Partager via

Accès conditionnel pour l’ID d’agent (aperçu)

L’accès conditionnel pour l’ID de l’agent est une nouvelle fonctionnalité de Microsoft Entra ID qui apporte l’évaluation et l’application de l’accès conditionnel aux agents IA. Cette fonctionnalité étend les mêmes contrôles Confiance Zéro qui protègent déjà les utilisateurs et les applications humains à vos agents. L’accès conditionnel traite les agents comme des identités de première classe et évalue leurs demandes d’accès de la même façon qu’il évalue les demandes d’utilisateurs humains ou d’identités de charge de travail, mais avec une logique spécifique à l’agent.

Pour plus d’informations sur les types d’agents et les défis de gestion des identités et des accès qu’ils présentent, consultez Sécurité pour l’IA avec l’identité de l’agent Microsoft Entra.

Architecture d’identité de l’agent dans Microsoft Entra

Pour comprendre comment l’accès conditionnel fonctionne avec les identités d’agent, il est important de comprendre les principes fondamentaux de l’ID de Microsoft Entra Agent. L’ID d’agent introduit des constructions d’identité de première classe pour les agents. Elles sont modélisées en tant qu’applications (identités d’agent) et utilisateurs (utilisateurs de l’agent).

Terme Descriptif
Blueprint de l’agent Définition logique d’un type d’agent. Nécessaire pour la création du principal de blueprint d’identité de l’agent dans le locataire.
Principal du blueprint d’identité de l’agent Le principal de service qui représente le modèle d'agent dans le contexte du locataire et qui exécute uniquement la création des identités d'agent et des utilisateurs d'agent.
Identité de l’agent Identité de l’agent instanciée. Effectue des acquisitions de jetons pour accéder aux ressources.
Utilisateur d'agent Identité utilisateur non humaine utilisée pour les expériences d’agent qui nécessitent un compte d’utilisateur. Effectue des acquisitions de jetons pour accéder aux ressources.
Ressource de l’agent Agent blueprint ou identité de l'agent jouant le rôle de l'application ressource (par exemple, dans les flux d'agent à agent (A2A)).

Pour plus d’informations, consultez les fonctionnalités de sécurité de l’ID d’agent Microsoft Entra pour les agents IA.

Fonctionnalités d’accès conditionnel pour les identités d’agent et les utilisateurs de l’agent

L’accès conditionnel applique des principes de confiance zéro sur tous les flux d’acquisition de jetons initiés par les identités d’agent et les utilisateurs de l’agent.

L’accès conditionnel s’applique quand :

  • Une identité d’agent demande un jeton pour n’importe quelle ressource (identité de l’agent → flux de ressources).
  • Un utilisateur de l’agent demande un jeton pour n’importe quelle ressource (flux de ressources → utilisateur de l’agent).

L’accès conditionnel ne s’applique pas quand :

  • Un modèle d'identité d'agent acquiert un jeton pour Microsoft Graph pour créer une identité ou un utilisateur d’agent.

    Note

    Les blueprints d’agent ont des fonctionnalités limitées. Ils ne peuvent pas agir indépendamment pour accéder aux ressources et sont uniquement impliqués dans la création d’identités d’agent et d’utilisateurs d’agent. Les tâches agentiques sont toujours effectuées par l’identité de l’agent.

  • Un plan d’identité d’agent ou une identité d’agent effectue un échange de jetons intermédiaire à l’adresse AAD Token Exchange Endpoint: Public endpoint (Resource ID: fb60f99c-7a34-4190-8149-302f77469936).

    Note

    Les jetons limités au AAD Token Exchange Endpoint: Public ne peuvent pas appeler Microsoft Graph. Les flux agentiques sont protégés, car l’accès conditionnel protège l’acquisition de jetons contre l’identité de l’agent ou l’utilisateur de l’agent.

  • La stratégie d’accès conditionnel est étendue aux utilisateurs ou aux identités de charge de travail, et non aux agents.

  • Les valeurs par défaut de sécurité sont activées .

Flux d’authentification L’accès conditionnel s’applique-t-il Détails
Identité de l'agent → Ressource ✅
Oui		 Régie par les politiques d'identité de l'agent.
Utilisateur de l’agent → Ressource ✅
Oui		 Régie par les politiques utilisateur de l'agent.
Blueprint d’identité de l’agent → Graph (créer une identité d’agent (ID d’agent)/utilisateur de l’agent) ❌
Non		 Non régi par l’accès conditionnel, car ce flux implique la création d’identités d’agent et d’utilisateurs d’agent par le blueprint.
Schéma d’identité de l’agent ou identité de l’agent (ID d’agent) → Échange de jetons ❌
Non		 Non régi par l’accès conditionnel, car ce flux implique l’identité du blueprint ou de l’agent effectuant un appel d’échange de jeton intermédiaire qui lui permet d’effectuer des tâches agentiques. Ce flux n’implique aucun accès aux ressources.

