วิธีการใช้นโยบายการเข้าถึงแบบมีเงื่อนไขกับไซต์ SharePoint แต่ละรายการ

สามารถใช้บริบทการรับรองความถูกต้องควบคู่ไปกับการเข้าถึงแบบมีเงื่อนไขเพื่อช่วยรักษาความปลอดภัยไซต์ SharePoint เฉพาะที่จำเป็นต้องปฏิบัติตามโปรโตคอลความปลอดภัยที่เข้มงวดมากขึ้น ป้ายความลับสามารถนำมาใช้เพื่อก้าวไปอีกขั้นหนึ่งได้โดยใช้การควบคุมเพิ่มเติมซึ่งไม่สามารถใช้ภายในการเข้าถึงแบบมีเงื่อนไข เช่น การตั้งค่าความเป็นส่วนตัวของกลุ่มและตัวเลือกการแชร์ภายนอก

ในบทช่วยสอนนี้ ฉันจะแสดงให้คุณเห็นถึงวิธีการสร้างบริบทการรับรองความถูกต้องใหม่และนำไปใช้กับไซต์ SharePoint หรือ Teams ไม่ว่าจะโดยตรงหรือผ่านป้ายกำกับระดับความลับ จากนั้นฉันจะแสดงวิธีกำหนดเป้าหมายบริบทการรับรองความถูกต้องด้วยการเข้าถึงแบบมีเงื่อนไข

ข้อกำหนดด้านใบอนุญาต

หากต้องการเปิดใช้งานเพื่อใช้บริบทการรับรองความถูกต้องกับไซต์ SharePoint หรือป้ายกำกับกับไซต์ SharePoint จำเป็นต้องมีสิทธิ์การใช้งาน Microsoft 365 E5

นอกจากนี้ยังมีข้อจำกัดและสิ่งสำคัญบางประการที่คุณควรทราบเกี่ยวกับการใช้บริบทการรับรองความถูกต้องเพื่อรักษาความปลอดภัยให้กับไซต์เฉพาะ:

• หากคุณใช้บริบทการรับรองความถูกต้องกับไซต์หลัก 'ที่เปิดใช้งานทีม' ถ้าคุณสร้างช่องทางส่วนตัวภายใต้ไซต์นั้น ไซต์ SharePoint สำหรับช่องทางส่วนตัวจะไม่สามารถจัดเตรียมได้
• ถ้าคุณลองและเปลี่ยนชื่อโฟลเดอร์ภายใน Teams สำหรับไซต์ที่มีบริบทการรับรองความถูกต้องที่ใช้ การดำเนินการเปลี่ยนชื่อจะล้มเหลว
• คุณจะไม่สามารถซิงค์ไซต์ SharePoint กับบริบทการรับรองความถูกต้องที่ใช้กับไคลเอนต์ OneDrive
• ถ้าคุณพยายามคัดลอกไฟล์จากไซต์ SharePoint โดยไม่ได้ใช้บริบทการรับรองความถูกต้อง ไปยังไซต์ที่มีการใช้บริบทการรับรองความถูกต้อง นั้นจะล้มเหลว

สร้างบริบทการรับรองความถูกต้องใหม่

เราจะเริ่มต้นด้วยการสร้างบริบทการรับรองความถูกต้องใหม่ในการเข้าถึงแบบมีเงื่อนไข บริบทการตรวจสอบสิทธิ์ได้รับการออกแบบมาเพื่อเพิ่มความปลอดภัยให้กับข้อมูลภายในแอปพลิเคชัน เช่น SharePoint หรือแอปพลิเคชัน 'สายงานธุรกิจ' อื่นๆ ที่ได้รับการคุ้มครองโดย Defender สำหรับแอป Cloud ในตัวอย่างของฉัน บริบทการตรวจสอบสิทธิ์ของเราจะถูกกำหนดเป้าหมายด้วยนโยบายการเข้าถึงแบบมีเงื่อนไขเพื่อบังคับใช้ความปลอดภัยเพิ่มเติม รวมถึงนโยบายการบล็อกการดาวน์โหลดใน Defender สำหรับแอประบบคลาวด์และจุดแข็งของการตรวจสอบสิทธิ์

