一般條件式存取原則：所有使用者都需要 MFA

正如 Microsoft 身分識別安全性總監 Alex Weinert 在部落格文章《您的 Pa$$word 無關緊要：

您的密碼並不重要，但 MFA 確實很重要！根據我們的研究，如果您使用 MFA，您的帳戶比遭入侵的可能性要低 99.9% 以上。

本文中的指引可協助您的組織為您的環境建立 MFA 原則。

使用者排除

條件式存取原則是功能強大的工具，建議您從您的原則中排除下列帳戶：

緊急存取或急用帳戶，以防止整個租用戶帳戶鎖定。在不太可能的情況下，所有系統管理員都會鎖定您的租使用者，您的緊急存取系統管理帳戶可用來登入租使用者，以採取復原存取權的步驟。
- 如需詳細資訊，請參閱管理 Microsoft Entra ID 中的緊急存取帳戶一文。
[服務帳戶] 和 [服務主體]，例如 Microsoft Entra Connect 同步帳戶。服務帳戶是未與任何特定使用者繫結的非互動式帳戶。後端服務通常會使用這些帳戶，以透過程式設計方式存取應用程式，但這些帳戶也可用來登入系統以便進行管理。請排除這類服務帳戶，因為您無法透過程式設計方式來完成 MFA。服務主體所進行的呼叫不會被範圍設定為使用者的條件式存取原則封鎖。使用工作負載身分識別的條件式存取，來定義以服務主體為目標的原則。
- 如果您的組織在指令碼或程式碼中使用這些帳戶，請考慮將它們取代為受管理的身分識別。您可以在基準原則中排除這些特定帳戶，暫時解決此問題。

組織可能會有許多雲端應用程式正在使用中。並非所有應用程式都需要相同的安全性。例如，薪資和出勤應用程式可能需要 MFA，但自助餐廳可能不需要。管理員 istrators 可以選擇從其原則中排除特定應用程式。

使用訂用帳戶啟用功能讓使用者從某個 Windows 版本「逐步啟動」的組織，並使用條件式存取原則來控制存取需要使用 [選取排除的雲端應用程式] 將下列其中一個雲端應用程式從其條件式存取原則中排除：

雖然這兩個實例中的應用程式標識碼都相同，但雲端應用程式的名稱取決於租使用者。

如需在條件式存取原則中設定排除專案的詳細資訊，請參閱應用程式排除專案。

當裝置已離線一段時間時，如果此條件式存取排除未就緒，裝置可能不會自動重新啟用。設定此條件式存取排除可確保訂用帳戶啟用能夠順暢地運作。

從 Windows 11 版本 23H2 與 KB5034848 或更新版本開始，當訂閱啟用需要重新啟用時，系統會提示使用者使用快顯通知進行驗證。快顯通知會顯示下列訊息：

您的帳戶需要驗證

請登入您的公司或學校帳戶，以確認您的資訊。

此外，在 [ 啟用 ] 窗格中，可能會出現下列訊息：

請登入您的公司或學校帳戶，以確認您的資訊。

當裝置已離線一段時間時，通常會發生驗證提示。這項變更可排除 Windows 11 版本 23H2 與 KB5034848 或更新版本的條件式存取原則。如果不需要透過快顯通知提示進行使用者驗證，條件式存取原則仍可與 Windows 11 版本 23H2 搭配 KB5034848 或更新版本使用。

組織可以選擇使用下列步驟或使用條件式存取範本來部署此原則。

下列步驟可協助建立條件式存取原則，以要求所有用戶執行多重要素驗證。

以至少是條件式存取系統管理員的身分登入 Microsoft Entra 系統管理中心。
流覽至 [保護>條件式存取]。
選取 [ 建立新原則]。
為您的原則命名。建議組織針對其原則的名稱建立有意義的標準。
在 [指派] 底下，選取 [使用者或工作負載身分識別]。
1. 在 [包含] 下，選取 [所有使用者]
2. 在 [排除] 下，選取 [使用者和群組]，然後選擇您組織的緊急存取或急用帳戶。
在 [目標資源>雲端應用程式>包含] 下，選取 [所有雲端應用程式]。
1. 在 [排除] 下，選取任何不需要多重要素驗證的應用程式。
在 [訪問控制>授與] 底下，選取 [授與存取權]、[需要多重要素驗證]，然後選取 [選取]。
確認您的設定，並將 [啟用原則] 設定為 [僅報告]。
選取 [建立] 以建立並啟用您的原則。

系統管理員使用僅限報表模式確認設定之後，可以將 [啟用原則] 切換從 [僅限報表] 移至 [開啟]。

組織可以選擇將稱為 具名位置的已知網路位置 併入其條件式存取原則。這些具名位置可能包含信任的 IPv4 網路，例如主要辦公室位置。如需設定具名位置的詳細資訊，請參閱 Microsoft Entra 條件式存取中的位置條件是什麼一文？

在先前的範例原則中，如果從其公司網路存取雲端應用程式，組織可能會選擇不需要多重要素驗證。在此情況下，他們可以將下列設定新增至原則：