服務描述
如果您從 Microsoft Purview 資訊保護使用 Azure Rights Management 服務的加密來保護機密項目，例如電子郵件和文件，有一些 Microsoft Entra 設定可能會防止對此加密內容的授權存取。
同樣地，如果您的使用者收到來自其他組織的加密電子郵件，或與使用 Azure Rights Management 服務加密文件的其他組織共同作業，您的使用者可能會因為其 Microsoft Entra ID 的設定方式而無法開啟該電子郵件或文件。
例如：
使用者無法開啟從其他組織傳送的加密電子郵件。 或者，使用者報告另一個組織的收件者無法開啟他們傳送給他們的加密電子郵件。
您的組織與另一個組織在聯合專案上共同作業，專案文件會透過加密、使用 Microsoft Entra ID 中的群組授與存取權來受到保護。 使用者無法開啟由其他組織中的使用者加密的文件。
使用者在辦公室時可以成功開啟加密的文件，但當使用者嘗試從遠端存取此文件並提示他們進行多重要素驗證 (MFA) 時，則無法開啟。
若要確保加密服務的存取不會意外封鎖，請使用下列各節來協助設定組織的 Microsoft Entra ID，或將資訊轉送給另一個組織的 Microsoft Entra 系統管理員。 如果無法存取 Azure Rights Management 服務，使用者就無法進行驗證，也無法開啟加密內容的授權。
跨租用戶存取設定和加密內容
重要事項
另一個組織的跨租用戶存取設定可能會導致其使用者無法開啟您的使用者已加密的內容，或您的使用者無法開啟由其他組織加密的內容。
使用者看到的訊息表示哪個組織封鎖了存取。 您可能需要將另一個組織的 Microsoft Entra 系統管理員導向此跨租用戶存取設定和加密內容部分。
根據預設，當使用者使用 Azure Rights Management 服務的加密來保護內容時，不需要設定任何項目，讓跨租用戶驗證正常運作。 不過，您的組織可以使用 Microsoft Entra 外部身分識別跨租用戶存取設定來限制存取。 相反地，其他組織也可以設定這些設定，以限制貴組織中使用者的存取權。 這些設定會影響開啟任何加密的項目，包括加密的電子郵件和加密的文件。
例如，另一個組織可能已設定以防止其使用者開啟由貴組織加密的內容。 在此案例中，在其 Microsoft Entra 系統管理員重新設定其跨租用戶設定之前，嘗試開啟該內容的外部使用者會看到一則訊息，通知他們的存取遭到您的組織封鎖，並參考您的租用戶系統管理員。
當來自 Fabrikam， Inc 組織的登入使用者的本機 Microsoft Entra ID 封鎖存取時的範例訊息：
當您的 Microsoft Entra 設定封鎖存取時，您的使用者會看到類似的訊息。
從登入使用者的觀點來看，如果是另一個 Microsoft Entra 組織負責封鎖存取，則訊息變更為 Access 會遭組織封鎖，並在訊息本文中顯示其他組織的網域名稱。 例如：
每當跨租用戶存取設定限制應用程式的存取時，都必須將它們設定為允許存取具有下列應用程式識別碼的 Rights Management 服務：
00000012-0000-0000-c000-000000000000
如果不允許存取 Rights Management 服務，就無法驗證及授權使用者開啟加密的內容。 此組態可設定為預設設定和組織設定：
若要允許與其他組織共用加密的內容，請建立允許存取 Microsoft Rights Management Service (識別碼：00000012-0000-0000-c000-000000000000) 的輸入設定。
若要允許存取使用者從其他組織接收的加密內容，請建立允許存取 Microsoft Rights Management Service (識別碼：00000012-0000-0000-c000-0000000000000)
