描述条件访问优化代理

Microsoft Entra 代理旨在自动执行重复任务、增强安全作，并无缝集成到现有工作流中。 对于安全运营分析师，这些代理可以显著减少手动工作负载，使团队能够专注于战略计划和复杂的问题解决。

条件访问优化代理（Microsoft Entra 中嵌入的安全 Copilot 代理）可确保所有用户都受到策略的保护。 它根据与零信任和Microsoft学习相符的最佳做法建议策略和更改。 代理提供以下功能：

• 评估需要多重身份验证的策略（MFA）
• 强制实施基于设备的控制（设备合规性、应用保护策略和已加入域的设备）
• 阻止旧式身份验证和设备代码流。

有关代理和先决条件的信息

条件访问优化代理在 Microsoft Entra 中作为 Copilot 嵌入式体验的一部分提供，其特征如下：

• 触发器：代理每 24 小时运行一次，但也可以手动运行。
• 权限：代理会评审策略配置，但仅在你批准建议的情况下才起作用。
• 标识：智能体在配置智能体的管理员的上下文中运行。
• 产品：必须具有 Microsoft Entra 条件访问（至少是 Microsoft Entra ID P1）。 条件访问中的基于设备的控件需要Microsoft Intune 许可证。 还必须拥有可用的智能 Microsoft Security Copilot 副驾驶® 并预配了安全计算单位 (SCU)。 平均而言，每个代理运行消耗的 SCU 数少于一个。
• 插件：Microsoft Entra 是必需的。
• 基于角色的访问权限：必须在预览期间分配安全管理员或全局管理员角色。 默认情况下，这些角色还可以访问 Security Copilot。

入门指南

按照以下步骤配置并运行条件访问优化代理：

1. 转到智能体 - 至少以安全管理员角色登录到 Microsoft Entra 管理中心后，从 Microsoft Entra 主页的智能体通知卡中选择“转到智能体”。
2. 可用智能体 - 智能 Microsoft Security Copilot 副驾驶® 智能体页显示可用智能体的磁贴。 页面当前仅显示条件访问优化代理，但即将推出更多代理。
3. 启动代理 - 在“条件访问优化代理”磁贴中，选择“ 查看详细信息”。 如果以前未运行代理，你将看到 启动代理 以开始代理的第一次运行的选项。
4. 如果您之前已经运行了代理，选择“查看详细信息”将带您到“概述页”。 “概述”页显示最近和下一个计划运行时、性能亮点、最近建议和最近的活动。
5. 策略详细信息 - 选择建议会转到策略详细信息页，可在其中查看代理摘要、用户影响、策略详细信息、进行编辑等。
   1. 新建的策略以仅限报告模式创建。 最佳做法是，组织应将其应急帐户从策略中排除，以避免因错误配置而被锁定。
   2. 管理员使用策略影响或仅限报告模式评估策略设置后，可以将“启用策略”开关从“仅报告”切换为“开”。 由代理创建的策略在条件访问策略窗格中使用条件访问优化代理进行标记。

设置

代理被配置为从最初配置时开始每隔24小时运行一次。 在智能体的设置页下将触发器切换为关闭，然后在特定时间重新开启，以将智能体重新配置为在该时间运行。

使用“对象”下的复选框指定在发出策略建议时代理应监视的内容。 默认情况下，代理将在前 24 小时内查找租户中的新用户和应用程序。

智能体以在租户中启用智能体的用户的标识和权限运行。 由于此要求，您应避免使用需要临时提升权限的帐户，例如使用 Privileged Identity Management (PIM) 进行实时临时提升的帐户。

可以使用可选的自定义说明字段根据需求定制策略。 这样，就可以在智能体执行过程中向其提供提示。 例如：“用户”Break Glass“应从创建的策略中排除。保存自定义指令提示时，安全 Copilot 将尝试解释结果，结果将显示在设置页中。

反馈

使用代理窗口顶部的“提供Microsoft反馈”按钮向Microsoft提供有关代理的反馈。

反馈可确保代理继续提供符合组织需求的高质量、可作的见解。

删除代理

如果不再想要使用条件访问优化代理，可以使用代理窗口顶部的“删除代理”按钮将其删除。

局限性

虽然条件访问优化代理具有显著优势，但公共预览版期间，它存在一些限制：

• 在预览期间，请避免使用需要通过 Privileged Identity Management 激活角色的帐户来设置智能体。 使用没有站立权限的帐户可能会导致代理的身份验证失败。
• 智能体启动后，就无法停止或暂停。 运行可能需要几分钟时间。
• 对于策略合并，每次代理运行仅考察四对类似的策略
• 当前，代理以启用它的用户身份运行。
• 在预览版中，应仅从 Microsoft Entra 管理中心运行代理。