra in modalità ibrida.

L'accesso condizionale di Microsoft Entra consente di trasferire direttamente a Defender for Cloud Apps le informazioni sui dispositivi conformi a Intune e aggiunti in modo ibrido a Microsoft Entra. In Defender for Cloud Apps creare un criterio di accesso o sessione che consideri lo stato del dispositivo. Per altre informazioni, vedere Che cos'è un'identità del dispositivo?

Verificare la gestione dei dispositivi senza Microsoft Entra

Se non si dispone di Microsoft Entra, verificare la presenza di certificati client in una catena attendibile. Usare i certificati client esistenti già distribuiti nell'organizzazione o implementare nuovi certificati client nei dispositivi gestiti.

Assicurarsi che il certificato client sia installato nell'archivio utenti e non nell'archivio computer. Usare quindi la presenza di tali certificati per impostare i criteri di accesso e sessione.

Dopo aver caricato il certificato e configurato un criterio pertinente, quando una sessione applicabile attraversa Defender for Cloud Apps e il controllo dell'app di accesso condizionale, Defender for Cloud Apps richiede al browser di presentare i certificati client SSL/TLS. Il browser fornisce i certificati client SSL/TLS installati con una chiave privata. Un certificato e la relativa chiave privata vengono in genere inseriti in un pacchetto usando il formato di file PKCS #12, ad esempio .p12 o pfx.

Quando viene eseguito un controllo del certificato client, Defender for Cloud Apps verifica le condizioni seguenti:

• Il certificato client selezionato è valido e si trova nella CA radice o intermedia corretta.
• Il certificato non viene revocato (se CRL è abilitato).

Configurare un criterio per applicare la gestione dei dispositivi tramite certificati client

Per richiedere l'autenticazione dai dispositivi interessati tramite certificati client, è necessario un certificato SSL/TLS X.509 di un'autorità di certificazione (CA) radice o intermedia, in formato .PEM. I certificati devono contenere la chiave pubblica della CA, che viene quindi usata per firmare i certificati client presentati durante una sessione.

Caricare i certificati CA radice o intermedi in Defender for Cloud Apps nella pagina Impostazioni > App cloud > Controllo app per l'accesso condizionale > Identificazione dispositivo.

Dopo il caricamento dei certificati, è possibile creare criteri di accesso e sessione in base al tag dispositivo e al certificato client valido.

Per testare l'identificazione del dispositivo basata su certificati client, usare la CA radice di esempio e il certificato client, come indicato di seguito:

1. Scarica il certificato CA radice di esempio (.pem) e certificato client di esempio (.pfx).
2. Carica il certificato della CA radice in Defender for Cloud Apps.
3. Installare il certificato client nei dispositivi pertinenti. La password è Microsoft.

Contenuto correlato

Per ulteriori informazioni, vedi Proteggere le app con il controllo app di Accesso condizionale di Microsoft Defender for Cloud Apps.