เนื่องจากนโยบายการเข้าถึงแบบมีเงื่อนไขของเรากำหนดเป้าหมายบริบทการรับรองความถูกต้องของเรา เราจึงจำเป็นต้องเชื่อมโยงบริบทการรับรองความถูกต้องของเรากับแอปพลิเคชันหรือไซต์ SharePoint ของเรา ซึ่งสามารถทำได้มากกว่าหนึ่งวิธี ซึ่งฉันจะอธิบายในขั้นตอนถัดไป ประการแรกคือเราสามารถกำหนดค่าป้ายกำกับระดับความลับด้วยบริบทการตรวจสอบสิทธิ์การเข้าถึงแบบมีเงื่อนไข ซึ่งการตั้งค่าเพิ่มเติมสามารถนำไปใช้ภายในป้ายกำกับนั้นได้ หรือสามารถกำหนดบริบทการรับรองความถูกต้องให้กับไซต์ SharePoint ได้โดยตรง

หากต้องการสร้างบริบทการรับรองความถูกต้องใหม่ ให้ทำตามขั้นตอนด้านล่าง:

1. เข้าสู่ระบบ Microsoft Entra ที่ https://entra.microsoft.com

2. ขยาย Azure Active Directory จากนั้น ป้องกันและรักษาความปลอดภัย และเลือก การเข้าถึงแบบมีเงื่อนไข

3. เลือก บริบทการตรวจสอบสิทธิ์ จากนั้นเลือก บริบทการตรวจสอบสิทธิ์ใหม่

3. เลือกชื่อที่มีความหมายสำหรับบริบทการตรวจสอบสิทธิ์ของคุณ ทำเครื่องหมายในช่อง เผยแพร่ไปยังแอป เพื่อให้บริบทการตรวจสอบสิทธิ์พร้อมใช้งาน และคลิก บันทึก

ขณะนี้บริบทการรับรองความถูกต้องใหม่ของคุณจะมองเห็นได้จากแท็บผู้ติดต่อการรับรองความถูกต้อง และจะพร้อมสำหรับการมอบหมายให้กับแอปพลิเคชันและไซต์ SharePoint อีกด้วย

สร้างป้ายกำกับความลับพร้อมบริบทการตรวจสอบสิทธิ์

หากคุณไม่ต้องการใช้ป้ายกำกับระดับความลับเพื่อกำหนดบริบทการรับรองความถูกต้องใหม่ของคุณให้กับไซต์ คุณสามารถข้ามขั้นตอนนี้ หรืออ่านต่อได้ การใช้ป้ายกำกับความลับช่วยให้คุณสามารถรวมการป้องกันเพิ่มเติมบนไซต์ของคุณตามการตั้งค่าที่คุณเลือกในป้ายกำกับของคุณ ตัวอย่างเช่น คุณสามารถรวมบริบทการตรวจสอบสิทธิ์ในป้ายกำกับของคุณ รวมถึงควบคุมการตั้งค่าการแชร์ภายนอกสำหรับไซต์ด้วยป้ายกำกับความลับ

หากต้องการสร้างป้ายกำกับความไวใหม่ ให้ทำตามขั้นตอนด้านล่าง:

1. เข้าสู่ระบบ Microsoft Purview ที่นี่: https://compliance.microsoft.com

2. ใต้หัวข้อเมนู โซลูชัน ให้เลือก การปกป้องข้อมูล

3. เลือกแท็บ ป้ายกำกับ จากนั้น สร้างป้ายกำกับ

4. กรอกชื่อและคำอธิบายของป้ายกำกับความลับของคุณ เพื่อให้แน่ใจว่ามีความหมายและผู้อื่นสามารถเข้าใจวัตถุประสงค์ของป้ายดังกล่าวได้อย่างรวดเร็ว จากนั้นคลิก ถัดไป