Configuration de la stratégie

La création d’une stratégie d’accès conditionnel pour les agents implique ces quatre composants clés :

Capture d’écran de l’interface d’accès conditionnel montrant une stratégie configurée pour bloquer toutes les identités d’agent à haut risque, avec des affectations limitées à toutes les identités de l’agent.

  1. Affectations
    1. Définir l'étendue des politiques pour :
      1. Toutes les identités d’agent du locataire.
      2. Identités d’agent spécifiques en fonction de leur ID d’objet.
      3. Identités d’agent basées sur des attributs de sécurité personnalisés prédéfinis.
      4. Identités d’agent regroupées par leur blueprint.
      5. Tous les utilisateurs ayant un rôle d'agent dans le locataire.
  2. Ressources cibles
    1. Les options de ciblage des ressources sont les suivantes :
      1. Toutes les ressources.
      2. Toutes les ressources de l’agent (blueprints d’agent et identités d’agent).
      3. Ressources spécifiques organisées selon les attributs de sécurité personnalisés qui leur sont assignés.
      4. Ressources spécifiques en fonction de leur appId.
      5. Les plans d'agent (le ciblage du plan couvre les identités des agents parentées par le plan).
  3. Conditions
    1. Risque d’agent (élevé, moyen, faible).
  4. Contrôles d’accès
    1. Bloquer.
  5. Les stratégies peuvent être activées, désactivées ou configurées en mode Rapport uniquement pour la simulation.

Scénarios d’entreprise communs

Il existe deux scénarios métier clés dans lesquels les stratégies d’accès conditionnel peuvent vous aider à gérer efficacement les agents.

Dans le premier scénario, vous souhaiterez peut-être vous assurer que seuls les agents approuvés peuvent accéder à des ressources spécifiques. Pour ce faire, vous pouvez marquer des agents et des ressources avec des attributs de sécurité personnalisés ciblés dans votre stratégie ou en les sélectionnant manuellement à l’aide du sélecteur d’objets amélioré.

Dans le deuxième scénario, l’accès conditionnel utilise des signaux de Microsoft Entra ID Protection pour détecter et bloquer les agents présentant un comportement risqué d’accéder aux ressources.

Scénario 1 : Autoriser uniquement des agents spécifiques à accéder aux ressources

Créer une stratégie d’accès conditionnel à l’aide d’attributs de sécurité personnalisés

L’approche recommandée pour le premier scénario consiste à créer et à affecter des attributs de sécurité personnalisés à chaque blueprint agent ou agent, puis à cibler ces attributs avec une stratégie d’accès conditionnel. Cette approche utilise des étapes similaires à celles documentées dans Filter pour les applications dans la stratégie d’accès conditionnel. Vous pouvez affecter des attributs sur plusieurs jeux d’attributs à un agent ou une application cloud.

Créer et affecter des attributs personnalisés
  1. Créez les attributs de sécurité personnalisés :
    1. Créez un jeu d’attributs nommé AgentAttributes.
    2. Créez des attributs nommés AgentApprovalStatus qui autorisent l’attribution de plusieurs valeurs et autorisent uniquement l’attribution de valeurs prédéfinies.
      1. Ajoutez les valeurs prédéfinies suivantes : New, In_Review, HR_Approved, Finance_Approved, IT_Approved.
  2. Créez un autre ensemble d’attributs pour regrouper les ressources auxquelles vos agents sont autorisés à accéder.
    1. Créez un jeu d’attributs nommé ResourceAttributes.
    2. Créez des attributs nommés Department qui autorisent l’attribution de plusieurs valeurs et autorisent uniquement l’attribution de valeurs prédéfinies.
      1. Ajoutez les valeurs prédéfinies suivantes : Finance, RH, IT, Marketing, Sales.
  3. Affectez la valeur appropriée aux ressources auxquelles votre agent est autorisé à accéder. Par exemple, vous souhaiterez peut-être que seuls les agents HR_Approved puissent accéder aux ressources étiquetées RH.
Créer une stratégie d’accès conditionnel

Une fois les étapes précédentes terminées, créez une stratégie d’accès conditionnel à l’aide d’attributs de sécurité personnalisés pour bloquer toutes les identités de l’agent, à l’exception de celles examinées et approuvées par votre organisation.