為加密服務設定這些設定後，應用程式會顯示 Microsoft Rights Management Services。
如需設定這些跨租用戶存取設定的指示，請參閱 設定 B2B 共同作業的跨租用戶存取設定。
如果您設定Microsoft Entra條件式存取原則需要使用者多重要素驗證 (MFA) ，請參閱條件式存取原則和加密的文件。
條件式存取原則和加密的文件
如果您的組織已實作包含 Microsoft Rights Management Services 的 Microsoft Entra 條件式存取原則，且原則延伸至需要開啟由貴組織加密之文件的外部使用者：
對於在自己的租用戶中擁有 Microsoft Entra 帳戶的外部使用者，建議您使用外部身分識別跨租用戶存取設定，為來自一個、多個或所有外部 Microsoft Entra 組織的 MFA 宣告設定信任設定。
對於上一個項目未涵蓋的外部使用者，例如，沒有 Microsoft Entra 帳戶的使用者，或您尚未設定信任設定的跨租用戶存取設定的使用者，這些外部使用者必須在租用戶中擁有來賓帳戶。
如果沒有這些設定之一，外部使用者無法開啟加密的內容並看到錯誤訊息。 訊息文字可能會通知他們，他們的帳戶必須在租用戶中新增為外部使用者，並在此案例中提供不正確的指示，要登出並使用不同的 Microsoft Entra 使用者帳戶重新登入。
如果您無法符合需要開啟由貴組織加密內容的外部使用者的這些設定需求，您必須從條件式存取原則中移除 Microsoft Rights Management Services，或從原則中排除外部使用者。
如需詳細資訊，請參閱常見問題， 我看到 Microsoft Rights Management Services 列為條件式存取的可用雲端應用程式，其運作方式為何？
供外部使用者開啟加密文件的來賓帳戶
您可能需要在 Microsoft Entra 租用戶中建立來賓帳戶，讓外部使用者開啟由貴組織加密的文件。 建立訪客帳戶的選項：
自行建立這些訪客帳戶。 您可以指定這些使用者已經使用的任何電子郵件地址。 例如，他們的 Gmail 地址。
此選項的優點是您可以在加密設定中指定特定使用者的電子郵件地址，以限制特定使用者的存取權和權限。 缺點是會有帳戶建立與標籤設定協調的系統管理額外負荷。
將 SharePoint 和 OneDrive 與 Microsoft Entra B2B 整合，以便在使用者共用連結時自動建立來賓帳戶。
此選項的優點是系統管理額外負荷最低，因為帳戶會自動建立，而且標籤設定更簡單。 針對此案例，您必須選取 [新增任何驗證使用者] 加密選項，因為您事先不會知道電子郵件地址。 缺點是此設定無法讓您限制特定使用者的存取和使用權。
外部使用者在使用 Windows 和 Microsoft 365 Apps (先前Office 365的應用程式時，也可以使用 Microsoft 帳戶開啟加密的文件;請參閱Microsoft 365 Apps名稱變更) 或 Office 2019 獨立版本。 最近也支援其他平台，因此也支援在 macOS (Microsoft 365 Apps 版本 16.42+)、Android (版本 16.0.13029+) 和 iOS (版本 2.42+) 上使用 Microsoft 帳戶開啟加密文件。
例如，組織的使用者與組織外部的使用者共用加密文件，而加密設定指定外部使用者的 Gmail 電子郵件地址。 此外部使用者可以使用其 Gmail 電子郵件地址建立自己的 Microsoft 帳戶。 然後，使用這個帳戶登入之後，他們就可以根據指定的使用限制開啟並編輯文件。 如需此案例的逐步指示範例，請參閱開啟及編輯受保護的文件 (部分機器翻譯)。
注意事項
Microsoft 帳戶的電子郵件地址必須與指定的電子郵件地址相符，以限制加密設定的存取權限。
