使用条件访问保护自主代理

使用增强的对象选取器创建条件访问策略

组织可以使用增强的对象选取器创建条件访问策略，以阻止除组织审核和批准的代理之外的所有代理。

增强的对象选取器取代了策略配置的分配和目标资源部分中以前的平面列表体验。 新体验旨在简化要在策略中确定范围的项的选择。

1. 至少以条件访问管理员的身份登录到Microsoft Entra 管理中心。
2. 浏览到 Entra ID>条件访问>策略。
3. 选择“ 新建策略”。
4. 为策略指定名称。 为策略的名称创建有意义的标准。
5. 在 “分配”下，选择“ 用户”、“代理”或“工作负荷标识”。
   1. 在“此策略适用于什么？”下，选择“代理”。
      1. 在“包括”下，选择“所有代理身份”。
      2. 在“排除”下：
         1. 选择单个代理标识。
         2. 使用增强的对象选取器，在 “全部”、“ 代理蓝图主体”和“ 代理标识 ”选项卡之间进行切换，以选择要排除的单个代理蓝图、代理标识或两者。
         3. 选择 选择。
6. 在 “目标资源”下：
   1. 在 “包括”下，选择 “所有资源”（以前为“所有云应用”）。
7. 在“访问控制”>“授予”下：
   1. 选择“冻结”。
   2. 选择 选择。
8. 确认设置，并将 “启用策略 ”设置为 “仅报告”。
9. 选择“ 创建 ”以创建策略。

确认设置后，使用策略影响模式或仅报告模式，将“启用策略”开关从 “仅报告” 切换到 “打开”。

有关分配选项和对象选取器的详细信息，请参阅 条件访问策略中的目标代理标识。

使用自定义安全属性创建条件访问策略

创建此策略的建议方法是为每个代理或代理蓝图创建和分配自定义安全属性，然后使用条件访问策略将这些属性作为目标。 此方法使用与 条件访问策略中应用程序筛选器中所述的步骤类似。 可以将多个属性集的属性分配给代理或云应用程序。

创建和分配自定义属性

1. 创建自定义安全属性：
   1. 创建名为 AgentAttributes的属性集。
   2. 创建一个名为 AgentApprovalStatus的新属性，该属性具有允许分配多个值，并且仅允许选择预定义值。
      1. 添加以下预定义值： 新建、 In_Review、 HR_Approved、 Finance_Approved和 IT_Approved。
2. 创建另一个属性集以将代理允许访问的资源分组：
   1. 创建名为 ResourceAttributes的属性集。
   2. 创建一个名为 Department的新属性，该属性具有“允许分配多个值”，并且仅允许选择预定义值。
      1. 添加以下预定义值： Finance、 HR、 IT、 Marketing 和 Sales。
3. 将适当的值分配给允许代理访问的资源。 例如，你可能只希望 HR_Approved 的代理访问标记为 HR 的资源。

创建条件访问策略

完成上述步骤后，使用自定义安全属性创建条件访问策略，以阻止除组织审阅和批准的所有代理。

完成上述步骤后，使用自定义安全属性创建条件访问策略，以阻止除组织审阅和批准的所有代理。

1. 至少以条件访问管理员的身份登录到Microsoft Entra 管理中心。
2. 浏览到 Entra ID>条件访问>策略。
3. 选择“ 新建策略”。
4. 为策略指定名称。 为策略的名称创建有意义的标准。
5. 在 “分配”下，选择“ 用户”、“代理”或“工作负荷标识”。
   1. 在“此策略适用于什么？”下，选择“代理”。
      1. 在“包括”下，选择“所有代理身份”。
      2. 在“排除”下：
         1. 根据属性选择代理标识。
         2. 将“配置”设置为“是”。
         3. 选择之前创建的属性 AgentApprovalStatus。
         4. 将 运算符 设置为 包含。
         5. 将 值 设置为 HR_Approved。
         6. 选择“ 完成”。
6. 在 “目标资源”下：
   1. 在 “包括”下，选择 “所有资源”（以前为“所有云应用”）。
7. 在“访问控制”>“授予”下：
   1. 选择“冻结”。
   2. 选择 选择。
8. 确认设置，然后将“启用策略”设置为“只限报告”。
9. 选择“ 创建 ”以创建策略。

确认设置后，使用策略影响模式或仅报告模式，将“启用策略”开关从 “仅报告” 切换到 “打开”。