條件式存取：裝置篩選

當系統管理員建立條件式存取原則時，在其環境中以或排除特定裝置的能力是常見的工作。 裝置的條件篩選可讓系統管理員以特定裝置為目標。 系統管理員可以使用支援的操作員和屬性，搭配條件式存取原則中的其他可用指派條件來篩選裝置篩選。

常見場景

組織現在可以使用裝置篩選條件來實現多個案例。 下列案例提供如何使用這個新條件的範例。

• 限制特殊許可權資源的存取。 在此範例中，假設您想要允許從下列使用者存取 Windows Azure 服務管理 API：
  • 獲 指派特殊許可權角色。
  • 已完成多重要素驗證。
  • 位於具有特殊許可權或安全系統管理工作站且證明為符合規範的裝置上。
  • 在此案例中，組織會建立兩個條件式存取原則：
    • 原則 1：所有具有管理員角色的使用者，可存取 Windows Azure 服務管理 API 雲端應用程式，對於存取控制，則為授與存取權但要求進行多重要素驗證，且裝置必須標示為符合規範。
    • 原則 2：所有具有管理員角色的使用者，可存取 Windows Azure 服務管理 API 雲端應用程式，使用規則運算式 device.extensionAttribute1 equals SAW 來排除裝置篩選，對於存取控制，則為封鎖。 了解如何更新 Microsoft Entra 裝置物件上的 extensionAttributes。
• 從執行不支援作業系統的裝置阻止組織資源的存取。 在此範例中，假設您想要封鎖 Windows 10 以前的作業系統版本的資源存取。 在此案例中，組織會建立下列兩個條件式存取原則：
  • 封鎖存取所有雲端應用程式的全部使用者 (不包括存取控制篩選條件，以及使用規則運算式「device.operatingSystem equals Windows and device.operatingSystemVersion startsWith "10.0"」的裝置篩選條件)。
• 不需要對特定裝置上的特定帳戶進行多重要素驗證。 在此範例中，假設您在 Teams 電話或 Surface Hub 裝置等特定裝置上使用服務帳戶時，不需要多重要素驗證。 在此案例中，組織會建立下列兩個條件式存取原則：
  • 原則 1：服務帳戶以外的所有使用者，存取所有雲端應用程式，在存取控制中選擇授與存取權，但要求進行多重要素驗證。
  • 原則 2：選取使用者和群組並只納入包含服務帳戶的群組，存取所有雲端應用程式，使用規則運算式「device.extensionAttribute2 not equals TeamsPhoneDevice」來排除裝置篩選，在存取控制中選擇封鎖。

建立條件式存取原則

篩選裝置是建立條件式存取原則時的選擇性控制項。

下列步驟可協助建立兩個條件式存取原則，以支持常見案例下的 第一個案例。

原則 1：所有具有管理員角色的使用者，可存取 Windows Azure 服務管理 API 雲端應用程式，對於存取控制，則為授與存取權但要求進行多重要素驗證，且裝置必須標示為符合規範。

1. 至少以條件式存取管理員 (部分機器翻譯) 的身分登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [保護] > [條件式存取] > [原則]。
3. 選取 [新增原則]。
4. 為您的原則命名。 建議組織針對其原則的名稱建立有意義的標準。
5. 在 [指派] 底下，選取 [使用者] 或 [工作負載識別]。

   1. 在 [包含] 底下，選取 [目錄角色]，然後選取名稱中有系統管理員的所有角色。

      警告

      條件式存取原則支援內建角色。 系統不會針對其他角色類型強制執行條件式存取原則，包括管理單位範圍或自訂角色。

   2. 在 [排除] 下，選取 [使用者和群組]，然後選擇您組織的緊急存取或急用帳戶。

   3. 選取完成。

6. 在 [目標資源]>[雲端應用程式]>[包含]>[選取應用程式] 底下，選擇 [Windows Azure 服務管理 API]，然後選取 [選取]。
7. 在 [存取控制]>[授與] 底下，選取 [授與存取權]、[需要多重要素驗證] 和 [裝置需要標記為符合規範]，然後選取 [選取]。
8. 確認您的設定，並將 [啟用原則] 設定為 [開啟]。
9. 選取 [建立] 以建立並啟用您的原則。

原則 2：具有系統管理員角色的所有使用者、存取 Windows Azure 服務管理 API 雲端應用程式，並排除使用規則表達式 device.extensionAttribute1 等於 SAW 和 Access controls、Block 的裝置篩選。

1. 選取 [新增原則]。
2. 為您的原則命名。 建議組織針對其原則的名稱建立有意義的標準。
3. 在 [指派] 底下，選取 [使用者] 或 [工作負載識別]。

   1. 在 [包含] 底下，選取 [目錄角色]，然後選取名稱中有系統管理員的所有角色

      警告

      條件式存取原則支援內建角色。 系統不會針對其他角色類型強制執行條件式存取原則，包括管理單位範圍或自訂角色。

   2. 在 [排除] 下，選取 [使用者和群組]，然後選擇您組織的緊急存取或急用帳戶。

   3. 選取完成。

4. 在 [目標資源]>[雲端應用程式]>[包含]>[選取應用程式] 底下，選擇 [Windows Azure 服務管理 API]，然後選取 [選取]。
5. 在 [條件]、[裝置篩選] 底下。
   1. 將 [設定] 切換為 [是]。
   2. 將 [符合規則的裝置] 設定為 [從原則中排除篩選出的裝置]。
   3. 將屬性設定為 ExtensionAttribute1、將運算子設定為 Equals，並將值設定為 SAW。
   4. 選取完成。
6. 在 [存取控制]>[授與] 下，選取 [封鎖存取]，然後選取 [選取]。
7. 確認您的設定，並將 [啟用原則] 設定為 [開啟]。
8. 選取 [建立] 以建立並啟用您的原則。

設定屬性值

透過 Microsoft Graph API 可以設定延伸模組屬性。 如需如何設定裝置屬性的詳細資訊，請參閱更新裝置一文。

裝置篩選 Graph API

裝置篩選 API 可在 Microsoft Graph v1.0 端點中使用，並可使用端點 https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/ 來存取。 您可以在建立新的條件式存取原則時設定裝置篩選，也可以更新現有原則來設定裝置篩選條件。 若要更新現有原則，您可以在 Microsoft Graph v1.0 端點上發出修補呼叫，方法是加上現有原則的原則識別碼並執行下列要求本文。 此處的範例會說明如何設定裝置篩選條件來排除未標記為 SAW 裝置的裝置。 此規則語法可包含多個單一運算式。 若要深入了解語法，請參閱 Microsoft Entra ID 中群組的動態成員資格規則。

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

支援用於篩選的運算子和裝置屬性

下列裝置屬性可在條件式存取中與裝置篩選條件搭配使用。

裝置篩選的原則行為

條件式存取中的裝置篩選條件會根據 Microsoft Entra ID 中已註冊裝置的裝置屬性來評估原則，因此請務必了解會套用或不會套用原則的各種情況。 下表說明在設定了裝置篩選條件時的行為。

相關內容

• 返回學校：在複雜篩選條件中正確使用布林代數
• 更新裝置 Graph API
• 條件式存取：條件
• 一般條件式存取原則