使用条件访问来保护通过自己的 代理用户帐户访问资源的代理，而不是代理标识（或此外）。此访问模式支持需要邮箱、聊天访问权限或以团队成员身份参与协作工作流的代理。
在此访问模式中，访问令牌的主题是代理的用户帐户。 因此，条件访问策略面向代理的用户帐户，而不是其代理标识。
在开始之前，请查看许可、角色、代理用户、设备和网络要求。
Prerequisites
- 以下许可证计划之一：
- Microsoft 365 E7（包括代理 365 和 Microsoft Entra 套件），用于管理用户和代理标识。
- Microsoft Agent 365 许可证需至少搭配 Microsoft Entra P1 或 Microsoft 365 E3。
- 至少需要 条件访问管理员 角色。
- 关联到代理标识的代理用户账户。
- 用于设备合规性的一个代理，该代理在 Intune 托管的面向代理的 Windows 365 云电脑上运行。
Important
代理用户定向功能现处于预览阶段。 面向所有用户的策略不包括代理用户帐户。 代理用户帐户也不支持基于组的包含和排除。 以“所有代理用户”为目标，选择单个代理用户，或使用自定义安全属性。
面向代理标识的策略不适用于代理的用户帐户。 如果代理也使用自己的代理标识，请为该访问模式创建单独的策略。 有关更多信息，请参阅 使用条件访问保护自主代理。
为代理用户创建策略
条件访问将策略强制实施扩展到这些类似用户的自治代理。 管理员可以：
- 面向所有代理用户或选择特定的代理用户
- 使用自定义安全属性应用策略
- 应用代理风险条件以阻止有风险的代理
- 使用代理执行环境条件将策略范围限定为在终结点上运行的代理
- 对在受管理终结点（Windows 365 云电脑）上运行的代理强制执行设备合规性
若要为代理用户创建条件访问策略，请使用以下设置：
- 分配：在代理访问流中，访问令牌将颁发给代理用户（令牌主体），以便将策略分配给代理或其代理标识蓝图。
- 目标资源：选择代理访问所需的资源。
- 条件：配置是否希望在代理处于特定风险级别时应用策略。
- 访问控制：由于此代理使用自己的标识访问资源，因此没有修正，唯一可用的选项是阻止访问。
需要符合要求的设备
有些代理用户是使用计算机的代理。 这些代理运行桌面环境来完成任务，类似于人类用户与应用程序交互的方式。 将此策略用于在托管终结点上运行的代理，例如适用于代理的 Windows 365 云电脑。 代理执行环境（预览版）条件将策略限制为从终结点开始的代理用户会话。 不会在设备上运行的代理被排除在评估之外。
请注意，并非所有代理都在终结点上运行。 直接在Microsoft基础结构中运行的代理没有关联的设备。 此条件限定的策略不适用于那些云原生代理，这可以防止意外的阻止。
- 至少以条件访问管理员的身份登录到Microsoft Entra 管理中心。
- 浏览到 Entra ID>条件访问>策略。
- 选择“ 新建策略”。
- 输入该策略的名称。
- 在 “分配”下，选择“ 用户”、“代理”或“工作负荷标识”。
-
在“此策略适用于什么？”下，选择“代理”。
- 在“包括”下，选择“所有代理用户”（预览版）。
-
在“此策略适用于什么？”下，选择“代理”。
- 在 目标资源>包括下，选择 所有资源（以前为“所有云应用”）。
- 在 条件>代理执行环境（预览版）下，将 “配置 ”设置为 “是”。
- 在 “包含”下，选择 从端点发起的代理用户会话。
- 在访问控制>授权下，选择授予访问权限。
- 选择“ 要求设备标记为合规”，然后选择“ 选择”。
- 将 “启用策略 ”设置为 “仅报告”。
- 选择“创建”。
确认设置后，使用策略影响模式或仅报告模式，将“启用策略”开关从 “仅报告” 切换到 “打开”。
注释
代理可在技术上在任何计算机上运行。 设备符合性要求 Intune 注册，目前仅在适用于代理的 Windows 365 云电脑上受支持。 如果没有用 代理执行环境 这一条件来限定此策略，那么在云基础设施中运行的代理将被阻止，且没有合规路径。