DCToolbox – วิธีการง่ายๆ ในการปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไข

เมื่อพูดถึงนโยบายการเข้าถึงแบบมีเงื่อนไขใน Microsoft 365 งานไม่ใช่เรื่องง่ายสำหรับผู้ดูแลระบบ มันเป็นงานสำคัญที่ต้องทำ! แม้ว่าข้อกังวลหลักของเราคือการปกป้องข้อมูลของเราด้วยนโยบายเหล่านี้ แต่การกำหนดค่าอย่างถูกต้องโดยไม่รบกวนการเข้าถึง แอป ตำแหน่ง และอื่นๆ ของผู้ใช้ที่มีอยู่ก็มีความสำคัญไม่แพ้กัน แม้ว่าเราจะมีเจตนาดีที่สุด แต่การจัดการงานนี้อาจใช้เวลานาน! แต่การข้ามนโยบายการเข้าถึงแบบมีเงื่อนไขไม่ใช่ตัวเลือกที่ถูกต้อง! เราต้องปรับใช้เพื่อปกป้ององค์กรของเรา เนื่องจากไม่มีทางเลือกอื่นที่เหมาะสม

จะเป็นอย่างไรหากคุณสามารถใช้นโยบายการเข้าถึงแบบมีเงื่อนไขได้ในเวลาเพียงไม่กี่นาที มันเหมือนกับการค้นหาสมบัติที่ซ่อนอยู่ แต่ลองเดาดูสิ เราได้รับมันจริงๆ! ☺?

Daniel Chronlund ซึ่งเป็น Microsoft MVP ขอแนะนำโซลูชันที่ก้าวล้ำของเขา - DCToolbox ด้วยเหตุนี้ เขาจึงลดความซับซ้อนของกระบวนการที่ซับซ้อนในการตั้งค่านโยบายการเข้าถึงแบบมีเงื่อนไขที่สำคัญ ช่วยให้องค์กรของคุณได้รับการรักษาความปลอดภัยระดับสูงสุด

cmdlet เดียว “Deploy-DCConditionalAccessBaselinePoC, ” จาก DCToolbox ช่วยให้ผู้ดูแลระบบ Microsoft 365 สามารถปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไขได้อย่างรวดเร็ว ? . เครื่องมือนี้มีประโยชน์ดังต่อไปนี้:

• การปรับใช้ นโยบายการเข้าถึงแบบมีเงื่อนไขที่จำเป็น 18 ประการ (DCToolbox ประกอบด้วยนโยบายหลัก เช่น การบล็อกผู้ใช้ที่มีความเสี่ยงสูง การบังคับใช้ MFA สำหรับการลงทะเบียนอุปกรณ์จากเครือข่ายที่ไม่ใช่องค์กร และการปิดใช้งานการคงอยู่ของโทเค็นสำหรับบัญชีผู้ดูแลระบบ)
• เวลาการกำหนดค่าสั้นกว่าช่วงพักดื่มกาแฟของคุณ!
• การปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไขในโหมดรายงานเท่านั้น ทำให้สามารถทดสอบและปรับเปลี่ยนได้โดยปราศจากความเสี่ยง

มาดูคำแนะนำทีละขั้นตอนเพื่อปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไขผ่าน DCToolbox เพื่อตอบสนองความต้องการด้านความปลอดภัยทางไซเบอร์ของคุณกัน

ข้อกำหนดเบื้องต้นในการใช้ DCToolbox

ก่อนที่จะปรับใช้การออกแบบการพิสูจน์แนวคิดการเข้าถึงแบบมีเงื่อนไขกับ DCToolbox ในผู้เช่า Microsoft 365 ของคุณ ตรวจสอบให้แน่ใจว่าคุณมีคุณสมบัติตรงตามข้อกำหนดเบื้องต้นต่อไปนี้:

1. ติดตั้ง PowerShell 7 ใน Windows:

