Microsoft 365 · 身份管理
服务类别: Microsoft 365掌控谁能登录、从哪里登录、用什么方式登录
Microsoft Entra ID（原名 Azure Active Directory）决定了谁能访问您的电子邮件、文件和业务应用。我们负责配置和维护它，确保强制执行多因素身份验证（MFA）、限制管理员权限、对有风险的登录进行额外验证，并在员工离职时终止其访问权限。
概览
- 服务内容
- 为 Microsoft 365 租户配置并持续管理 Microsoft Entra ID
- 适合对象
- 员工约5至200人、依靠 Microsoft 365 登录来使用邮件、文件和云应用的加拿大机构
- 核心内容
- MFA 与身份验证方式、安全默认值或条件访问、管理员角色审查、应急（break-glass）账户、混合同步健康状况、应用登录以及来宾访问治理（以服务范围为准）
- 许可证说明
- 条件访问需要 Entra ID P1，Microsoft 365 Business Premium 已包含；基于风险的策略和 Privileged Identity Management 需要 Entra ID P2。许可证需另行购买，除非已写入您的方案
- 默认不含
- 企业级多租户或 B2C 身份架构、定制应用开发以及许可证采购
- 计价方式
- 包含在 Microsoft 365 托管服务中，或按每用户报价；项目工作以书面报价确认
Entra ID 管理涵盖哪些内容
Microsoft Entra ID 是每个 Microsoft 365 租户背后的身份服务。每个用户账户、组、管理员角色、设备注册和应用登录都要经过它。微软于2023年将 Azure Active Directory 更名为 Microsoft Entra ID，因此较早的文档和部分管理界面可能仍在使用旧名称。
我们的 Entra ID 服务涵盖员工如何证明自己的身份、需要满足哪些条件才能登录，以及谁持有高级权限。具体包括：在安全默认值和条件访问之间做出选择，在可行时推广防钓鱼的身份验证方式，保持本地同步身份的健康状态，并定期审查来宾和应用访问权限。
日常的账户创建和删除属于 Microsoft 365 管理服务；覆盖邮件、设备和数据的整体租户加固属于 Microsoft 365 安全服务。本页专门介绍身份管理本身。
我们最常见到的身份问题
MFA 只是部分强制执行
有些用户注册了，有些跳过了，而旧式身份验证协议仍允许任何人从世界任何地方仅凭密码登录。
长期拥有全局管理员权限
好几个日常使用的账户永久持有完全管理员权限，没有单独的管理员身份，也没有在 MFA 失效时可用的应急账户。
目录同步状况不佳
一台旧的 Azure AD Connect 服务器几个月前就停止同步了，或者没人知道它装在哪台服务器上，导致密码修改和新建账户的表现难以预测。
没人审查的来宾和应用
以往项目的外部来宾仍保有访问权限，用户还授权了第三方应用读取邮件和文件。
我们配置和维护的内容
身份验证方式
开展 MFA 注册推进，使用带数字匹配的 Microsoft Authenticator，在合适时采用通行密钥（passkey）和 FIDO2 密钥，并尽可能停用短信等较弱的验证方式。
条件访问
制定要求 MFA、阻止旧式身份验证、限制高风险位置、以及要求敏感应用只能从合规或受管设备访问的策略，并先以“仅报告”模式进行测试。
特权访问
使用独立的管理员账户，以最小权限角色代替全局管理员，记录应急账户；在拥有 Entra ID P2 时，通过 Privileged Identity Management 实现即时提权。
混合身份
为仍在运行本地 Active Directory 的机构维护 Entra Connect Sync 或 Entra Cloud Sync 的健康状况和配置，包括版本升级和属性问题处理。
业务应用单点登录
集成企业应用，让员工使用 Microsoft 365 账户登录受支持的 SaaS 工具，并将用户同意设置限制为仅限已批准的应用。
访问审查与来宾治理
定期审查来宾用户、组所有者、应用权限和登录日志，并在您批准后移除过期的访问权限。
哪些在服务范围内，哪些需另行处理
通常包含
- 身份验证方式策略和 MFA 注册管理
- 根据许可证情况，设计和维护安全默认值或条件访问策略
- 管理员角色分配和应急账户
