Устройства, управляемые удостоверениями, с элементом управления условным доступом к приложениям

В этой статье объясняется, как настроить политики управления доступом и сессий с помощью условного доступа, которые используют сигналы управления устройством. Если у вас есть Microsoft Entra, вы можете использовать условия, совместимые с Intune или гибридные устройства с Microsoft Entra. Если у вас нет Microsoft Entra, вы можете использовать клиентские сертификаты для идентификации управляемых устройств.

Проверка управления устройствами с помощью Microsoft Entra

Если у вас есть Microsoft Entra, настройте политики так, чтобы они проверяли, соответствуют ли устройства требованиям Microsoft Intune или являются ли они устройствами, гибридно присоединенными к Microsoft Entra.

Условный доступ Microsoft Entra позволяет напрямую передавать в Defender for Cloud Apps сведения об устройствах, соответствующих требованиям Intune, и об устройствах, гибридно присоединенных к Microsoft Entra. В Defender for Cloud Apps создайте политику доступа или сеанса, которая учитывает состояние устройства. Дополнительные сведения см. в статье Что такое удостоверение устройства?

Проверка управления устройствами без Microsoft Entra

Если у вас нет Microsoft Entra, проверьте наличие клиентских сертификатов в доверенной цепочке. Используйте существующие клиентские сертификаты, уже развернутые в организации, или развертывайте новые клиентские сертификаты на управляемых устройствах.

Убедитесь, что сертификат клиента установлен в хранилище пользователей, а не в хранилище компьютера. Затем вы используете наличие этих сертификатов для настройки политик доступа и сеансов.

После загрузки корневого или промежуточного сертификата CA и настройки соответствующей политики, когда соответствующая сессия проходит через Defender for Cloud Apps и управление приложениями условного доступа, Defender for Cloud Apps запрашивает браузер предоставить сертификаты клиента SSL/TLS. Браузер обслуживает сертификаты клиента SSL/TLS, установленные с закрытым ключом. Сертификат и его закрытый ключ обычно упаковываются с помощью формата файла PKCS #12, например P12 или PFX.

При выполнении проверка сертификата клиента Defender for Cloud Apps проверяет наличие следующих условий:

• Выбранный сертификат клиента действителен и находится в правильном корневом или промежуточном ЦС.
• Сертификат не отозван (если включен список отозванных сертификатов).

Настройка политики для применения управления устройствами с помощью сертификатов клиента

Чтобы запросить проверку подлинности с соответствующих устройств с помощью клиентских сертификатов, требуется сертификат SSL/TLS корневого или промежуточного центра сертификации X.509 в формате . PEM-файл . Сертификаты должны содержать открытый ключ ЦС, который затем используется для подписи сертификатов клиента, представленных во время сеанса.

Загрузите сертификаты корневого или промежуточного центра сертификации в Defender for Cloud Apps на странице Параметры > Облачные приложения > Управление приложениями с условным доступом > Идентификация устройства.

После загрузки корневых или промежуточных сертификатов CA вы можете создавать политики доступа и сессии на основе тегов устройства и сертификата Valid client.

Чтобы проверить идентификацию устройства на основе сертификатов клиента, используйте наш пример корневого ЦС и сертификата клиента, как показано ниже.

1. Скачайте пример сертификата корневого ЦС (PEM) и пример сертификата клиента (PFX).
2. Загрузите корневой сертификат центра сертификации в Defender for Cloud Apps.
3. Установите сертификат клиента на соответствующие устройства. Пароль: Microsoft.

Связанные материалы

Дополнительные сведения см. в статье Защита приложений с помощью Microsoft Defender for Cloud Apps управления условным доступом.