於 小型企業協助與學習 上查看我們所有小型企業內容。
在 Microsoft 365 企業版中，妥善規劃與執行的身分識別基礎結構造就了強大的安全性，包括限制只有經過驗證的使用者和裝置才能存取生產力工作負載及其資料。 身分識別安全性是零信任部署的重要元素，其中所有存取內部部署和雲端中資源的嘗試都經過驗證與授權。
關於每台 Microsoft 365 企業版的身份特徵、Microsoft Entra ID 的角色、本地及雲端元件，以及最常見的認證設定，請參閱身份基礎架構海報。
檢閲此雙頁海報，快速了解有關 Microsoft 365 企業版的身分識別概念和組態。
您可以 下載此海報，並以 Letter、Legal 或 Tabloid (11 x 17) 格式列印此海報。
此解決方案是組建 Microsoft 365 零信任部署堆疊的第一個步驟。
如需詳細資訊，請參閱 Microsoft 365 零信任部署計劃。
這個解決方案裡有什麼
此解決方案逐步協助您部署 Microsoft 365 租用戶身分識別基礎結構，為員工提供存取權限，並防止身分識別型攻擊。
以下是此解決方案的步驟：
此解決方案支援 零信任 的重要原則：
- 明確驗證：一律根據所有可用的資料點進行驗證和授權。
- 使用最低權限的存取權：使用 Just-In-Time 和適度存取權限 (JIT/JEA)、風險型調適原則和資料保護來限制使用者存取權限。
- 假設可能遭到入侵：將爆發半徑和區段存取降至最低。 驗證端對端加密並使用分析來取得能見度、推動威脅偵測，並改善防禦能力。
與信任組織防火牆後所有內容的傳統內部網路存取不同，零信任會將每次登入和存取都視為來自不受控制的網路 (無論是在組織防火牆後還是網際網路上)。 零信任需要保護網路、基礎結構、身分識別、端點、應用程式和資料。
Microsoft 365 功能
Microsoft Entra ID 為您的 Microsoft 365 租戶提供完整的身份管理與安全功能。
| 功能 | 描述 | 授權 |
|---|---|---|
| 多重身份驗證 (多重身份驗證) | MFA 要求使用者提供兩種形式的驗證，例如使用者密碼加上 Microsoft Authenticator 應用程式的通知或電話。 MFA 大大降低了遭竊認證被用於存取您環境的風險。 Microsoft 365 採用 Microsoft Entra 多重驗證服務進行基於多重身份驗證（MFA）的登入。 | Microsoft 365 E3 或 E5 |
| 條件式存取 | Microsoft Entra ID 會評估使用者登入的條件，並使用條件存取政策來判定允許的存取權限。 例如，在本指導中，我們將向您展示如何建立條件式存取原則，以要求裝置符合敏感性資料的存取要求。 這大大降低了駭客使用其自己的裝置和遭竊認證存取您敏感性資料的風險。 它還保護裝置上的敏感性資料，因為裝置必須滿足特定的健康情況和安全性要求。 | Microsoft 365 E3 或 E5 |
| Microsoft Entra 群組 | 條件存取政策、使用 Intune 管理裝置，甚至組織內檔案和網站的權限，都依賴於使用者帳號或 Microsoft Entra 群組的指派。 我們建議你建立與你所實施的保護等級相符的 Microsoft Entra 群組。 例如，您的高層團隊成員很可能是駭客更高的目標。 因此，將這些員工的使用者帳號加入 Microsoft Entra 群組，並將該群組分配給條件存取政策及其他能強制存取保護的政策是合理的。 | Microsoft 365 E3 或 E5 |
| Microsoft Entra ID Protection | 可讓您偵測會影響組織身分識別的潛在弱點，並對低、中、高登入風險和使用者風險設定自動化補救原則。 本指南依據此風險評估，應用條件存取政策進行多重驗證。 本指導還包含條件式存取原則，它要求使用者在偵測到其帳戶存在高風險活動時變更密碼。 | Microsoft 365 E5、Microsoft 365 E3 搭配 E5 安全外掛、EMS E5 或 Microsoft Entra ID P2 授權 |
| 自助式密碼重設 (SSPR) | 透過提供系統管理員可控制的多種驗證方法，允許使用者安全地重設密碼，而無需服務台介入。 | Microsoft 365 E3 或 E5 |
| Microsoft Entra 密碼保護 | 偵測並封鎖已知的弱式密碼及其變體，以及貴組織特有的額外弱式詞彙。 預設的全域封鎖密碼清單會自動套用到Microsoft Entra租戶中的所有使用者。 您可以在自訂禁用密碼清單中定義其他條目。 使用者變更或重設密碼時，系統會檢查這些禁用密碼清單，以強制使用強式密碼。 | Microsoft 365 E3 或 E5 |
後續步驟
使用這些步驟為您的 Microsoft 365 租用戶部署身分識別模型和驗證基礎結構：
- 確定您的雲端身分識別模型。
- 保護您的 Microsoft 365 授權帳戶。
- 保護您的 Microsoft 365 使用者帳戶。
- 部署您的雲端身分識別模型：僅限雲端 或 混合式。
其他 Microsoft 雲端身分識別資源
管理
若要管理您的 Microsoft 雲端身分識別部署，請參閱：
Contoso 如何為 Microsoft 365 提供身分識別
關於虛構但有代表性的跨國組織如何為 Microsoft 365 雲端服務部署混合式身分識別基礎結構之案例，請參閱 Contoso Corporation 的身分識別。