Применение политик безопасности к удаленному сетевому трафику

Выполните следующие действия, чтобы применить политики безопасности к удаленному сетевому трафику с помощью базового профиля.

Шаг 1. Создание или выбор политики безопасности

Если вы еще не создали политику безопасности, создайте ее сначала:

1. Войдите в Центр администрирования Microsoft Entra в качестве Администратора глобального безопасного доступа.
2. Перейдите к global Secure Access>Secure и выберите тип политики, которую вы хотите создать, например:
   • Политика фильтрации веб-содержимого
   • Политики аналитики угроз
   • Политики проверки TLS
   • Политики брандмауэра облака
3. Выберите "Создать политику" и настройте правила политики.
4. Сохраните политику.

Шаг 2. Связывание политики с базовым профилем

1. Перейдите к Глобальный безопасный доступ>Безопасный>Профили безопасности>Базовый профиль.

2. Выберите "Изменить профиль".

3. В представлении политик ссылок выберите "Связать существующую политику>".

4. Выберите тип политики (например, фильтрацию веб-содержимого, аналитику угроз, проверку TLS или брандмауэр облака).

5. Выберите политику, которую вы хотите применить, и назначьте ее приоритет.

6. Нажмите кнопку "Добавить".

7. Нажмите Сохранить.

   

Базовый профиль можно настроить программным способом с помощью API доступа к сети Microsoft Graph. Полное руководство по настройке политик доступа к Интернету с помощью Microsoft Graph см. в статье "Настройка Microsoft Entra Internet Access с помощью API Microsoft Graph".

Предварительные требования для доступа к API

• Делегированные разрешения: NetworkAccess.Read.All и NetworkAccess.ReadWrite.All.
• Клиент API, например Graph Explorer.
• Роль глобального администратора безопасного доступа .

Шаг 1. Получение идентификатора базового профиля

Получите идентификатор базового профиля безопасности.

Просьба

GET https://graph.microsoft.com/beta/networkaccess/filteringProfiles

Ответ

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#networkaccess/filteringProfiles",
  "value": [
    {
      "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
      "name": "Baseline Profile",
      "description": "Default baseline security profile",
      "priority": 65000,
      "state": "enabled",
      "version": "1.0.0",
      "createdDateTime": "2024-01-01T00:00:00Z",
      "lastModifiedDateTime": "2024-01-01T00:00:00Z"
    }
  ]
}

Шаг 2. Создание политики безопасности

Создайте политику безопасности, которую вы хотите применить. В этом примере создается политика фильтрации веб-содержимого.

Просьба

POST https://graph.microsoft.com/beta/networkaccess/filteringPolicies
Content-type: application/json

{
  "name": "Block Social Media for Remote Networks",
  "policyRules": [
    {
      "@odata.type": "#microsoft.graph.networkaccess.webCategoryFilteringRule",
      "name": "Block Social Media",
      "ruleType": "webCategory",
      "destinations": [
        {
          "@odata.type": "#microsoft.graph.networkaccess.webCategory",
          "name": "SocialNetworking"
        }
      ]
    }
  ],
  "action": "block"
}

Ответ

{
  "id": "cccccccc-2222-3333-4444-dddddddddddd",
  "name": "Block Social Media for Remote Networks",
  "description": null,
  "version": "1.0.0",
  "lastModifiedDateTime": "2024-02-11T18:10:28Z",
  "createdDateTime": "2024-02-11T18:10:27Z",
  "action": "block"
}

Шаг 3. Связывание политики с базовым профилем

Свяжите политику безопасности с базовым профилем.

Просьба

POST https://graph.microsoft.com/beta/networkaccess/filteringProfiles/{baseline-profile-id}/policies
Content-type: application/json

{
  "priority": 100,
  "state": "enabled",
  "@odata.type": "#microsoft.graph.networkaccess.filteringPolicyLink",
  "loggingState": "enabled",
  "policy": {
    "id": "cccccccc-2222-3333-4444-dddddddddddd",
    "@odata.type": "#microsoft.graph.networkaccess.filteringPolicy"
  }
}

Ответ

{
  "id": "dddddddd-9999-0000-1111-eeeeeeeeeeee",
  "priority": 100,
  "state": "enabled",
  "version": "1.0.0",
  "loggingState": "enabled",
  "lastModifiedDateTime": "2024-02-11T18:31:32Z",
  "createdDateTime": "2024-02-11T18:31:32Z",
  "policy": {
    "@odata.type": "#microsoft.graph.networkaccess.filteringPolicy",
    "id": "cccccccc-2222-3333-4444-dddddddddddd",
    "name": "Block Social Media for Remote Networks",
    "description": null,
    "version": "1.0.0",
    "action": "block"
  }
}