Windows 365 Link 的條件式存取原則

在設定組織環境以支援 Windows 365 Link 的過程中，您必須確保條件式存取原則同時適用於 Windows 365 Link 裝置的登入和連線。 如果使用條件式存取來保護用來存取 Windows 365 雲端電腦的資源，如設定 Windows 365 的條件式存取原則中所述，則還必須使用另一個條件式存取策略來保護使用者註冊或加入裝置的動作。 建立失敗第二個原則可能會導致 Windows 365 Link 驗證失敗。

若要決定是否需要使用者動作原則，請遵循下列步驟：

1. 檢查連線至 Windows 365 資源時是否觸發任何原則。
2. 建立具有相同存取控制的新使用者動作原則。

Windows 365 Link 驗證的運作方式

Windows 365 雲端電腦裝置會以兩個連續的階段進行驗證：

1. 互動式登入：當使用者在 Windows 365 Link 登入畫面上登入時，可以觸發套用至 [註冊] 或 [加入裝置] 動作的條件式存取原則。 系統可能會向使用者顯示訊息，或要求使用者使用更強的多重要素驗證方法。 此階段會產生第二個階段中使用的權杖。

2. 使用單一登入對雲端電腦資源進行非互動式連線：如果條件式存取原則套用至 Windows 365、Windows 雲端登入和所有資源等資源，此階段可能會觸發條件式存取原則。 在此階段無法提示使用者或提出質疑。 如果需要更強的驗證，連線會中斷，並向使用者顯示 無法顯示互動式視窗的錯誤。

檢閱現有原則

您可以使用 [假設] 工具來判斷在非互動式連線階段期間，是否有任何條件式存取原則套用至相關 Windows 365 資源。 這包括套用至 [所有資源 ] (先前稱為 [所有雲端應用程式]) 的原則。

1. 登入 Microsoft Entra 系統管理中心>>保護條件式存取>原則>如果呢？
2. 針對 [使用者] 或 [工作負載身分識別 ]，選取要測試的使用者。
3. 針對 [雲端應用程式]、[動作] 或 [驗證內容]，選取 [ 任何雲端應用程式]。
4. 針對 [選取目標類型] ，請選取 [雲端應用程式 ]。
5. 選取 [選取應用程式 ]，然後選取下列資源 （如果有的話）：
   • Windows 365 (應用程式識別碼 0af06dc6-e4b5-4f28-818e-e78e62d137a5) 。
   • Azure 虛擬桌面 (應用程式識別碼 9cdead84-a844-4324-93f2-b2e6bb768d07) 。
   • Windows 雲端登入 (應用程式識別碼 270efc09-cd0d-444b-a71f-39af4910ec45) 。
6. 選取 [假設]。

檢閱 將套用的每個原則 ，並決定用來授與這些資源存取權和工作階段設定的存取控制。 請記下這些原則，以便在下一節中建立新的使用者動作原則時使用。

為互動式登入階段建立新的條件式存取策略

使用從上一節的 [假設] 工具收集的資訊，您現在可以建立新的條件式存取原則，以要求登入階段使用相同的控制項。

1. 登入 Microsoft Entra 系統管理中心>>保護條件式存取>原則>新原則
2. 為您的原則命名。 請考慮對原則名稱使用有意義的標準。
3. 在 [指派>使用者] 底下，選取 0 個已選取的使用者和群組。
4. 在 [包含] 底下，選取 [所有使用者] 或選取將透過 Windows 365 Link 裝置登入的使用者群組。
5. 在 [排除] 底下，選取 [ 使用者和群組> ]，選取貴組織的緊急存取或緊急存取帳戶。
6. 在 [目標資源>] 底下，選取 [註冊或加入裝置]。
7. 在 [存取控制授>與] 底下，使用先前使用 [假設] 工具找到的相同控制項。
8. 確認您的設定，並將 [啟用原則] 設定為 [僅限報告]。
9. 選取 [建立]。
10. 使用僅限報告模式確認設定之後，請將 [啟用原則 ] 切換從 [僅限報告] 變更為 [開啟]。

雖然這些步驟是專門用於在 Windows 365 Link 裝置上啟用互動式驗證，但當使用者註冊或加入裝置至 Microsoft Entra ID 時，也會套用產生的使用者動作原則。

如需建立裝置註冊條件式存取原則的詳細資訊，包括潛在衝突，請參閱 要求 裝置註冊的多重要素驗證。

如需使用條件式存取的使用者動作的詳細資訊，請參閱 使用者動作。

如需針對 Windows 365 所用資源建立條件式存取原則的詳細資訊，請參閱設定條件式存取原則。

後續步驟

隱藏單一登入同意提示。