- Entra Connect Sync 或 Cloud Sync 的监控和问题修复
- 受支持 SaaS 应用的企业应用单点登录
- 来宾用户和外部协作设置
- 定期审查登录日志和高风险用户
需单独确定范围或报价
- Entra ID P1 或 P2 许可证采购，除非已写入您的方案
- 面向您自有应用客户的身份服务（Entra External ID 或 B2C）
- 多租户、跨云或企业级身份治理架构，转介给 CloudArchitects.expert
- 为内部软件定制开发 SAML 或 OIDC
- 超出同步需求的本地 Active Directory 重新设计
涉及的 Entra ID 功能和工具
- Microsoft Entra ID Free、P1 和 P2 功能层级
- 安全默认值和条件访问
- 身份验证方式策略、Microsoft Authenticator、通行密钥和 FIDO2 安全密钥
- Microsoft Entra ID Protection 风险策略（P2）
- 特权身份管理 Privileged Identity Management（P2）
- Microsoft Entra Connect Sync 和 Entra Cloud Sync
- 在已获许可时支持本地写回的自助密码重置
- 登录日志、审核日志和工作簿
适合哪些机构
使用 Business Premium 的租户
已通过 Business Premium 拥有 Entra ID P1、希望条件访问得到妥善设计和维护的机构。
混合环境
在 Microsoft 365 之外仍运行本地 Active Directory、需要保持同步健康的企业。
外部协作者众多的团队
邀请客户、承包商和合作伙伴进入 Teams 和 SharePoint 的专业服务和项目型企业。
会有哪些改善
- 关闭仅凭密码的登录和旧式协议
- 管理员权限由更少的账户持有，且仅在需要时使用
- 当某种 MFA 方式或管理员账户失效时，有文档化的恢复途径
- 在许可证允许时，访问权限与设备健康状况和位置挂钩
- 来宾和应用访问定期审查，而不是不断累积
我们如何处理身份变更
身份审查
我们盘点管理员角色、身份验证方式、同步配置、来宾、企业应用和现有策略。
方案设计
我们根据您的许可证、设备和员工工作方式，提出一套策略和角色模型，并考虑例外情况。
仅报告模式测试
条件访问策略先以仅报告模式运行，让我们在正式执行之前看到哪些人会受到影响。
分阶段执行
策略先对试点组启用，再推广到所有人，同时做好员工沟通，并将应急账户排除在外并记录在案。
持续审查
按计划审查登录日志、角色、来宾和应用，并随着业务变化调整策略。
合作方式
所有安排均以书面报价确认。
纳入 Microsoft 365 托管服务
Entra ID 管理与设备、邮件和协作一起，属于托管租户服务范围的一部分。
身份加固项目
固定范围的项目，推广 MFA、条件访问并清理特权角色，完成后移交文档。
先做评估
Microsoft 365 安全评估会审查身份配置，并确定修复工作的优先顺序。
常见问题
Entra ID 和 Azure AD 是同一个东西吗？
是的。微软于2023年将 Azure Active Directory 更名为 Microsoft Entra ID。功能和许可方式保持不变，只是名称和部分管理界面有所变化。
我们需要条件访问，还是安全默认值就够了？
对于没有 Entra ID P1 的极小型租户，安全默认值是一个合理的基线。条件访问可以要求使用合规设备、阻止高风险位置并处理例外情况，它需要 P1，而 Business Premium 已包含 P1。
策略会不会把所有人都锁在外面？
正因如此，我们会先以仅报告模式测试、分阶段推广，并保留已记录在案、不受策略约束的应急账户。所有变更都会事先安排并通知相关人员。
我们还有一台本地服务器，这会是问题吗？
不一定。混合身份很常见。我们会确保 Entra Connect 或 Cloud Sync 保持最新、运行正常，如果适合您，还会规划过渡到纯云身份的路径。
什么情况下你们会把我们转介给 CloudArchitects.expert？
当工作涉及企业级身份架构时，例如多个租户、大型 Azure 环境或跨云的复杂治理。我们的姊妹品牌专门负责这种规模的项目。
了解您目前的登录保护情况
预约咨询，或从 Microsoft 365 安全评估开始。服务范围和价格以书面报价确认。