Schützen von KI mit einer Richtlinie für bedingten Zugriff

Generative KI-Dienste (künstliche Intelligenz) wie Microsoft Security Copilot und Microsoft 365 Copilot, liefern Ihrer Organisation einen Mehrwert, wenn sie entsprechend verwendet werden. Es ist möglich, diese Dienste mit vorhandenen Funktionen wie der Richtlinie für bedingten Zugriff von Microsoft Entra zu schützen.

Das Anwenden der Richtlinie für bedingten Zugriff auf diese generativen KI-Dienste ist über Ihre vorhandenen Richtlinien möglich, die auf alle Ressourcen für alle Benutzer, riskante Benutzer oder Anmeldungen sowie Benutzer mit Insider-Risiko abzielen.

In diesem Artikel erfahren Sie, wie Sie bestimmte generative KI-Dienste wie Microsoft Security Copilot und Microsoft 365 Copilot ansprechen, um Richtlinien durchzusetzen.

Erstellen Sie zielorientierte Diensthauptinstanzen mithilfe von PowerShell

Um diese generativen KI-Dienste individuell anzusprechen, müssen Organisationen die folgenden Dienstprinzipale erstellen, um sie in der App-Auswahl für bedingten Zugriff verfügbar zu machen. Die folgenden Schritte zeigen, wie Sie diese Dienstprinzipale mithilfe des Cmdlets New-MgServicePrincipal hinzufügen, das Bestandteil des Microsoft Graph PowerShell SDKs ist.

# Connect with the appropriate scopes to create service principals
Connect-MgGraph -Scopes "Application.ReadWrite.All"

# Create service principal for the service Enterprise Copilot Platform (Microsoft 365 Copilot)
New-MgServicePrincipal -AppId fb8d773d-7ef8-4ec0-a117-179f88add510

# Create service principal for the service Security Copilot (Microsoft Security Copilot) 
New-MgServicePrincipal -AppId bb5ffd56-39eb-458c-a53a-775ba21277da

Erstellen von Richtlinien für bedingten Zugriff

Als Organisation, die Dienste wie Microsoft 365 Copilot und Microsoft Security Copilot einführt, möchten Sie sicherstellen, dass der Zugriff nur durch Benutzer erfolgt, die Ihre Sicherheitsanforderungen erfüllen. Zum Beispiel:

• Alle Benutzer generativer KI-Dienste müssen phishingresistente MFA abschließen.
• Alle Benutzer generativer KI-Diensten müssen von einem kompatiblen Gerät aus zugreifen, wenn das Insider-Risiko moderat ist.
• Alle Benutzer generativer KI-Diensten werden blockiert, wenn das Insider-Risiko erhöht ist.

Ausschluss von Benutzern

Richtlinien für bedingten Zugriff sind leistungsstarke Tools. Es wird empfohlen, die folgenden Konten aus Ihren Richtlinien auszuschließen:

• Notfallzugriffskonten oder Notfallkonten zum Verhindern einer Sperrung aufgrund von falsch konfigurierten Richtlinien. In dem unwahrscheinlichen Szenario, in dem alle Administratoren gesperrt sind, kann Ihr Administratorkonto für den Notfallzugriff verwendet werden, um sich anzumelden und den Zugriff wiederherzustellen.
  • Weitere Informationen finden Sie im Artikel Verwalten von Konten für den Notfallzugriff in Microsoft Entra ID.
• Dienstkonten und Dienstprinzipale, z. B. das Konto für die Microsoft Entra Connect-Synchronisierung. Dienstkonten sind nichtinteraktive Konten, die nicht an einen bestimmten Benutzer gebunden sind. Sie werden in der Regel von Back-End-Diensten verwendet, um programmgesteuerten Zugriff auf Anwendungen zu ermöglichen, aber sie werden auch verwendet, um sich für administrative Zwecke bei Systemen anzumelden. Aufrufe von Dienstprinzipalen werden nicht durch Richtlinien für bedingten Zugriff blockiert, die für Benutzer gelten. Verwenden Sie bedingten Zugriff für Arbeitsauslastungsidentitäten, um Richtlinien zu definieren, die auf Dienstprinzipale abzielen.
  • Wenn Ihre Organisation diese Konten in Skripts oder Code verwendet, ersetzen Sie sie durch verwaltete Identitäten.

Alle Benutzer generativer KI-Dienste müssen phishingresistente MFA abschließen.