“Deploy-DCConditionalAccessBaselinePoC ” cmdlet จากโมดูล DCToolbox ต้องใช้ PowerShell 7 เวอร์ชันขั้นต่ำ คุณอาจกำลังคิดถึง "วิธีการติดตั้ง PowerShell 7" แต่คำตอบของ คำถามนั้นง่ายมาก! ดังนั้นทำตามขั้นตอนด้านล่างเพื่อติดตั้ง PowerShell 7 ใน Windows

1. ดำเนินการ cmdlet ด้านล่างใน Windows PowerShell เพื่อตรวจสอบ PowerShell เวอร์ชันล่าสุด
   PowerShell

   winget search Microsoft.PowerShell

2. จากนั้น เรียกใช้ cmdlet ต่อไปนี้เพื่อติดตั้ง PowerShell เวอร์ชันล่าสุด
   PowerShell

   winget install --id Microsoft.Powershell --source winget

2. บทบาทผู้ดูแลระบบส่วนกลางของ M365:

คุณต้องเรียกใช้ DCToolbox ด้วย สิทธิ์ผู้ดูแลระบบทั่วโลก เพื่อยินยอมรับสิทธิ์ที่จำเป็นระหว่างการตรวจสอบสิทธิ์ สิทธิ์เหล่านี้ทำให้ DCToolbox สามารถเข้าถึงข้อมูลขององค์กรผ่าน MS Graph PowerShell

นโยบายการเข้าถึงแบบมีเงื่อนไขพื้นฐาน - DCToolbox

DCToolbox เป็นศูนย์กลางสำหรับเครื่องมืออัตโนมัติ Conditional Access ของ Daniel, ฟังก์ชัน PowerShell Graph และอื่นๆ อีกมากมาย อย่างไรก็ตาม ก่อนที่จะปรับใช้การทำงานอัตโนมัติของนโยบายการเข้าถึงแบบมีเงื่อนไข สิ่งสำคัญคือต้องเข้าใจการดำเนินการที่จะดำเนินการเมื่อรัน “Deploy-DCConditionalAccessBaselinePoC ” สำเร็จ

• นโยบายการเข้าถึงแบบมีเงื่อนไข 18 ข้อ - ออกแบบมาเพื่อจัดการและควบคุมการเข้าถึงของผู้ใช้ การเข้าถึงของแขก การใช้แอป การเข้าถึงจากประเทศใดประเทศหนึ่ง และอื่นๆ
• จากนโยบายทั้ง 18 ประการนี้ มี 16 นโยบายที่อยู่ในโหมดรายงานเท่านั้น ส่วนที่เหลืออีก 2 รายการถูกตั้งค่าเป็นสถานะปิด

• • นโยบายหนึ่งคือนโยบายตัวอย่าง และอีกนโยบายหนึ่งคือนโยบายที่ต้องปฏิบัติตามข้อกำหนดของอุปกรณ์
  • เนื่องจากการปฏิบัติตามข้อกำหนดของอุปกรณ์ไม่รองรับโหมดรายงานอย่างเดียว จึงทำให้ใช้งานได้ในโหมดปิด

ข้อมูลเชิงลึกของผู้เชี่ยวชาญ: จากข้อมูลของ Daniel นโยบายการเข้าถึงแบบมีเงื่อนไขพื้นฐาน 18 ข้อ span> ได้ ปกป้องผู้ใช้หลายแสนคนมานานกว่าสี่ปี ดังนั้นองค์กรต่างๆ จึงสามารถใช้มาตรการเหล่านี้เพื่อยกระดับมาตรการรักษาความปลอดภัยได้อย่างมีประสิทธิภาพ ?

