Konfigurowanie dostępu warunkowego w Ochrona punktu końcowego w usłudze Microsoft Defender

W tej sekcji przedstawiono wszystkie kroki, które należy wykonać w celu prawidłowego zaimplementowania dostępu warunkowego.

Przed rozpoczęciem

Upewnij się, że wszystkie urządzenia są zarejestrowane w usłudze Intune. Aby zarejestrować urządzenia w usłudze Intune, możesz użyć dowolnej z następujących opcji:

• ADMINISTRACJA IT: Aby uzyskać więcej informacji na temat włączania automatycznej rejestracji, zobacz Włączanie automatycznej rejestracji systemu Windows.
• Użytkownik końcowy: Aby uzyskać więcej informacji na temat rejestrowania urządzenia Windows 10 i Windows 11 w usłudze Intune, zobacz Rejestrowanie urządzenia z systemem Windows w usłudze Intune.
• Alternatywa dla użytkownika końcowego: Aby uzyskać więcej informacji na temat dołączania do domeny Microsoft Entra, zobacz Instrukcje: planowanie implementacji dołączania Microsoft Entra.

Istnieją kroki, które należy wykonać w portalu Microsoft Defender, portalu usługi Intune i centrum administracyjnym Microsoft Entra.

Ważne jest, aby zanotować role wymagane do uzyskania dostępu do tych portali i zaimplementować dostęp warunkowy:

• Microsoft Defender portalu — aby włączyć integrację, musisz zalogować się do portalu z odpowiednią rolą. Zobacz Opcje uprawnień.
• Intune — musisz zalogować się do portalu z uprawnieniami administratora zabezpieczeń z uprawnieniami do zarządzania.
• Microsoft Entra centrum administracyjnym — musisz zalogować się jako administrator zabezpieczeń lub administrator dostępu warunkowego.

Potrzebne będzie środowisko usługi Microsoft Intune z urządzeniami zarządzanymi i Microsoft Entra przyłączonymi do usługi Intune Windows 10 i Windows 11.

Wykonaj następujące kroki, aby włączyć dostęp warunkowy:

• Krok 1. Włączanie połączenia usługi Microsoft Intune z Microsoft Defender XDR
• Krok 2. Włączanie integracji usługi Defender for Endpoint w usłudze Intune
• Krok 3. Tworzenie zasad zgodności w usłudze Intune
• Krok 4. Przypisywanie zasad
• Krok 5. Tworzenie zasad dostępu warunkowego Microsoft Entra

Krok 1. Włączanie połączenia usługi Microsoft Intune

1. W okienku nawigacji wybierz pozycję Ustawienia>Punkty końcowe>Ogólne>funkcje zaawansowanepołączenie z usługą> Microsoft Intune.

2. Przełącz ustawienie usługi Microsoft Intune na Wł.

3. Kliknij pozycję Zapisz preferencje.

Krok 2. Włączanie integracji usługi Defender for Endpoint w usłudze Intune

1. Zaloguj się do portalu usługi Intune

2. Wybierz pozycję Zabezpieczenia> punktu końcowego Ochrona punktu końcowego w usłudze Microsoft Defender.

3. Ustaw pozycję Połącz urządzenia Windows 10.0.15063+ na Microsoft Defender zaawansowanej ochrony przed zagrożeniami na wartość Włączone.

4. Kliknij Zapisz.

Krok 3. Tworzenie zasad zgodności w usłudze Intune

1. W Azure Portal wybierz pozycję Wszystkie usługi, przefiltruj usługę Intune i wybierz pozycję Microsoft Intune.

2. Wybierz pozycjęZasady>zgodności> urządzeńUtwórz zasady.

3. Wprowadź nazwę i opis.

4. W obszarze Platforma wybierz pozycję Windows 10 i nowsze.

5. W ustawieniach Kondycja urządzenia ustaw opcję Wymagaj, aby urządzenie było na poziomie zagrożenia urządzenia lub na jego poziomie na preferowany poziom:

