条件访问：设备筛选器

创建条件访问策略时，管理员需要能够将其环境中的特定设备指定为目标或者排除这些设备。 设备筛选器条件为管理员提供了这种能力。 现在，你可以在条件访问策略中使用设备筛选器支持的运算符和属性和其他可用分配条件，将特定的设备指定为目标。

常见方案

现在，组织可以使用设备筛选器条件实现多种方案。 以下方案提供了有关如何使用此新条件的示例。

• 限制对特权资源的访问。 对于此示例，假设你想要允许从分配有特权角色的用户访问 Windows Azure 服务管理 API，该用户需满足多重身份验证并从作为特权或安全管理员工作站且已证明合规的设备进行访问。 对于此方案，组织需创建两个条件访问策略：
  • 策略 1：具有管理员角色的所有用户都可以访问 Windows Azure 服务管理 API 云应用，并将“访问控制”设为“授予访问权限”，但要求进行多重身份验证，并要求将设备标记为合规。
  • 策略 2：具有管理员角色的所有用户都可以访问 Windows Azure 服务管理 API 云应用（但不包括使用规则表达式“device.extensionAttribute1 equals SAW”筛选出的设备），并将“访问控制”设为“阻止”。 了解如何更新 Microsoft Entra 设备对象上的 extensionAttributes。
• 阻止通过运行不受支持的操作系统的设备访问组织资源。 对于此示例，假设你想要阻止通过早于 Windows 10 的 Windows OS 版本访问资源。 对于此方案，组织需创建以下条件访问策略：
  • 所有用户可以访问所有云应用（排除使用规则表达式“device.operatingSystem equals Windows and device.operatingSystemVersion startsWith "10.0"”的设备筛选器），并可以阻止“访问控制”。
• 不要求对特定设备上的特定帐户执行多重身份验证。 对于此示例，假设你想要在 Teams 电话或 Surface Hub 设备等特定设备上使用服务帐户时，不要求执行多重身份验证。 对于此方案，组织需创建以下两个条件访问策略：
  • 策略 1：除服务帐户以外的所有用户可以访问所有云应用，并可为“访问控制”授予访问权限，但需要执行多重身份验证。
  • 策略 2：选择用户和组并包括仅包含服务帐户的组，他们可以访问所有云应用（但不包括使用规则表达式“device.extensionAttribute2 not equals TeamsPhoneDevice”的设备筛选器），并可以阻止“访问控制”。

创建条件访问策略

创建条件访问策略时，设备筛选器是可选控件。

以下步骤可帮助你创建两个条件访问策略，以支持常见方案中所述的第一种方案。

策略 1：具有管理员角色的所有用户都可以访问 Windows Azure 服务管理 API 云应用，并将“访问控制”设为“授予访问权限”，但要求进行多重身份验证，并要求将设备标记为合规。

1. 最低以条件访问管理员身份登录到 Microsoft Entra 管理中心。
2. 浏览到“保护”>“条件访问”。
3. 选择“创建新策略”。
4. 为策略指定名称。 建议组织为其策略的名称创建有意义的标准。
5. 在“分配”下，选择“用户或工作负载标识” 。

   1. 在“包括”下，选择“目录角色”，然后选择名称中包含管理员字样的所有角色。

      警告

      条件访问策略支持内置角色。 不会为其他角色类型（包括管理单元范围或自定义角色）强制实施条件访问策略。

   2. 在“排除”下选择“用户和组”，然后选择组织的紧急访问帐户或不受限帐户。

   3. 选择“完成”。

6. 在“目标资源”>“云应用”>“包括”>“选择应用”下，选择“Windows Azure 服务管理 API”，然后选择“选择”。
7. 在“访问控制”>“授予”下，依次选择“授予访问权限”、“需要多重身份验证”、“要求设备标记为合规”、“选择”。
8. 确认设置，然后将“启用策略”设置为“打开”。
9. 选择“创建” ，以便创建启用策略所需的项目。

策略 2：具有管理员角色的所有用户都可以访问 Windows Azure 服务管理 API 云应用（但不包括使用规则表达式“device.extensionAttribute1 equals SAW”筛选出的设备），并将“访问控制”设为“阻止”。

1. 选择“创建新策略”。
2. 为策略指定名称。 建议组织为其策略的名称创建有意义的标准。
3. 在“分配”下，选择“用户或工作负载标识” 。

   1. 在“包括”下，选择“目录角色”，然后选择名称中包含管理员字样的所有角色

      警告

      条件访问策略支持内置角色。 不会为其他角色类型（包括管理单元范围或自定义角色）强制实施条件访问策略。

   2. 在“排除”下选择“用户和组”，然后选择组织的紧急访问帐户或不受限帐户。

   3. 选择“完成”。

4. 在“目标资源”>“云应用”>“包括”>“选择应用”下，选择“Windows Azure 服务管理 API”，然后选择“选择”。
5. 在“条件”下，选择“设备筛选器 。
   1. 将“配置”切换为“是” 。
   2. 将“与规则匹配的设备”设置为“从策略中排除筛选的设备” 。
   3. 将属性设置为 ExtensionAttribute1，将运算符设置为 Equals，将值设置为 SAW。
   4. 选择“完成”。
6. 在“访问控制”>“授权”下，选择“阻止访问”，然后选择“选择”。
7. 确认设置，然后将“启用策略”设置为“打开”。
8. 选择“创建” ，以便创建启用策略所需的项目。

设置属性值

可以通过图形 API 设置扩展属性。 有关设置设备属性的详细信息，请参阅更新设备一文。

设备筛选器 Graph API

设备筛选器 API 在 Microsoft Graph v1.0 终结点中提供，可以使用终结点 https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/ 访问它。 可以在创建新的条件访问策略时配置设备筛选器，也可以更新现有策略以配置设备筛选器条件。 若要更新现有策略，可以通过追加现有策略的策略 ID 并执行以下请求正文，针对 Microsoft Graph v1.0 终结点执行 patch 调用。 此处的示例演示如何配置设备筛选器条件，其中排除了未标记为 SAW 设备的设备。 规则语法可以包含多个单一表达式。 若要详细了解语法，请参阅 Microsoft Entra ID 中的动态组成员身份规则。

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

筛选器支持的运算符和设备属性

以下设备特性可用于条件访问中的设备筛选器条件。

设备筛选器的策略行为

条件访问中的设备筛选器条件根据 Microsoft Entra ID 中已注册设备的设备特性来评估策略，因此，知道在哪些场合下应用或不应用策略非常重要。 下表说明了配置设备筛选器条件时的行为。

后续步骤

• 回到学校 - 在复杂筛选器中正确使用布尔代数
• 更新设备图形 API
• 条件访问：条件
• 常用条件访问策略
• 在特权访问故事过程中保护设备