Deploy-DCConditionalAccessBaselinePoC: ไฮไลต์ Cmdlet

cmdlet “Deploy-DCConditionalAccessBaselinePoC ” นำเสนอคุณประโยชน์ที่สำคัญต่อไปนี้ภายในโมดูล DCToolbox PowerShell

• cmdlet จะตรวจสอบการมีอยู่ของโมดูล Microsoft Graph PowerShell และติดตั้งหากไม่พบในพีซีของคุณ
• โดยจะแจ้งให้คุณระบุข้อมูลรับรองผู้ดูแลระบบส่วนกลางของ Microsoft 365 โดยอัตโนมัติเพื่อ เชื่อมต่อกับ Microsoft Graph PowerShell
• โดยจะสร้างกลุ่มสำหรับ บัญชี break glass ใหม่ และเพิ่มผู้ดูแลระบบให้กับกลุ่มที่กำลังทำงานกับ DCToolbox อยู่
• cmdlet จะสร้างกลุ่มบัญชีบริการสำหรับข้อมูลระบุตัวตนที่ไม่ใช่มนุษย์แยกกัน (ข้อมูลระบุตัวตนเพื่อแสดงปริมาณงานซอฟต์แวร์ คอมพิวเตอร์ อุปกรณ์เคลื่อนที่ เซ็นเซอร์ IoT และอื่นๆ) ใน Entra ID
• สร้าง ตำแหน่งที่มีชื่อในนโยบาย CA สำหรับที่อยู่ IP ขององค์กรของคุณ และเพิ่มที่อยู่ IP สาธารณะปัจจุบันของคุณลงในรายการโดยอัตโนมัติ
• สร้างตำแหน่งที่มีชื่อสำหรับประเทศที่ได้รับอนุญาตบางประเทศ เนื่องจากนักพัฒนาได้เพิ่มบางประเทศที่เขามีแนวโน้มที่จะทำงานเป็นตัวอย่าง
• อัปโหลดข้อกำหนดการใช้งานสำหรับเทมเพลตนโยบาย CA เป็นภาษาอังกฤษ

กำหนดค่า Entra ID การเข้าถึงแบบมีเงื่อนไขด้วย DCToolbox

หากต้องการปรับใช้ชุดนโยบายการเข้าถึงแบบมีเงื่อนไขทั้งหมดในผู้เช่าของคุณโดยใช้ DCToolbox ให้ทำตามขั้นตอนด้านล่าง:

1. ติดตั้งโมดูล DCToolbox: ขั้นแรก ติดตั้งโมดูล DCToolbox ใน PowerShell 7 core โดยใช้ cmdlet ต่อไปนี้
   PowerShell

   Install-Module -Name DCToolbox

2. อัปเดตโมดูล DCToolbox: หากคุณติดตั้งโมดูลนี้แล้ว เพียงดำเนินการ cmdlet เดียวกันข้างต้นด้วยพารามิเตอร์ 'Force'
   PowerShell

   Install-Module -Name DCToolbox -Force

3. ดำเนินการ cmdlet: ถัดไป ดำเนินการ PowerShell cmdlet ด้านล่าง ซึ่งปรับใช้การพิสูจน์แนวคิดการเข้าถึงแบบมีเงื่อนไข Complete Entra ID cmdlet นี้จะเชื่อมต่อกับ MS Graph PowerShell โดยอัตโนมัติและปรับใช้รายการนโยบาย 18 รายการที่จะกำหนดค่า นอกจากนี้ยังสร้างกลุ่ม ข้อกำหนดในการให้บริการ และสถานที่ตั้งที่มีชื่อที่จำเป็นสำหรับนโยบาย 18 กระบวนการทั้งหมดจะเสร็จสิ้นภายในไม่กี่นาที!
   PowerShell

   Deploy-DCConditionalAccessBaselinePoC

   2. อย่างไรก็ตาม สิ่งสำคัญที่ควรทราบคือเมื่อคุณปรับใช้นโยบาย CA โดยไม่มีชื่อที่กำหนดเอง คุณจะไม่สามารถเปลี่ยนชื่อนโยบายโดยใช้พารามิเตอร์เหล่านี้ได้ การพยายามทำเช่นนั้นจะส่งผลให้มีการสร้างนโยบายชุดใหม่ 18 นโยบายที่มีการขึ้นต่อกันของชื่อที่แตกต่างกัน

4. ลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบส่วนกลาง: เมื่อดำเนินการ ระบบจะขอรายละเอียดข้อมูลรับรองผู้ดูแลระบบในเบราว์เซอร์ ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัวผู้ดูแลระบบส่วนกลาง