5. สำหรับจุดประสงค์ของบทช่วยสอนนี้ ฉันจะเลือกเฉพาะ กลุ่มและไซต์ เท่านั้น อย่างไรก็ตาม หากคุณวางแผนที่จะทำให้ป้ายกำกับนี้พร้อมใช้งานสำหรับผู้ใช้เพื่อกำหนดให้กับรายการและทรัพยากรอื่นๆ ให้เปิดใช้งานอย่างเหมาะสม

6. คลิกถัดไปจนกระทั่งถึงหน้ากลุ่มและไซต์ และทำเครื่องหมายที่ช่องถัดจากการตั้งค่าการแบ่งปันภายนอกและการเข้าถึงแบบมีเงื่อนไข

7. ในหน้าการตั้งค่าการแชร์ภายนอกและการเข้าถึงแบบมีเงื่อนไข ฉันจะใช้ตัวเลือกการแชร์ภายนอกให้เกิดประโยชน์สูงสุดสำหรับป้ายกำกับความไวนี้ด้วย ด้านล่างนี้ ฉันได้ทำเครื่องหมายในช่องเพื่อควบคุมการแบ่งปันภายนอกจากไซต์ SharePoint ที่มีป้ายกำกับ และตั้งค่าเป็น เฉพาะบุคคลในองค์กรของคุณ

ฉันยังได้ทำเครื่องหมายที่ช่องถัดจาก ใช้การเข้าถึงแบบมีเงื่อนไขของ Azure AD เพื่อปกป้องไซต์ SharePoint ที่มีป้ายกำกับ และเลือกบริบทการรับรองความถูกต้องที่ฉันสร้างไว้ก่อนหน้านี้

8. คลิกถัดไปจนกระทั่งถึงหน้าสุดท้ายและเลือก สร้างป้ายกำกับ

9. เมื่อสร้างป้ายกำกับแล้ว คุณจะต้องเผยแพร่ไปยังแอปของคุณเพื่อให้สามารถมอบหมายได้ จากหน้าการปกป้องข้อมูล ให้เลือกแท็บ นโยบายป้ายกำกับ จากนั้นเลือก เผยแพร่ป้ายกำกับ

10. เลือกป้ายกำกับใหม่ของคุณแล้วคลิก ถัดไป

11. ปล่อยให้การตั้งค่า เผยแพร่ไปยังผู้ใช้และกลุ่ม เป็น ค่าเริ่มต้น และคลิก Nต่อ การตั้งค่าเริ่มต้นควร เปิด สำหรับผู้ใช้และกลุ่มทั้งหมด

12. คลิกถัดไป โดยปล่อยให้แต่ละหน้าเป็นการตั้งค่าเริ่มต้นจนกว่าคุณจะไปถึงหน้าตั้งชื่อนโยบายของคุณ ป้อนชื่อที่มีความหมายสำหรับนโยบายของคุณแล้วคลิก ถัดไป จากนั้น ส่ง

โปรดอ่าน: อาจต้องใช้เวลาถึง 24 ชั่วโมงก่อนที่ป้ายกำกับใหม่ของคุณจะมองเห็นเพื่อให้คุณกำหนดให้กับไซต์ของคุณ

นำป้ายความลับไปใช้กับไซต์ SharePoint

เมื่อคุณสร้างป้ายกำกับที่ต้องการแล้ว คุณต้องนำไปใช้กับไซต์ของคุณ (ไลบรารีเอกสาร) เพื่อให้การตั้งค่ามีผล

1. เริ่มต้นด้วยการเข้าถึงเว็บไซต์ของคุณผ่านทางเว็บเบราว์เซอร์ รูปแบบของ URL ของคุณน่าจะเป็น: https://*defaultdomain*.sharepoint.com/sites/*yoursite*

