要求使用受管理裝置，以防止未經授權的存取和潛在的安全缺口。安全性最佳做法建議使用條件式存取原則，阻止未受管理裝置進行 Entra ID 驗證。

根據預設，Microsoft Entra ID 允許任何裝置進行驗證，這可能會導致未經授權的存取和安全缺口，尤其是在裝置受到入侵、不符合規範或由攻擊者控制的情況下。
零信任模型規定驗證成功與否應取決於裝置的狀態，只允許符合組織安全原則並由組織管理的裝置進行存取。
根據 BOD 25-01 的強制要求，CISA 發表之「Microsoft Entra ID 的 M365 安全設定基準」中的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.7v1</a> 原則規定:「驗證時應要求使用受管理裝置」。根據 CISA 指導方針，此曝險指標 (IoE) 會確保至少有一個條件式存取原則包含下列設定:
<ul>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">使用者</a>」設定為包含「所有使用者」。</li>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-cloud-apps">目標資源</a>」設定為「所有資源」。</li>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant">授予</a>」設定為「授予存取權」，並勾選「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">需要將裝置標記為合規</a>」、「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">需要 Microsoft Entra 混合加入裝置</a>」選項，且在底部勾選「符合所選任一控制項即可」。</li>
<li>「啟用原則」設定為「開啟」(而非「關閉」或「僅報告」)。</li>
</ul>
如果您遵循 Microsoft 的建議，本曝險指標 (IoE) 會確保至少有一個條件式存取原則包含相同的設定，並額外加上「需要多因素驗證」，這代表:
<ul>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant">授予</a>」將設定為「授予存取權」，並勾選「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-multifactor-authentication">需要多因素驗證</a>」、「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">需要將裝置標記為合規</a>」與「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">需要 Microsoft Entra 混合加入裝置</a>」選項，且在底部勾選「符合所選任一控制項即可」。</li>
</ul>

偵測

驗證時無需使用受管理裝置

MEDIUM

版本 202608241311