   

5. ให้สิทธิ์: หลังจากตรวจสอบสิทธิ์เรียบร้อยแล้ว จะต้องให้สิทธิ์ในการเข้าถึงและแก้ไขข้อมูลของผู้ใช้ แอปพลิเคชัน นโยบาย และกลุ่ม ดังนั้น ให้คลิกปุ่ม 'ยอมรับ' เพื่อดำเนินการต่อ การดำเนินการนี้อนุญาตให้ cmdlet เข้าถึงและจัดการทรัพยากร Microsoft Graph เช่น ผู้ใช้ กลุ่ม และแอปพลิเคชัน

   

6. การปรับใช้นโยบาย CA: สุดท้ายนี้ นโยบายการเข้าถึงแบบมีเงื่อนไขพื้นฐาน 18 ประการจะเริ่มปรับใช้ในผู้เช่าของคุณใน โหมดอ่านอย่างเดียว นโยบายเหล่านี้ได้รับการออกแบบมาเพื่อให้ระดับความปลอดภัยขั้นพื้นฐานสำหรับทรัพยากรขององค์กรของคุณ

   

เมื่อ “Deploy-DCConditionalAccessBaselinePoC ” cmdlet ดำเนินการเสร็จสิ้นแล้ว องค์กรของคุณจะมีชุดพื้นฐานของนโยบายการเข้าถึงแบบมีเงื่อนไขที่กำหนดไว้ จากนั้น คุณสามารถปรับแต่งนโยบายที่ปรับใช้เพื่อให้สอดคล้องกับข้อกำหนดเฉพาะขององค์กรของคุณได้

ตรวจสอบและจัดการนโยบายการเข้าถึงแบบมีเงื่อนไขที่ปรับใช้กับ DCToolbox

สถานะนโยบายการเข้าถึงแบบมีเงื่อนไขจะถูกตั้งค่าเป็นโหมด "รายงานเท่านั้น" ดังนั้นจึงจำเป็นต้องตรวจสอบและเปิดใช้งานในสภาพแวดล้อม Entra ID เพียงทำตามเส้นทางด้านล่างเพื่อเข้าถึงนโยบาย CA ที่กำหนดค่าไว้:

ศูนย์การจัดการ Microsoft Entra → การป้องกัน → การเข้าถึงแบบมีเงื่อนไข → นโยบาย

ที่นี่คุณจะพบตารางแสดงรายการนโยบายที่กำหนดค่าไว้ใน Entra ID

นโยบายที่ขึ้นต้นด้วย “GLOBAL…” ได้รับการกำหนดค่าผ่าน DCToolbox นโยบาย DCToolbox CA เหล่านี้แบ่งออกเป็นสามเซสชัน: นโยบายการบล็อก นโยบายการให้สิทธิ์ และนโยบายเซสชัน

• นโยบายการบล็อก: หมวดหมู่นี้ประกอบด้วยนโยบาย 8 รายการที่เน้นการป้องกันการเข้าถึงทรัพยากรขององค์กรโดยไม่ได้รับอนุญาตภายใต้เงื่อนไขเฉพาะ นโยบายเหล่านี้เกี่ยวกับการรักษาความปลอดภัยข้อมูลที่ละเอียดอ่อนเชิงรุกและบรรเทาภัยคุกคามที่อาจเกิดขึ้น
• นโยบายการให้สิทธิ์: ส่วนนี้ประกอบด้วยนโยบาย 7 รายการที่เน้นเรื่องการจัดสรรการเข้าถึง ซึ่งควบคุมการเข้าถึงของผู้ใช้ไปยังทรัพยากรระบบคลาวด์ตามเงื่อนไขเฉพาะ ซึ่งจะมีประโยชน์ในการควบคุมการเข้าถึงของผู้ใช้เพื่อให้ข้อมูลและทรัพยากรขององค์กร
• นโยบายเซสชัน: หมวดหมู่นโยบายเซสชันประกอบด้วย 2 นโยบายที่ควบคุมเซสชันที่ใช้งานอยู่ โดยพิจารณาปัจจัยต่างๆ เช่น ความคงอยู่ของโทเค็น และการดาวน์โหลดไฟล์บนอุปกรณ์ที่มีการจัดการและไม่มีการจัดการ