2. เลือก ฟันเฟืองการตั้งค่า ที่ด้านบนขวาของหน้า จากนั้นเลือก ข้อมูลไซต์

3. ตอนนี้คุณสามารถตั้งค่าป้ายกำกับความละเอียดอ่อนบนไซต์ของคุณแล้วคลิก บันทึก

ใช้บริบทการรับรองความถูกต้องกับไซต์ SharePoint โดยตรง

หากคุณตัดสินใจว่าคุณไม่ต้องการใช้ป้ายความลับ คุณสามารถกำหนดบริบทการรับรองความถูกต้องให้กับไซต์ของคุณได้โดยตรงโดยใช้โมดูล SharePoint Online PowerShell

เริ่มต้นด้วยการติดตั้ง SharePoint Online ด้วยคำสั่งต่อไปนี้:

Install-Module -Name Microsoft.Online.SharePoint.PowerShell `
-Scope CurrentUser -Force

จากนั้นคุณสามารถใช้ Connect-SPOService cmdlet เพื่อเชื่อมต่อกับ SharePoint แบบออนไลน์ คุณต้องกำหนด URL รากของ SharePoint ของคุณด้วย คุณสามารถรับ URL รากของคุณได้จากศูนย์การจัดการ SharePoint ซึ่งจะเป็นไซต์หลักภายใต้รายการ ไซต์ที่ใช้งานอยู่ มิฉะนั้น คุณสามารถคัดลอก URL ของศูนย์การจัดการและลบ -admin ซึ่งต่อท้ายโดเมนได้

Connect-SPOService -url https://*yourdomain*.sharepoint.com/

กำหนดบริบทการรับรองความถูกต้องให้กับไซต์ของคุณด้วย Set-sposite cmdlet ตรวจสอบให้แน่ใจว่าเมื่อคุณป้อนเส้นทางไซต์ของคุณ คุณใช้เส้นทางแบบเต็มไปยังไซต์เฉพาะที่คุณต้องการแก้ไข ซึ่งโดยปกติจะเป็น URL รากของคุณ ตาม /sites ของฉัน /*ชื่อเว็บไซต์*. คำสั่งด้านล่างจะมีเทมเพลตสำหรับให้คุณกำหนดบริบทการรับรองความถูกต้องให้กับไซต์เป้าหมายของคุณ

Set-sposite -Identity https://*yourdomain*.sharepoint.com/sites/testsite `
-ConditionalAccessPolicy AuthenticationContext `
-AuthenticationContextName "Strong Authentication"

หากต้องการตรวจสอบว่าการตั้งค่ามีผลกับไซต์ของคุณอย่างถูกต้อง คุณสามารถใช้ Get-sposite cmdlet ได้ ใช้ตัวอย่างด้านล่างเพื่อดูการตั้งค่าบริบทการเข้าถึงแบบมีเงื่อนไขและการรับรองความถูกต้องสำหรับเว็บไซต์ของคุณ

Get-Sposite -identity https://x7kxf.sharepoint.com/sites/testsite | `
select Con*, auth*

สร้างนโยบายการเข้าถึงแบบมีเงื่อนไขเพื่อกำหนดเป้าหมายบริบทการตรวจสอบสิทธิ์

นโยบายการเข้าถึงแบบมีเงื่อนไขจะกำหนดมาตรการรักษาความปลอดภัยเพิ่มเติมที่จะบังคับใช้เมื่อเข้าถึงแต่ละไซต์ SharePoint ที่เชื่อมโยงกับบริบทการรับรองความถูกต้อง

หากต้องการสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขใหม่เพื่อกำหนดเป้าหมายบริบทการรับรองความถูกต้องของคุณ ให้ทำตามขั้นตอนด้านล่าง

1. เข้าสู่ระบบศูนย์การจัดการ Azure Active Directory และเลือก Azure Active Directory จากนั้นเลือก ความปลอดภัย

2. เลือก การเข้าถึงแบบมีเงื่อนไข ใต้หัวข้อป้องกันในเมนู

3. ในแท็บนโยบาย ให้เลือก นโยบายใหม่ เพื่อสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขใหม่

