Microsoft 365 / 设置MFA时如何选择安全默认值与条件访问
在 Microsoft 365 中应用多重身份验证(MFA)时，如果只需要简单的组织级默认保护，请查看 安全默认值；如果需要基于用户、应用、位置、设备等条件的策略，请查看 条件访问。两种方式不叠加使用。条件访问需要适当的 Microsoft Entra 许可和策略设计。
安全默认值与条件访问的区别
| 标准 | 安全默认值 | 条件访问 |
|---|---|---|
| 设置方式 | Microsoft 设定的默认保护组合 | 管理员根据目标和条件组合制定策略 |
| 例外·细分 | 难以对单个用户例外等进行细致调整 | 可以设计适用于用户、群组、应用等的范围 |
| 许可证 | 作为基本功能提供 | 通常需要 Microsoft Entra ID P1 以上，基于风险的功能则可能需要 P2 等额外要求 |
| 适用场景 | 适用于无复杂需求的组织的基本保护 | 需要按工作例外、设备状态或位置条件、分阶段部署 |
根据 Microsoft 的 安全默认值指南 和 条件访问部署计划，安全默认值和条件访问不是同时使用的方式。请在产品对应的 Microsoft Entra 许可证说明 中查看最新条件。
MFA 注册和登录要求是不同的状态
MFA（多重身份验证）是在密码之外，通过额外认证方式确认本人身份的方法。需要分别确认已注册认证应用的事实、在特定登录中需要MFA的事实以及该需求实际已被满足的事实。如果只是注册了应用而未应用策略，预期的保护可能无法实现。
相反，每次没有收到认证通知并不意味着MFA已关闭。可能是现有会话或令牌的认证状态已被认可，因此需通过登录记录进行判断。即使在旧的按用户MFA界面上显示为“已禁用”，通过安全默认值或条件访问仍然可能应用MFA。不要仅凭这个显示就额外开启旧方式的按用户MFA。
决定前需要确认的问题
- 当前租户中已启用了哪些认证策略？新租户可能已启用安全默认值。
- 管理员和普通用户注册了哪些认证方法？部署前需要提供准备指南。
- 是否有使用旧式认证的老应用或设备？在阻止时，需要确认可能对业务造成中断的情况。
- 有没有准备好应急管理员帐户和恢复程序？错误的条件访问策略可能会导致所有管理员被锁定。
- 该用户是否拥有使用所需功能的许可证？
审核安全默认值的程序
- 以所需权限登录 Microsoft Entra 管理中心。
- 在 [Entra ID] → [概览] → [属性] 中找到安全默认值管理的位置。如果菜单结构已更改，请在管理中心搜索中查找“安全默认值”。
- 记录当前状态并调查受影响的管理员、用户和应用程序。在组织内部通知并准备认证注册后，决定是否应用。
- 如果选择了安全默认值，则通过 安全默认值管理 → 启用 → 保存 进行应用。此设置需要条件访问管理员等相关权限。指导用户完成支持的认证方法注册程序。
- 检查新登录流程，包括管理员和普通用户，并检查身份验证注册和登录日志。还要将现有登录会话的保留情况纳入部署计划。由于终止所有会话会影响用户工作，因此应在通知和支持准备就绪后，在批准范围内进行。
安全默认设置不提供针对每个用户的例外方式。在仅需绕过特定旧设备保护的情况下，关闭整体默认保护之前，应先考虑是否需要更改该设备的身份验证方式或转向条件访问设计。不要以过去文件中的MFA注册延期为前提安排用户指导时间表。
在引入条件访问时
在Microsoft Entra管理中心打开条件访问 → 策略。根据界面结构，它可能位于Entra ID的保护菜单下，或可通过管理中心搜索找到。请确认创建和修改策略的角色以及适用对象的许可证。一般条件访问需要Entra ID P1，基于用户或登录风险的条件访问则可能需要P2等。
在从安全默认值切换时，需要设计和验证替代策略，并确定切换时间。仅在关闭安全默认值后创建仅报告策略，并不意味着能继续获得同等的保护。微软建议在禁用默认值后立即激活保护策略。因此，下面的仅报告实践应在保持现有保护的测试环境或根据切换计划进行，而不用于作为关闭运营组织保护的准备阶段。
- 在新策略中输入能反映目的和对象的名称。例如，可写为“试点用户 MFA 要求”。
- 在用户中包含试验组，并对照目标帐户。紧急帐户应按照紧急访问帐户设计，排除在登录被阻止或受限制的策略之外，并准备单独的强验证和监控。
- 在目标资源中确定要保护的应用和资源。不要将只针对单个应用的试验结果自动解释为适用于整个服务。
- 在授予控制中选择 MFA 要求，并将策略状态保存为仅报告。从一开始不要混合阻止、合规设备和风险条件，而是确认单一要求产生的结果。
- 使用试验帐号登录该资源，并在登录日志中查看登录事件，从仅报告结果中确认策略的应用对象、要求条件和预期失败原因。仅报告并不会实际强制执行此策略的访问控制。
激活前后的验证及回退
请先在表格中记录预期结果。例如，试验用户在指定应用中应满足 MFA 要求，而在目标之外的用户不应受新策略影响。但其他策略或 Microsoft 强制的身份验证要求可能会另行适用，因此排除某一策略并不意味着所有 MFA 免除。
在审查仅报告结果和实际试验后，从批准的试点开始将策略转换为 启用。随后，在新登录中确认身份验证要求和访问结果，并逐步扩大应用对象。Microsoft 的部署计划建议在强制策略之前，至少以仅报告模式观察影响一周。比起填满时间，更重要的是确保获取主要职能和应用的实际登录案例。
如果发生故障，请在失败事件的条件访问选项卡中检查应用的策略。如果新的策略是原因，请通过准备好的管理途径将该策略切回仅报告模式或禁用，同时确认现有的保护是否仍然有效。不要一次性关闭所有策略或长期放置在例外状态。恢复后，请修正目标、条件和认证方法，并在再次通过相同测试后重新应用。