   • Zabezpieczone: ten poziom jest najbardziej bezpieczny. Urządzenie nie może mieć żadnych istniejących zagrożeń i nadal uzyskiwać dostępu do zasobów firmy. Jeśli zostaną znalezione jakiekolwiek zagrożenia, urządzenie zostanie ocenione jako niezgodne.
   • Niski: urządzenie jest zgodne, jeśli istnieją tylko zagrożenia niskiego poziomu. Urządzenia ze średnim lub wysokim poziomem zagrożenia nie są zgodne.
   • Średni: urządzenie jest zgodne, jeśli zagrożenia znalezione na urządzeniu są niskie lub średnie. W przypadku wykrycia zagrożeń wysokiego poziomu urządzenie zostanie określone jako niezgodne.
   • Wysoki: Ten poziom jest najmniej bezpieczny i umożliwia korzystanie ze wszystkich poziomów zagrożeń. Dlatego urządzenia o wysokim, średnim lub niskim poziomie zagrożenia są uważane za zgodne.

6. Wybierz przycisk OK i utwórz , aby zapisać zmiany (i utworzyć zasady).

Krok 4. Przypisywanie zasad

1. W Azure Portal wybierz pozycję Wszystkie usługi, przefiltruj usługę Intune i wybierz pozycję Microsoft Intune.

2. Wybierz pozycjęZasady>zgodności> urządzeń, wybierając zasady zgodności Ochrona punktu końcowego w usłudze Microsoft Defender.

3. Wybierz pozycję Przypisania.

4. Dołącz lub wyklucz grupy Microsoft Entra, aby przypisać im zasady.

5. Aby wdrożyć zasady w grupach, wybierz pozycję Zapisz. Urządzenia użytkowników objęte zasadami są oceniane pod kątem zgodności.

Krok 5. Tworzenie zasad dostępu warunkowego Microsoft Entra

1. Zaloguj się do centrum administracyjnego Microsoft Entra co najmniej jako administrator dostępu warunkowego.
2. Przejdź do Tożsamość Entra>Zasady dostępu >warunkowego.
3. Wybierz pozycję Nowe zasady.
4. Nadaj zasadom nazwę. Zalecamy, aby organizacje utworzyły zrozumiały standard nazw swoich zasad.
5. W obszarze Przypisania wybierz pozycję Użytkownicy lub tożsamości obciążeń.
   1. W obszarze Uwzględnij wybierz pozycję Wszyscy użytkownicy
   2. W obszarze Wyklucz:
      1. Wybierz pozycję Użytkownicy i grupy
         1. Wybierz konta dostępu awaryjnego lub konta typu break-glass w organizacji.
         2. Jeśli używasz rozwiązań tożsamości hybrydowej, takich jak Microsoft Entra Connect lub Microsoft Entra Connect Cloud Sync, wybierz pozycję Role katalogów, a następnie wybierz pozycję Konta synchronizacji katalogów
6. W obszarze Zasoby>docelowe (dawniej aplikacje w chmurze)>Uwzględnij wybierz pozycję Wszystkie zasoby (dawniej "Wszystkie aplikacje w chmurze").
7. W obszarze Udzielanie kontroli> dostępu.
   1. Wybierz pozycję Wymagaj, aby urządzenie było oznaczone jako zgodne.
   2. Wybierz pozycję Wybierz.
8. Potwierdź ustawienia i ustaw opcję Włącz zasady na wartość Tylko raport.
9. Wybierz pozycję Utwórz , aby utworzyć, aby włączyć zasady.

Po potwierdzeniu ustawień przy użyciu wpływu zasad lub trybu tylko do raportu przenieś przełącznik Włącz zasady z pozycji Tylko raport do pozycji Włączone.

Aby uzyskać więcej informacji, zobacz Wymuszanie zgodności dla Ochrona punktu końcowego w usłudze Microsoft Defender z dostępem warunkowym w usłudze Intune.