當擁有 Microsoft 帳戶的使用者以這種方式開啟加密文件時，如果系統不存在相同名稱的來賓帳戶，就會自動為租用戶建立來賓帳戶。 當訪客帳戶存在時，除了從支援的桌面和行動 Office 應用程式開啟加密的文件之外，還可以使用 Office 網頁版在 SharePoint 和 OneDrive 中開啟文件。
不過，在此案例中，由於複寫延遲，不會立即建立自動訪客帳戶。 如果您在加密設定中指定個人電子郵件地址，建議您在 Microsoft Entra ID 中建立對應的來賓帳戶。 然後，讓這些使用者知道他們必須使用此帳戶才能開啟貴組織的加密文件。
提示
因為您無法確定外部使用者會使用支援的 Office 用戶端應用程式，所以在建立來賓帳戶後共用來自 SharePoint 和 OneDrive 的連結 (針對特定使用者) ，或者當您針對任何已驗證使用者使用 SharePoint 和 OneDrive 與 Microsoft Entra B2B (時) 是支援與外部使用者安全共同作業的更可靠方法。
跨雲端存取設定和加密內容
跨租用戶存取設定允許對加密文件的跨雲端存取。 因此，在另一個雲端環境中屬於組織成員的使用者，可以開啟由貴組織加密的 Word、Excel 和 PowerPoint 檔案。 例如，這些使用者可能位於 Microsoft Azure Government，或由 21Vianet) (Azure中國Microsoft。
支援的案例
支援跨雲端存取加密內容的案例：
- Microsoft Azure 商業雲端中的組織可以允許存取由 21Vianet () 雲端運作的 Microsoft Azure Government 雲端或中國Azure Microsoft組織，而不需要連絡Microsoft。
- 由 21Vianet) 雲端運作的 Microsoft Azure 中國 (中的組織，可以在不連絡Microsoft的情況下允許存取 Microsoft Azure 商業雲端中的組織。
- 加密的 Word、Excel 和 PowerPoint 檔案可以與其他雲端環境中的使用者共用，且可在 Windows、MacOS 及行動裝置上檢視。 此案例不適用於透過 SharePoint 或 OneDrive 共用連結共用的檔案，而是適用於直接電子郵件附件、USB 磁碟機、檔案共用，或從 SharePoint 共用和下載等方法。
- 加密的 PDF 和一般加密檔案 (.p副檔名) 可以與其他雲端環境中的使用者共用，並使用 Windows 上的 Microsoft Purview 資訊保護 檢視器檢視。
- 使用者可以是但不一定必須是貴組織中的來賓。
- 外部使用者和網域可以針對敏感度標籤設定，以便在您使用 系統管理員定義的權限時套用加密，或者在標籤設定為 使用者定義的權限時由使用者指定。
- 加密的電子郵件可以在 Microsoft Azure商業雲端的組織之間傳送，以及由 21Vianet) 使用 Microsoft Purview 郵件加密 運作的中國 (Azure Microsoft。 收件者必須使用加密的郵件入口網站，並使用一次性密碼進行驗證。 如需詳細資訊，請參閱 管理加密 郵件入口網站一次性密碼的使用。
不支持的案例
目前不支援跨雲端存取加密內容下列情況：
- 不支援在 Outlook 用戶端中使用原生的跨雲端加密電子郵件。
- 目前不支援 PDF 檢視器，例如 Microsoft Edge 或 Adobe Acrobat。
需求
設定跨雲端存取之前，請確定符合下列需求：
- Microsoft 365 Apps 版本 2402 或更新版本，或 Microsoft Office 2024。
- Microsoft Purview 資訊保護用戶端 3.1.310.0 或更新版本。
- 雙方的管理員都必須：
- 設定跨租用戶存取設定以啟用跨雲端存取
- 將合作夥伴組織新增為允許的組織