  1. Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’accès conditionnel et lecteur d’attribution d’attributs.
  2. Accédez à Entra ID>Accès conditionnel>Politiques.
  3. Sélectionnez Nouvelle stratégie.
  4. Donnez un nom à votre stratégie. Nous recommandons aux organisations de créer une norme explicite pour les noms de leurs stratégies.
  5. Sous Affectations, sélectionnez Utilisateurs, agents (aperçu) ou identités de tâches.
    1. Sous À quoi s'applique cette stratégie ?, sélectionnez Agents (préversion).
      1. Sous Inclure, sélectionnez Toutes les identités d’agent (Aperçu).
      2. Sous Exclure :
        1. Sélectionnez Sélectionner des identités d’agent en fonction des attributs.
        2. Définissez Configurer à Oui.
        3. Sélectionnez l’attribut que nous avons créé précédemment appelé AgentApprovalStatus.
        4. Définissez Opérateur sur Contient.
        5. Définissez la valeur à HR_Approved.
        6. Cliquez sur Terminé.
  6. Sous Ressources cibles, sélectionnez les options suivantes :
    1. Sélectionnez ce que cette stratégie s’applique aux ressources (anciennement applications cloud).
      1. Inclure toutes les ressources (anciennement « Toutes les applications cloud »)
      2. Exclure Select resources.
        1. Sélectionnez Sélectionner des ressources en fonction des attributs.
        2. Définissez Configurer à Oui.
        3. Sélectionnez l’attribut que nous avons créé précédemment appelé Department.
        4. Définissez Opérateur sur Contient.
        5. Définissez Value sur HR.
  7. Sous Contrôles d’accès>Octroyer :
    1. Sélectionnez Bloquer.
    2. Sélectionnez Sélectionner.
  8. Confirmez vos paramètres et définissez Activer la politique sur Mode rapport uniquement.
  9. Sélectionnez Créer pour créer votre stratégie.

Après avoir confirmé vos paramètres à l’aide de l’impact de la stratégie ou du mode rapport uniquement, déplacez le bouton bascule Activer la stratégie de Rapport uniquement sur Activé.

Scénario 2 : Empêcher les identités d’agent à haut risque d’accéder aux ressources de mon organisation

Les organisations peuvent créer une stratégie d’accès conditionnel pour bloquer les identités d’agent à haut risque en fonction des signaux de Microsoft Entra ID Protection.

  1. Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’accès conditionnel au moins.
  2. Accédez à Entra ID>Accès conditionnel>Politiques.
  3. Sélectionnez Nouvelle stratégie.
  4. Donnez un nom à votre stratégie. Nous recommandons aux organisations de créer une norme explicite pour les noms de leurs stratégies.
  5. Sous Affectations, sélectionnez Utilisateurs, agents (aperçu) ou identités de tâches.
    1. Sous À quoi s'applique cette stratégie ?, sélectionnez Agents (préversion).
      1. Sous Inclure, sélectionnez Toutes les identités d’agent (Aperçu).
  6. Sous Ressources cibles, sélectionnez les options suivantes :
    1. Sélectionnez ce que cette stratégie s’applique aux ressources (anciennement applications cloud).
    2. Incluez toutes les ressources (anciennement « Toutes les applications cloud ») .
  7. Sous Conditions>Risque de l'agent (préversion), réglez Configurer sur Oui.
    1. Sous Configurer les niveaux de risque de l’agent nécessaires à l’application de la stratégie, sélectionnez Élevé. Ces conseils sont basés sur des recommandations Microsoft et peuvent être différents pour chaque organisation.
  8. Sous Contrôles d’accès>Attribution.
    1. Sélectionnez Bloquer.
    2. Sélectionnez Sélectionner.
  9. Confirmez vos paramètres et définissez Activer la politique sur Mode rapport uniquement.
  10. Sélectionnez Créer pour activer votre stratégie.

Après avoir confirmé vos paramètres à l’aide de l’impact de la stratégie ou du mode rapport uniquement, déplacez le bouton bascule Activer la stratégie de Rapport uniquement sur Activé.

Examen de l’évaluation de la politique à l’aide des journaux de connexion

Les administrateurs peuvent utiliser les journaux de connexion pour comprendre pourquoi une stratégie d’accès conditionnel a été ou n'a pas été appliquée comme expliqué dans les événements de connexion Microsoft Entra. Pour les entrées spécifiques à l’agent, filtrez pour un agentType de utilisateur d’agent ou identité d’agent. Certains de ces événements apparaissent dans les connexions utilisateur (non interactives), tandis que d'autres apparaissent dans les connexions du principal de service.

  • Identités d’agent (acteur) accédant à toutes les ressources → journaux de connexion du principal de service → type d’agent : utilisateur d’ID d’agent
  • Utilisateurs de l’agent accédant à toutes les ressources → connexions utilisateur non interactives → agentType : utilisateur de l’agent
  • Utilisateurs se connectant aux agents → Connexions des utilisateurs

Contenu connexe

  • Last updated on