ในขณะที่นโยบายถูกปรับใช้ในโหมดรายงานเท่านั้น คุณสามารถตรวจสอบการเปลี่ยนแปลงนโยบายของ CA ผ่านทาง Microsoft Entra ID โดยใช้บันทึกการลงชื่อเข้าใช้ บันทึกการตรวจสอบ สมุดงานการรายงาน และ มากกว่า. หลังจากวิเคราะห์นโยบายเหล่านี้โดยใช้วิธีการที่อธิบายไว้ข้างต้น คุณจะได้รับข้อมูลเชิงลึกเกี่ยวกับผลกระทบและประสิทธิผลของนโยบายเหล่านี้ภายในสภาพแวดล้อมของคุณ จากผลลัพธ์เหล่านี้ คุณสามารถเลือกเปิดใช้งานนโยบายในองค์กรของคุณได้ทีละรายการ

ตารางต่อไปนี้แสดงนโยบายการเข้าถึงแบบมีเงื่อนไข 18 นโยบายพร้อมคำอธิบายขนาดเล็กที่กำหนดค่าผ่าน DCToolbox

นโยบายตัวอย่าง

CUSTOM - GRANT - Example

นโยบายตัวอย่างสำหรับการเบี่ยงเบนไปจากนโยบายสากล กลุ่มผู้ใช้ที่มีนโยบายตัวอย่างการให้สิทธิ์แบบกำหนดเองสามารถแยกออกจากนโยบายส่วนกลางได้

นโยบายการบล็อก

GLOBAL - BLOCK - Legacy Authentication

บล็อกโปรโตคอลเดิมที่ไม่ปลอดภัย เช่น ActiveSync และ IMAP

GLOBAL - BLOCK - Legacy Authentication

บล็อกโปรโตคอลเดิมที่ไม่ปลอดภัย เช่น ActiveSync และ IMAP

GLOBAL - BLOCK - Unsupported Device Platforms

บล็อกแพลตฟอร์มอุปกรณ์ที่ไม่รองรับเช่น Linux

GLOBAL - BLOCK - Countries not Allowed

บล็อกการเชื่อมต่อจากประเทศที่ไม่อยู่ในไวท์ลิสต์

GLOBAL - BLOCK - Service Accounts (Trusted Locations Excluded)

