新式安全界限已延伸到組織的網路界限之外，可包含使用者和裝置身分識別。 組織可以使用這些身分識別驅動訊號作為其存取控制決策的一部分。 Microsoft Entra 條件式存取會將訊號整合在一起，以制定決策及施行組織原則。 條件式存取是 Microsoft 的 零信任政策引擎，在執行政策決策時，會考慮來自各種來源的信號。
條件式存取原則最簡單就是 if-then 語句; 如果使用者 想要存取資源， 則必須 完成動作。 例如：如果使用者想要存取 Microsoft 365 之類的應用程式或服務，則必須執行多重要素驗證以取得存取權。
管理員面臨兩個主要目標：
- 讓使用者隨時隨地都具有生產力
- 保護組織的資產
使用條件式存取原則以在需要時套用正確的存取控制，以保護您組織的安全。
重要
完成第一個要素驗證之後，即會施行條件式存取原則。 條件式存取並非旨在成為組織針對阻斷服務 （DoS） 攻擊等案例的防禦第一線，但它可以使用這些事件的訊號來判斷存取。
常見訊號
條件式存取會使用來自各種來源的訊號來做出存取決策。
這些訊號包括：
- 使用者或群組成員資格
- 原則可以針對特定使用者和群組，讓系統管理員能夠精細控制存取權。
- IP 位置資訊
- 組織可以建立受信任的 IP 位址範圍，以便在做出原則決策時使用。
- 管理員可以指定要封鎖或允許來自的流量的整個國家或地區的 IP 範圍。
- 裝置
- 強制執行條件式存取原則時，可以使用具有特定平台裝置或標示特定狀態的使用者。
- 針對裝置使用篩選，將原則目標設為特定裝置，例如特殊權限存取工作站。
- 應用程式
- 當使用者嘗試存取特定應用程式時，觸發不同的條件式存取原則。
- 即時和計算的風險偵測
- 整合來自 Microsoft Entra ID Protection 的訊號，以識別和補救有風險的使用者和登入行為。
-
適用於雲端應用程式的 Microsoft Defender
- 即時監控和控制使用者應用程式存取和會話。 此整合可改善雲端環境中存取和活動的可見性和控制。
常見的決策
- 封鎖存取是最嚴格的決定。
- 授與存取權。
- 限制較少的決策，可能需要下列一或多個選項：
- 需使用多重身份驗證。
- 要求驗證強度。
- 要求將裝置標示為符合規範。
- 需要 Microsoft Entra 混合式聯結裝置。
- 需要核准的用戶端應用程式。
- 需要應用程式保護原則。
- 要求更改密碼。
- 需要遵守使用條款。
通常會套用的原則
許多組織都有 條件式存取原則可協助的常見存取考慮，例如：
- 要求對具有系統管理角色的使用者進行多重要素驗證
- 執行 Azure 管理任務時需要多重因素驗證
- 封鎖嘗試使用舊版驗證通訊協定的使用者登入
- 要求可信位置進行安全資訊註冊
- 封鎖或授與來自特定位置的存取
- 封鎖風險性登入行為
- 要求針對特定應用程式使用由組織管理的這些裝置
系統管理員可以從頭開始建立原則，或從入口網站中的範本原則開始，或使用 Microsoft Graph API。
管理員體驗
具有 條件式存取系統管理員 角色的系統管理員可以管理原則。
您可以在 Microsoft Entra 系統管理中心的[Entra ID>條件式存取] 底下找到條件式存取。
- [ 概觀 ] 頁面會顯示原則狀態、使用者、裝置和應用程式的摘要，以及一般和安全性警示以及建議。
- [ 涵蓋範圍] 頁面會顯示過去 7 天內具有和沒有條件式存取原則涵蓋範圍的應用程式摘要。
- [ 監視] 頁面可讓系統管理員查看可篩選的登入圖表，以查看原則涵蓋範圍中的潛在差距。
系統管理員可以根據執行項目、目標資源、條件、套用的控制項、狀態或日期等專案來篩選 [原則] 頁面上的條件式存取原則。 此篩選功能可讓管理員根據其設定快速找到特定原則。
條件式存取優化代理程式
使用 Microsoft 安全性 Copilot 的 條件式存取最佳化代理程式（預覽版）會根據零信任原則和 Microsoft 的最佳實踐，建議新的策略及對現有策略進行更改。 只要按一下，即可套用建議以自動更新或建立條件式存取原則。 代理程式至少需要 Microsoft Entra ID P1 授權和安全性計算單位 （SCU）。
授權需求
使用此功能需要 Microsoft Entra ID P1 授權。 若要尋找符合您需求的正確授權，請參閱 比較 Microsoft Entra ID 的一般可用功能。
擁有 Microsoft 365 商務進階版授權 的客戶也可以使用條件式存取功能。
其他可能會與條件式存取原則互動的產品和功能，需要這些產品和功能的適當授權。 這包括 Microsoft Entra 工作負載識別碼、Microsoft Entra ID 保護和 Microsoft Purview。
當條件式存取所需的授權到期時，原則不會自動停用或刪除。 此正常狀態可讓客戶從條件式存取原則移轉，而不會突然變更其安全性狀態。 您可以檢視和刪除剩餘的原則，但無法更新它們。
安全性預設值 可協助防範身分識別相關攻擊，而且適用於所有客戶。
零信任
這項功能可協助組織將其 身分 識別與零信任架構的三個指導原則保持一致：
- 明確驗證
- 使用最低權限
- 假設入侵
若要深入瞭解零信任和其他讓組織與指導原則保持一致的方式，請參閱 零信任指引中心。