身份安全 · 访问控制
服务类别: 网络安全保护攻击者最想得到的账户
如今大多数攻击都始于一次被盗用或被滥用的登录。我们围绕您的 Microsoft 365 和业务应用设计并维护身份控制措施，让合适的人获得合适的访问权限，并确保可疑登录被及时发现和处理。
概览
- 服务内容
- 设计并持续管理身份与访问控制措施，主要基于 Microsoft Entra ID
- 适合对象
- 员工约5至200人、在多个地点使用 Microsoft 365 和云应用的机构
- 核心内容
- 条件访问策略、管理员角色分离、阻止旧式身份验证、访问与访客审查、在约定时间内审查高风险登录，以及为受支持应用配置单点登录（SSO）
- 默认不包含
- Entra ID P1 或 P2 许可证、定制身份集成、本地目录重新设计以及非工作时间响应
- 许可证说明
- 条件访问需要 Entra ID P1（包含在 Microsoft 365 Business Premium 中）；基于风险的策略需要 Entra ID P2
- 计价方式
- 持续管理按每用户每月计费，初始设计工作另行书面报价
- 如何开始
- 从 Microsoft 365 安全评估开始，或预约咨询
身份安全在实践中意味着什么
身份安全是一组控制措施，决定谁可以登录、从哪里登录、使用哪些设备登录，以及拥有什么级别的权限。在使用 Microsoft 365 的机构中，这些大多集中在 Microsoft Entra ID 里：用户和管理员账户、组、条件访问策略、身份验证方法、应用注册和访客访问。
多因素身份验证（MFA）是身份安全的重要组成部分，我们在单独的页面中专门介绍。本服务的范围更广：它决定何时需要MFA以及MFA需要多强，将日常账户与管理员账户分开，移除不再需要的访问权限，并在 Entra ID 将某次登录标记为高风险时作出响应。
对大多数小型机构来说，身份已经成为主要的安全边界。员工在家中、客户现场和手机上工作，数据存放在云端。把身份管好，对降低常见风险的作用几乎超过任何其他单项投入。
我们常发现的身份方面的薄弱环节
日常账户拥有管理员权限
业主和IT联系人用拥有全局管理员权限的账户收发邮件、浏览网页，一次误点网络钓鱼链接就可能危及整个租户。
仍允许旧式登录
无法强制执行MFA的旧协议仍处于启用状态，让攻击者可以绕过更强的控制措施。
从不收回的访问权限
离职员工、承包商和访客在离开很久之后，仍然可以访问邮箱、SharePoint 网站和应用程序。
对高风险登录毫无响应
来自异常国家或“不可能的地理跨越”的登录都被记录了下来，却没有人审查，直到某个邮箱开始发送诈骗邮件。
我们管理的身份控制措施
条件访问
通过策略要求使用MFA、阻止旧式身份验证、要求敏感应用只能从合规设备访问，并在适当时按地点限制登录。
特权账户分离
使用专用管理员账户，以最小权限角色取代全局管理员，并在已获许可时使用 Privileged Identity Management 进行即时提权。
应急（break-glass）账户
创建应急账户，在策略中正确排除，以强凭据加以保护，并监控其使用情况。
生命周期与访问审查
将入职、调岗和离职流程与人力资源通知挂钩，并定期审查组成员、访客用户和应用权限。
高风险登录与用户审查
在约定时间内审查 Entra ID 登录日志和风险检测，在必要时重置密码、撤销会话和封禁账户。
单点登录与应用授权
为受支持的SaaS应用配置单点登录（SSO），并设置用户授权规则，防止员工向不明应用授予高风险权限。
服务范围
通常包含
- 条件访问策略的设计、分阶段推行和维护
- 审查管理员角色并分离特权账户
- 设置并监控应急账户
- 阻止旧式身份验证协议
- 每季度审查组、访客和应用权限
- 在约定时间内审查高风险登录和高风险用户
- 为服务范围中列明的受支持应用配置SSO
需另行界定范围或报价
- Entra ID P1 或 P2 及其他许可证的采购
- 为内部应用定制开发SAML或OIDC集成
- Active Directory 重新设计或林合并项目
- 非工作时间的身份告警响应，除非已写入您的方案
- 面向客户的身份（消费者登录）平台
涉及的技术
- Microsoft Entra ID、条件访问和身份验证方法策略
- 在已获许可时使用 Entra ID Protection 和 Privileged Identity Management
- 用于混合 Active Directory 的 Microsoft Entra Connect 或 Cloud Sync
- 将 Microsoft Intune 设备合规状态作为登录条件
- 在已获许可时使用 Microsoft Defender for Identity
- 面向SaaS应用的SAML和OpenID Connect单点登录
哪些机构需要
混合办公和远程团队
员工每天从家中、客户现场和移动设备登录的机构。
人员变动频繁的公司
承包商和员工经常进出的建筑、专业服务和季节性企业。
邮箱曾被入侵的机构
经历过账户被盗用或发票诈骗、希望系统性地堵住漏洞的团队。
带来的改善
- 被盗的密码对攻击者的用处大大降低
- 管理员权限只在需要的时间和地点使用
- 离职员工的访问权限被及时、一致地收回
- 可疑登录得到审查，而不是淹没在日志里
- 为客户和保险公司清楚记录谁可以访问什么
我们如何实施身份安全
身份审查
我们导出账户、角色、登录方式、访客用户和应用权限，了解当前状况。
策略设计
我们根据您的许可证、设备和工作方式，提出量身定制的条件访问和管理员分离方案。
仅报告模式测试
新策略先以仅报告模式运行，让我们在强制执行之前看清哪些人会受到影响。
分阶段强制执行
策略逐组强制执行，同时做好员工沟通，并准备好IT帮助台支持。
持续管理
访问审查、高风险登录处理和策略更新按照您的服务范围持续进行。
购买方式
价格为拟定价格，以书面报价确认。
身份安全项目
一次性设计并推行条件访问、管理员分离和旧式身份验证阻止。
持续身份管理
基线建立后，按每用户每月管理策略、审查和登录风险。
纳入 Microsoft 365 管理
将身份安全与租户日常管理打包，由同一个负责方统一负责。
常见问题
单靠MFA就够了吗？
MFA能阻挡很大一部分基于密码的攻击，但攻击者也会使用钓鱼代理、MFA疲劳轰炸和令牌窃取等手法。条件访问、为管理员使用防钓鱼的验证方式、设备合规以及登录审查，能补上单靠MFA无法提供的防护层。
我们需要 Entra ID P2 吗？
不一定。Microsoft 365 Business Premium 包含 Entra ID P1，可以满足条件访问的需要。P2 增加了基于风险的策略和 Privileged Identity Management，在管理员暴露风险或数据敏感程度值得这笔费用时，我们会建议采用。
条件访问会把员工锁在外面吗？
设计不当的策略可能会。所以我们先以仅报告模式测试，保留应急账户，并在有支持人员待命的情况下分阶段推行。
你们能管理 Microsoft 365 以外应用的身份吗？
可以，前提是该应用支持通过 Entra ID 进行单点登录。我们会在服务范围中列出受支持的应用；定制集成另行报价。
弄清楚谁能登录什么，以及有多安全
我们会审查您的身份配置，并针对最重要的控制措施提出书面计划。