Mithilfe der folgenden Schritten können Sie eine Richtlinie für bedingten Zugriff erstellen, die von allen Benutzern eine Multi-Faktor-Authentifizierung verlangt, indem sie die Richtlinie für Authentifizierungsstärke nutzen.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
3. Wählen Sie Neue Richtlinie.
4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Unternehmen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
   1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.
   2. Wählen Sie unter Ausschließen die Option Benutzer und Gruppen und dann die Konten für den Notfallzugriff Ihres Unternehmens aus.
6. Wählen Sie unter Zielressourcen>Ressourcen (ehemals Cloud-Apps)>Einschließen>Gewählte Ressourcen die folgenden aus:
   1. Enterprise Copilot Platform fb8d773d-7ef8-4ec0-a117-179f88add510 (Microsoft 365 Copilot)
   2. Sicherheits-Copilot bb5ffd56-39eb-458c-a53a-775ba21277da (Microsoft Security Copilot)
7. Wählen Sie unter Zugriffssteuerung>Erteilen die Option Zugriff gewähren aus.
   1. Wählen Sie "Authentifizierungsstärke erforderlich" aus, und wählen Sie dann die integrierte Phishing-resistente MFA-Authentifizierungsstärke aus der Liste aus.
   2. Wählen Sie Auswählen.
8. Bestätigen Sie Ihre Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Berichterstattung fest.
9. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Alle Benutzer generativer KI-Diensten müssen von einem kompatiblen Gerät aus zugreifen, wenn das Insider-Risiko moderat ist.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
3. Wählen Sie Neue Richtlinie.
4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Unternehmen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
   1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.
   2. Führen Sie unter Ausschließen die folgenden Schritte aus:
      1. Wählen Sie Benutzer und Gruppen und dann die Notfallzugriffs- oder "Break-Glass"-Konten Ihrer Organisation aus.
      2. Wählen Sie Gast- oder externe Benutzer und dann Folgendes aus:
         1. Benutzer mit direkter B2B-Verbindung
         2. Dienstanbieterbenutzer
         3. Andere externe Benutzer
6. Wählen Sie unter Zielressourcen>Ressourcen (ehemals Cloud-Apps)>Einschließen>Gewählte Ressourcen die folgenden aus:
   1. Enterprise Copilot Platform fb8d773d-7ef8-4ec0-a117-179f88add510 (Microsoft 365 Copilot)
   2. Sicherheits-Copilot bb5ffd56-39eb-458c-a53a-775ba21277da (Microsoft Security Copilot)
7. Legen Sie unter Bedingungen>Insider-Risiko die Option Konfigurieren auf Ja fest.
   1. Unter Risikostufen auswählen, die zum Erzwingen der Richtlinie zugewiesen werden müssen:
      1. Wählen Sie moderat aus.
      2. Wählen Sie Fertig aus.
8. Unter Zugriffssteuerungen>Erteilen:
   1. Wählen Sie Anforderung, dass das Gerät als konform gekennzeichnet wird.
   2. Wählen Sie Auswählen.
9. Bestätigen Sie Ihre Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Berichterstattung fest.
10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Alle Benutzer generativer KI-Diensten werden blockiert, wenn das Insider-Risiko erhöht ist.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
2. Navigieren Sie zu Entra ID-Richtlinien> fürbedingten Zugriff>.
3. Wählen Sie Neue Richtlinie.
4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Unternehmen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
5. Wählen Sie unter Zuweisungen die Option Benutzer- oder Workloadidentitäten aus.
   1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.
   2. Führen Sie unter Ausschließen die folgenden Schritte aus:
      1. Wählen Sie Benutzer und Gruppen und dann die Notfallzugriffs- oder "Break-Glass"-Konten Ihrer Organisation aus.
      2. Wählen Sie Gast- oder externe Benutzer und dann Folgendes aus:
         1. Benutzer mit direkter B2B-Verbindung
         2. Dienstanbieterbenutzer
         3. Andere externe Benutzer
6. Wählen Sie unter Zielressourcen>Ressourcen (ehemals Cloud-Apps)>Einschließen>Gewählte Ressourcen die folgenden aus:
   1. Enterprise Copilot Platform fb8d773d-7ef8-4ec0-a117-179f88add510 (Microsoft 365 Copilot)
   2. Sicherheits-Copilot bb5ffd56-39eb-458c-a53a-775ba21277da (Microsoft Security Copilot)
7. Legen Sie unter Bedingungen>Insider-Risiko die Option Konfigurieren auf Ja fest.
   1. Unter Risikostufen auswählen, die zum Erzwingen der Richtlinie zugewiesen werden müssen:
      1. Wählen Sie Erhöht aus.
      2. Wählen Sie Fertig aus.
8. Wählen Sie unter Zugriffssteuerung>Grant die Option Zugriff blockieren und dann Auswählen.
9. Bestätigen Sie Ihre Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Berichterstattung fest.
10. Wählen Sie Erstellen aus, um die Richtlinie zu erstellen und zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder berichtsgeschützten Modus bestätigt haben, verschieben Sie den Umschalter "Richtlinie aktivieren " von " Nur Bericht " auf "Ein".

Zugehöriger Inhalt

• Verwalten von Microsoft 365 für iOS und Android mit Microsoft Intune
• Verwenden des Modus „Nur Bericht“ für bedingten Zugriff zum Ermitteln der Ergebnisse neuer Richtlinienentscheidungen
• Sichere generative KI mit Microsoft Entra
• Microsoft Purview-Datenschutz und Compliance-Schutz für generative KI-Apps
• Überlegungen zu Microsoft Purview-KI-Hub und Datenschutz und Complianceschutz für Copilot
• Anwenden von Zero Trust-Prinzipien auf Microsoft Copilot
• Anwenden von Zero Trust-Prinzipien auf Microsoft 365 Copilot
• Anwenden von Zero Trust-Prinzipien auf Microsoft Security Copilot