- 開啟加密檔案的使用者必須獲指派電子郵件地址。
跨租用戶存取設定： 啟用跨雲端共同作業
需要一個一次性步驟，才能在不同的雲端環境中啟用共同作業：
- 在 Microsoft Entra 系統管理中心，瀏覽至 [外部身分識別>] 跨租用戶存取設定。
- 選取 [Microsoft 雲端設定]。
- 選取您需要啟用共同作業的雲端環境：
- 商業雲端中的組織會看到由 21Vianet) 所操作Azure中國 (Microsoft Azure Government和Microsoft。
- 主權雲端中的組織只會看到 Microsoft Azure 商業雲端。
- 選取託管合作夥伴組織的雲端環境，然後選取 [儲存]。
注意事項
兩個組織都必須完成此步驟，並選取合作夥伴雲端。
跨租用戶存取設定： 設定組織設定
若要設定組織設定：
- 在 Microsoft Entra 系統管理中心，瀏覽至 [外部身分識別>] 跨租用戶存取設定。
- 選取 [組織設定]。
- 選取 [新增組織]。
- 輸入合作夥伴組織的 Microsoft Entra 租用戶識別碼。
- 選取 新增。
租用戶識別碼會顯示在 Microsoft Entra 系統管理中心 [概觀] 區段中，且應由合作夥伴組織提供。
跨租用戶存取設定： 信任外部 MFA 宣告
如果未邀請外部使用者為來賓，則輸入信任設定應設定為信任外部 MFA 宣告。 如果使用者受邀為來賓，且您信任外部 MFA 宣告， 建議您將外部使用者 從組織中的 MFA 註冊中排除。
檢閱 管理 B2B 共同作業的跨租用戶存取設定， 以取得組態詳細資料。
跨租用戶存取設定：輸入和輸出存取設定
啟用合作夥伴雲端和新增合作夥伴組織的步驟足以讓兩個組織都能從合作夥伴組織取用受保護的內容。 如果您想要將跨雲端共同作業限制為只允許文件解密、排除其他服務，或建立單向關係，請檢閱 跨租用戶存取設定和加密的內容。
網域型共用的變更
當加密案例僅限於相同的雲端環境時，為標籤加密設定指定單一網域會導致對擁有指定網域之組織中的所有使用者進行驗證和授權，而不論使用者的電子郵件網域為何。 如需此網域型存取的詳細資訊，請參閱使用 敏感度標籤來套用加密來限制內容存取權中的注意事項。
然而，跨雲功能依賴於 Entra 存取權杖中嵌入的資料。 此功能使用兩個 選用聲明： verified_primary_email 和 verified_secondary_email。
在授權期間，會擷取這些宣告，並根據標籤中定義的權限進行評估。 當 Rights Management 服務評估網域型存取時，它只能評估存取權杖中提供的電子郵件尾碼。 這會導致系統管理員定義的權限或使用者定義的權限必須包含完全對應到使用者電子郵件尾碼的網域名稱。
跨雲端常見問題
外部使用者在嘗試開啟加密的檔案時，會看到「您的組織已封鎖存取」
一端或兩端的跨租用戶存取設定未正確設定。 檢閱 [跨租用戶存取設定與加密的內容 ] 區段和 [ 跨租用戶存取設定：輸入和輸出存取設定 ] 區段。
AADSTS90072：非來賓使用者看到「來自身分識別提供者『microsoftonline.com』的使用者帳戶 {user@contoso.com} 不存在於...」
此錯誤表示外部 MFA 宣告不受信任。 如需組態詳細資料，請參閱 管理 B2B 共同作業的跨租用戶存取設定。
後續步驟
如需您可能需要進行的其他設定，請參閱 限制對租用戶的存取。 特定於 Azure Rights Management 服務的網路基礎結構設定，請參閱防火牆和網路基礎結構。
如果您使用 敏感度標籤 來加密文件和電子郵件，您可能會對 外部使用者和標記內容的支援 感興趣，以了解哪些標籤設定可跨租用戶套用。 如需標籤加密設定的組態指導方針，請參閱 使用敏感度標籤來套用加密來限制內容存取權。
想要了解如何以及何時存取加密服務嗎？ 請參閱 服務運作方式的逐步解說：首次使用、內容加密、內容使用。