4. กำหนดชื่อที่มีความหมายสำหรับนโยบายของคุณ และเลือกผู้ใช้ที่จะมอบหมายให้ ฉันได้เลือกผู้ใช้ทั้งหมดแล้ว

5. บน แท็บแอปหรือการดำเนินการบนคลาวด์ ให้เลือก บริบทการตรวจสอบสิทธิ์ จากรายการแบบเลื่อนลง และตรวจสอบบริบทการตรวจสอบสิทธิ์ที่คุณต้องการให้นโยบายการเข้าถึงแบบมีเงื่อนไขนี้นำไปใช้

6. ตอนนี้เลือกการควบคุมการเข้าถึงที่คุณต้องการบังคับใช้บนไซต์ของคุณ สิ่งเหล่านี้จะตรงตามความต้องการของคุณแต่อาจเข้มข้นหรือผ่อนคลายเท่าที่จำเป็น สำหรับนโยบายของฉัน ฉันได้ตัดสินใจที่จะบังคับใช้การตรวจสอบสิทธิ์แบบเข้มงวดกับแอป Authenticator รวมถึงนโยบาย บล็อกการดาวน์โหลด ในการควบคุมแอปการเข้าถึงแบบมีเงื่อนไข

หากคุณต้องการเรียนรู้เพิ่มเติมเกี่ยวกับวิธีกำหนดค่านโยบายการบล็อกการดาวน์โหลด หรือนโยบายความปลอดภัยของ Cloud Apps แบบกำหนดเอง โปรดอ่านบทช่วยสอนของฉัน: วิธีบล็อกผู้ใช้ภายนอกจากการดาวน์โหลดไฟล์จาก Teams . บทช่วยสอนอื่นๆ บางส่วนที่จะเป็นประโยชน์อย่างยิ่งสำหรับคุณในการตั้งค่านโยบายการเข้าถึงแบบมีเงื่อนไข ได้แก่:

• วิธีการตั้งค่า Require Authentication Strength ในการเข้าถึงแบบมีเงื่อนไข
• วิธีสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขใน Azure Active Directory
• สร้างนโยบายการเข้าถึงแบบมีเงื่อนไขของ Azure AD โดยใช้ PowerShell

ทดสอบการเข้าถึงไซต์ SharePoint

เมื่อทุกอย่างได้รับการตั้งค่าและบังคับใช้การเข้าถึงแบบมีเงื่อนไข การรักษาความปลอดภัยเพิ่มเติมจะถูกนำไปใช้กับไซต์ SharePoint ของคุณทันที ในกรณีตัวอย่างของฉัน ฉันได้บังคับใช้นโยบาย MFA ที่เข้มงวดและบล็อกการดาวน์โหลด MCAS

หากนี่เป็นครั้งแรกที่ผู้ใช้ตั้งค่า MFA พวกเขาจะได้รับพร้อมท์ด้วยหน้าจอต่อไปนี้เพื่อลงทะเบียนกับแอป Microsoft Authenticator

เมื่อเสร็จแล้ว พวกเขาจะถูกนำไปยังไซต์ที่พร้อมท์การเข้าถึงที่ได้รับการตรวจสอบจาก Microsoft Cloud App Security จะปรากฏขึ้น

อย่างไรก็ตาม หากผู้ใช้ของคุณไม่ได้ใช้แอป Microsoft Authenticator หรือวิธี MFA ที่ปลอดภัยอื่น พวกเขาจะถูกจำกัดการเข้าถึงเฉพาะไซต์

หากคุณใช้ป้ายกำกับระดับความลับหรือบริบทการรับรองความถูกต้องกับไซต์ Teams โดยตรง คุณจะได้รับประสบการณ์แบบเดียวกันเมื่อพยายามเข้าถึงไซต์ผ่านแท็บไฟล์ภายในไคลเอ็นต์เดสก์ท็อป Teams หรือเว็บแอป