若允許所有使用者將不受限制的裝置加入 Entra 租用戶，就是為威脅執行者打開了方便的大門，使其能順利地將惡意裝置植入組織的身分系統，並為其進一步的入侵提供立足點。

根據預設，Microsoft Entra ID 會授予所有 Entra 使用者權限，將其裝置作為 Microsoft Entra <a href="https://learn.microsoft.com/zh-tw/entra/identity/devices/concept-directory-join">加入裝置</a>註冊至租用戶。此設定稱為「<a href="https://learn.microsoft.com/zh-tw/entra/identity/devices/manage-device-identities#configure-device-settings">使用者可以將裝置加入 Microsoft Entra</a>」，允許任何登入使用者完成加入程序。如果威脅執行者入侵一般使用者帳戶，即可利用此工作流程來註冊其完全控制的流氓工作站。裝置會出現在 Entra ID 中，並將受害者列為其所有者，繼承該使用者的基準<a href="https://learn.microsoft.com/zh-tw/windows/client-management/azure-active-directory-integration-with-mdm">行動裝置管理 (MDM)</a> 原則，並使攻擊者在環境內部有一個長期受信任的立足點。
雖然裝置加入可以觸發諸如多因素驗證 (MFA) 等其他檢查，但根據預設，在註冊時並不需要此程序。這意味著攻擊者只要竊取密碼就可以從任何位置註冊裝置。如果 Microsoft Intune 或條件式存取原則中存在錯誤設定，流氓裝置可能會被自動標記為合規，並滿足禁止進一步驗證挑戰的存取條件。一旦符合規範，攻擊者即可在 Entra ID 驗證之後靜默存取雲端資源，而無需面對 MFA 提示。
Microsoft 資安事端回應團隊記錄了<a href="https://www.microsoft.com/zh-tw/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">現實世界中的違規行為</a>，其中包括使用網路釣魚帳戶加入流氓裝置、繞過設定錯誤的合規性檢查，以及從 Microsoft 365 信箱中竊取機密資料。這些案例突顯了過於寬鬆的裝置加入設定會如何大幅擴大單一帳戶入侵的影響範圍。
這種寬鬆的設定還可能讓員工自由註冊個人 Windows 和 macOS 裝置 (即「自攜裝置」，或簡稱 BYOD)，進而使組織的裝置清單膨脹，讓員工更難以在未受管理的無序蔓延中發現惡意或未經授權的裝置。
根據預設，每個使用者最多可註冊 50 部裝置，這表示一個遭入侵的帳戶可能會託管數十個攻擊者控制的端點，而不會觸發警示。這些使用者驅動的加入程序會在如 <a href="https://learn.microsoft.com/zh-tw/autopilot/self-deploying">Windows Autopilot 自行部署模式</a>等安全佈建流程之外發生，繞過硬體證明和條件式存取驗證裝置信任所依賴的其他載入保護措施。

偵測

獲允許加入裝置的使用者

LOW

版本 202608241311

版本 202505121217

版本 202608241311 Aug 24, 2026, 1:11 PM Metadata (Explain that the Microsoft Entra Connect and Cloud Sync service accounts must be excluded from the recommended Conditional Access policy, since they cannot comply with an MFA requirement) Release: 202608241311
版本 202505121217 May 12, 2025, 12:17 PM New Release: 202505121217