บล็อกบัญชีบริการจากที่อยู่ IP ที่ไม่น่าเชื่อถือ

GLOBAL - BLOCK - Explicitly Blocked Cloud Apps

บล็อกแอพคลาวด์บางตัวอย่างชัดเจน

GLOBAL - BLOCK - Guest Access to Sensitive Apps

บล็อกการเข้าถึงแอพที่ละเอียดอ่อนของแขก

GLOBAL - BLOCK - High-Risk Sign-Ins

บล็อกการตรวจสอบสิทธิ์ที่มีความเสี่ยงสูงที่ตรวจพบโดย Entra ID Protection

GLOBAL - BLOCK - High-Risk Users

บังคับใช้ MFA ในการตรวจสอบสิทธิ์ที่มีความเสี่ยงปานกลาง

นโยบายการให้ทุน

GLOBAL - GRANT - Medium-Risk Sign-Ins

บังคับใช้ MFA ในการตรวจสอบสิทธิ์ที่มีความเสี่ยงปานกลาง

GLOBAL - GRANT - Medium-Risk Users

บังคับใช้ MFA กับผู้ใช้ที่มีความเสี่ยงปานกลาง

GLOBAL - GRANT - Device Registration

บังคับใช้ MFA สำหรับการลงทะเบียนอุปกรณ์จากเครือข่ายที่ไม่ใช่องค์กร

GLOBAL - GRANT - Terms of Use

ผู้ใช้ต้องยอมรับข้อกำหนดในการให้บริการนโยบาย

GLOBAL - GRANT - MFA for All Users

ปกป้องการตรวจสอบผู้ใช้ทั้งหมดด้วย MFA

GLOBAL - GRANT - Mobile Apps and Desktop Clients

ต้องใช้แอปมือถือและไคลเอ็นต์เดสก์ท็อปเพื่อให้สอดคล้องกับ Intune

GLOBAL - GRANT - Mobile Device Access Requirements

กำหนดให้แอปต้องได้รับการปกป้องโดยนโยบายการป้องกันแอป Intune

นโยบายเซสชัน

GLOBAL - SESSION - Admin Persistence

ปิดใช้งานการคงอยู่ของโทเค็นสำหรับบัญชีผู้ดูแลระบบ

GLOBAL - SESSION - Block File Downloads On Unmanaged Devices

บล็อกการดาวน์โหลดไฟล์บนอุปกรณ์ที่ไม่มีการจัดการ

การดำเนินการขั้นสูงด้วยพารามิเตอร์ PowerShell ที่แตกต่างกัน

การเพิ่มพารามิเตอร์เฉพาะด้วย “Deploy-DCConditionalAccessBaselinePoC ” cmdlet สามารถดำเนินการขั้นสูงบางอย่างด้วยการสร้างนโยบายพื้นฐาน

เพิ่มคำนำหน้าให้กับชื่อนโยบาย CA

หากต้องการเพิ่มคำนำหน้าด้วยชื่อนโยบาย ให้ใช้พารามิเตอร์ 'AddCustomPrefix' พร้อมกับ cmdlet คำนำหน้าที่มีชื่อนโยบายช่วยระบุว่านโยบายถูกสร้างขึ้นโดยใช้ DCToolbox ทำให้ง่ายต่อการแยกแยะจากนโยบายที่มีอยู่

Deploy-DCConditionalAccessBaselinePoC -AddCustomPrefix <CustomPrefixThatYouWishToUpdate>

ใช้ชื่อที่กำหนดเองสำหรับกลุ่มและตำแหน่งที่ตั้งชื่อ

เครื่องมือจะสร้างกลุ่มและตำแหน่งที่ตั้งโดยอัตโนมัติด้วยชื่อเริ่มต้นที่กำหนดไว้ล่วงหน้า หากต้องการสร้างชื่ออื่นหรือเชื่อมโยงกับชื่อที่มีอยู่ ให้รัน cmdlet ต่อไปนี้ตามความต้องการของคุณ

• สำหรับกลุ่มที่แยกแก้วแตก คุณจะลิงก์ไปยังกลุ่มที่มีอยู่หรือระบุชื่อเพื่อสร้างกลุ่มใหม่ได้โดยใช้พารามิเตอร์ 'ExcludeGroupDisplayName'
  PowerShell

  Deploy-DCConditionalAccessBaselinePoC -ExcludeGroupDisplayName <GroupNameThatYouWishToUpdate>

• อย่างไรก็ตาม คุณสามารถใช้พารามิเตอร์ 'ServiceAccountGroupDisplayName' สำหรับกลุ่มบัญชีบริการดังที่แสดงด้านล่าง
  PowerShell

  Deploy-DCConditionalAccessBaselinePoC -ServiceAccountGroupDisplayName <GroupNameThatYouWishToUpdate>

• หากต้องการตั้งชื่อที่กำหนดเองสำหรับเครือข่ายองค์กรที่ตั้งชื่อสถานที่ตั้ง ให้ใช้พารามิเตอร์ 'NamedLocationCorpNetwork'
  PowerShell

  Deploy-DCConditionalAccessBaselinePoC -NamedLocationCorpNetwork <CustomNameforCorpNetworkList>

• หากต้องการตั้งชื่อที่กำหนดเองสำหรับสถานที่ตั้งที่มีชื่อของประเทศที่อนุญาต ให้ใช้พารามิเตอร์ 'NamedLocationAllowedCountries'
  PowerShell

  Deploy-DCConditionalAccessBaselinePoC -NamedLocationAllowedCountries <CustomNameforAllowedCountriesList>

