概觀
以下步驟可協助您建立條件存取政策，以限制 裝置程式碼流程 與 認證傳輸 在組織內的使用方式。
裝置程式碼流程原則
我們建議組織盡可能對裝置程式碼流程進行單方面封鎖。 考慮建立政策來審核現有裝置程式碼流的使用情況，判斷是否仍需如此。 只有在有良好文件且安全的使用情境下，例如無法更新的舊有工具，才允許裝置程式碼流動。
對於不使用裝置程式碼流程的組織，請以以下條件存取政策封鎖：
- 請至少以「條件式存取管理員」的身份登入Microsoft Entra 管理中心。
- 瀏覽至 Entra ID>條件式存取>政策。
- 選取 新增政策。
- 在 [指派] 底下，選取 [使用者] 或 [工作負載識別]。
- 在 [包含] 底下，選取您想要納入原則範圍的使用者 (建議選取 [所有使用者])。
- 在 [排除] 底下：
- 選擇 使用者與群組，然後選擇您組織的緊急存取帳號或緊急帳號及其他必要使用者。 定期審核這個排除清單。
- 在 [目標資源>（原稱「雲端應用程式」）>包括] 下，選取您想要納入原則範圍的應用程式（建議使用『所有資源』（原稱『所有雲端應用程式』））。
- 在 [條件]>[驗證流程] 底下，將 [設定] 設定為 [是]。
- 選取 [裝置程式碼流程]。
- 選取 [完成]。
- 在 [存取控制]>[授與] 下，選取 [封鎖存取]。
- 選取 選取。
- 確認您的設定，並將 [啟用原則] 設為 [報告專用]。
- 選取 建立 以啟用您的策略。
使用 原則影響或僅限報告模式確認您的設定之後，請將 啟用原則 切換從 僅限報告 移至 開啟。
驗證傳輸原則
使用條件式存取中的 驗證流程 條件來管理此功能。 如果你不希望使用者從電腦轉移身份驗證到行動裝置，請封鎖 認證傳輸 。 例如，如果你不允許某些群組在個人裝置使用 Outlook，就封鎖認證傳輸。 請使用以下條件存取政策來阻擋認證傳輸：
- 請至少以「條件式存取管理員」的身份登入Microsoft Entra 管理中心。
- 瀏覽至 Entra ID>條件式存取>政策。
- 選取 新增政策。
- 在 [指派] 底下，選取 [使用者] 或 [工作負載識別]。
- 在 「包含」中，選擇所有你想封鎖以進行認證傳輸的 使用者 或使用者群組。
- 在 [排除] 底下：
- 選擇 使用者與群組，然後選擇您組織的緊急存取帳號或緊急帳號及其他必要使用者。 定期審核這個排除清單。
- 在 目標資源>資源（前稱雲端應用程式）>包含中，選擇 所有資源（前稱「所有雲端應用程式」） 或你想封鎖以進行認證傳輸的應用程式。
- 在 [條件]>[驗證流程] 底下，將 [設定] 設定為 [是]
- 選取 [驗證傳輸]。
- 選取 [完成]。
- 在 [存取控制]>[授與] 下，選取 [封鎖存取]。
- 選取 選取。
- 確認設定，並將 [啟用原則] 設定為 [啟用]。
- 選取 建立 以啟用您的策略。
使用者排除名單
條件式存取原則是強大的工具。 建議您從政策中排除下列帳戶：
-
緊急存取 或 緊急解鎖帳戶，以防止因為政策設定錯誤而導致鎖定。 在不太可能發生的情況下，所有管理員都被鎖定，您的緊急存取管理員帳戶可用來登入和復原存取權。
- 更多資訊可見文章《管理緊急存取帳戶Microsoft Entra ID。
-
Service 帳號 以及 服務主體，例如 Microsoft Entra Connect 同步帳戶。 服務帳戶是未繫結至任何特定使用者的非互動式帳戶。 後端服務通常會使用它們來允許以程式設計方式存取應用程式，但也用於登入系統以進行系統管理。 服務主體所進行的呼叫不會被針對使用者的條件式存取原則所封鎖。 使用針對工作負載身分的條件式存取來定義以服務主體為目標的原則。
- 如果您的組織在指令碼或程式碼中使用這些帳戶，請將其取代 為受控識別。