ใช้ข้อกำหนดการใช้งานที่มีอยู่

หากต้องการใช้ข้อกำหนดการใช้งานที่มีอยู่สำหรับนโยบาย DCToolbox CA ให้ใช้พารามิเตอร์ 'TermsOfUseName'

Deploy-DCConditionalAccessBaselinePoC -TermsOfUseName <ExistingTermsName>

ข้ามนโยบายการเข้าถึงแบบมีเงื่อนไข

หากต้องการข้ามนโยบาย CA พื้นฐานบางส่วนจากรายการ 18 รายการ คุณสามารถใช้พารามิเตอร์ 'SkipPolicies'

Deploy-DCConditionalAccessBaselinePoC -SkipPolicies <DCToolboxCAPolicyNamesSeparatedByComma>

บังคับใช้นโยบายการเข้าถึงแบบมีเงื่อนไขโดยตรง

หากต้องการข้ามโหมดรายงานเท่านั้นและใช้นโยบาย CA โดยตรง ให้ใช้พารามิเตอร์ 'SkipReportOnlyMode'

Deploy-DCConditionalAccessBaselinePoC -SkipReportOnlyMode #Not Recommended!

คำเตือน: ไม่แนะนำให้บังคับใช้โดยตรง! การกำหนดค่านโยบายที่ไม่ถูกต้องอาจทำให้ผู้ใช้เข้าถึงทรัพยากรที่สำคัญได้ทันที ส่งผลให้ธุรกิจหยุดชะงัก ผู้ใช้อาจถูกปฏิเสธการเข้าถึงแอปพลิเคชันและข้อมูล ซึ่งส่งผลต่อประสิทธิภาพการทำงานและทำให้เกิดความยุ่งยาก ด้วยเหตุนี้ จึงแนะนำให้ทดสอบนโยบายด้วยโหมดรายงานอย่างเดียวเสมอก่อนที่จะเปิดใช้งานสำหรับการใช้งานตามปกติ

สคริปต์ PowerShell เพื่อปรับแต่งชื่อการอ้างอิงนโยบาย DCToolbox CA

นอกจากพารามิเตอร์ข้างต้นด้วย cmdlets แล้ว คุณยังสร้างและใช้สคริปต์ด้านล่างเพื่อใช้ชื่อที่แตกต่างกันสำหรับการอ้างอิงได้ วิธีการนี้ช่วยให้ผู้ดูแลระบบ Microsoft 365 รวมพารามิเตอร์ที่กล่าวถึงข้างต้นในการดำเนินการครั้งเดียว

$Parameters = @{ 
ExcludeGroupDisplayName = 'Excluded from Conditional Access' 
ServiceAccountGroupDisplayName = 'Conditional Access Service Accounts' 
NamedLocationCorpNetwork = 'Corporate Network' 
NamedLocationAllowedCountries = 'Allowed Countries' 
TermsOfUseName = 'Terms of Use' 
} 
Deploy-DCConditionalAccessBaselinePoC @Parameters

ความคิดสุดท้าย

ในเวลาเพียงไม่กี่นาที ผู้ดูแลระบบ M365 สามารถสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขที่ทำงานได้อย่างเต็มรูปแบบโดยไม่จำเป็นต้องกำหนดค่าทีละรายการ! แนวทางนี้ได้รับการปรับแต่งสำหรับผู้ดูแลระบบ ผู้ที่ชื่นชมคุณค่าของเวลาและความปลอดภัย โดยมอบโซลูชันอัตโนมัติที่คล่องตัว

ขอชื่นชมมืออาชีพที่มีค่าที่สุด Daniel Chronlund สำหรับผลงานที่ยอดเยี่ยมของเขา ? .

เราหวังว่าบล็อกนี้จะช่วยให้ผู้ดูแลระบบ M365 ปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไขในโดเมนของตน อย่าลังเลที่จะแสดงความคิดเห็นของคุณในส่วนความเห็น คอยติดตามข้อมูลเชิงลึกเพิ่มเติม?!