条件访问：设备筛选器

管理员创建条件访问策略时，经常需要将其环境中的特定设备指定为目标或者排除这些设备。 利用设备的条件筛选器，管理员能够将特定设备指定为目标。 管理员可以在条件访问策略中使用设备筛选器支持的运算符和属性和其他可用分配条件。

常见方案

现在，组织可以使用设备筛选器条件实现多种方案。 以下方案提供了有关如何使用此新条件的示例。

• 限制对特权资源的访问。 在此示例中，假设你想允许以下用户访问 Azure 服务管理 API：
  • 已获得特权角色。
  • 已完成多重身份验证。
  • 位于特权或安全管理工作站的设备上并被证明合规。
  • 对于此方案，组织需创建两个条件访问策略：
    • 策略 1：具有管理员角色的所有用户可以访问 Azure 服务管理 API 云应用，并可为“访问控制”授予访问权限，但需要执行多重身份验证，并要求将设备标记为合规。
    • 策略 2：具有管理员角色的所有用户可以访问 Azure 服务管理 API 云应用（但不包括使用规则表达式“device.extensionAttribute1 equals SAW”的设备筛选器），并可以将“访问控制”设为“阻止”。 了解如何更新 Microsoft Entra 设备对象上的 extensionAttributes。
• 阻止通过运行不受支持的操作系统的设备访问组织资源。 对于此示例，假设你想要阻止通过早于 Windows 10 的 Windows OS 版本访问资源。 对于此方案，组织需创建以下条件访问策略：
  • 所有用户，访问所有资源，排除使用规则表达式“device.operatingSystem equals Windows and device.operatingSystemVersion startsWith "10.0"”的设备筛选器，访问控制为“阻止”。
• 不要求对特定设备上的特定帐户执行多重身份验证。 对于此示例，假设你想要在 Teams 电话或 Surface Hub 设备等特定设备上使用服务帐户时，不要求执行多重身份验证。 对于此方案，组织需创建以下两个条件访问策略：
  • 策略 1：除服务帐户以外的所有用户，访问所有资源，访问控制为“授予访问权限”，但需要执行多重身份验证。
  • 策略 2：选择用户和组，包括仅包含服务帐户的组，访问所有资源，排除使用规则表达式“device.extensionAttribute2 not equals TeamsPhoneDevice”的设备筛选器，访问控制为“阻止”。

创建条件访问策略

创建条件访问策略时，设备筛选器是可选控件。

以下步骤可帮助你创建两个条件访问策略，以支持常见方案中所述的第一种方案。

策略 1：具有管理员角色的所有用户可以访问 Azure 服务管理 API 云应用，并可为“访问控制”授予访问权限，但需要执行多重身份验证，并要求将设备标记为合规。

1. 最低以条件访问管理员身份登录到 Azure 门户。
2. 浏览到“Microsoft Entra ID”>“安全性”>“条件访问”
3. 选择“创建新策略”。
4. 为策略指定名称。 建议组织为其策略的名称创建有意义的标准。
5. 在“分配”下，选择“用户或工作负载标识” 。

   1. 在“包括”下，选择“目录角色”，然后选择名称中包含管理员字样的所有角色。

      警告

      条件访问策略支持内置角色。 不会为其他角色类型（包括管理单元范围或自定义角色）强制实施条件访问策略。

   2. 在“排除”下选择“用户和组”，然后选择组织的紧急访问帐户或不受限帐户。

   3. 选择“完成”。

6. 在“目标资源”>“资源(以前为云应用)”>“包括”>“选择资源”下，选择“Azure 服务管理 API”，然后选择“选择”。
7. 在“访问控制”>“授予”下，依次选择“授予访问权限”、“需要多重身份验证”、“要求设备标记为合规”、“选择”。
8. 确认设置，然后将“启用策略”设置为“打开”。
9. 选择“创建” ，以便创建启用策略所需的项目。

策略 2：具有管理员角色的所有用户可以访问 Azure 服务管理 API 云应用（但不包括使用规则表达式“device.extensionAttribute1 equals SAW”的设备筛选器），并可以将“访问控制”设为“阻止”。

1. 选择“新策略”。
2. 为策略指定名称。 建议组织为其策略的名称创建有意义的标准。
3. 在“分配”下，选择“用户或工作负载标识” 。

   1. 在“包括”下，选择“目录角色”，然后选择名称中包含管理员字样的所有角色

      警告

      条件访问策略支持内置角色。 不会为其他角色类型（包括管理单元范围或自定义角色）强制实施条件访问策略。

   2. 在“排除”下选择“用户和组”，然后选择组织的紧急访问帐户或不受限帐户。

   3. 选择“完成”。

4. 在“目标资源”>“资源(以前为云应用)”>“包括”>“选择资源”下，选择“Azure 服务管理 API”，然后选择“选择”。
5. 在“条件”下，选择“设备筛选器 。
   1. 将“配置”切换为“是” 。
   2. 将“与规则匹配的设备”设置为“从策略中排除筛选的设备” 。
   3. 将属性设置为 ExtensionAttribute1，将运算符设置为 Equals，将值设置为 SAW。
   4. 选择“完成”。
6. 在“访问控制”>“授权”下，选择“阻止访问”，然后选择“选择”。
7. 确认设置，然后将“启用策略”设置为“打开”。
8. 选择“创建” ，以便创建启用策略所需的项目。

设置属性值

可以通过 Microsoft Graph API 设置扩展属性。 有关设置设备属性的详细信息，请参阅更新设备一文。

设备筛选器 Graph API

设备筛选器 API 在 Microsoft Graph v1.0 终结点中提供，可以使用终结点 https://microsoftgraph.chinacloudapi.cn/v1.0/identity/conditionalaccess/policies/ 访问它。 可以在创建新的条件访问策略时配置设备筛选器，也可以更新现有策略以配置设备筛选器条件。 若要更新现有策略，可以通过追加现有策略的策略 ID 并执行以下请求正文，针对 Microsoft Graph v1.0 终结点执行 patch 调用。 此处的示例演示如何配置设备筛选器条件，其中排除了未标记为 SAW 设备的设备。 规则语法可以包含多个单一表达式。 要详细了解语法，请参阅 Microsoft Entra ID 中组的动态成员资格组规则。

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

筛选器支持的运算符和设备属性

以下设备特性可用于条件访问中的设备筛选器条件。

设备筛选器的策略行为

条件访问中的设备筛选器条件根据 Microsoft Entra ID 中已注册设备的设备特性来评估策略，因此，知道在哪些场合下应用或不应用策略非常重要。 下表说明了配置设备筛选器条件时的行为。

相关内容

• 回到学校 - 在复杂筛选器中正确使用布尔代数
• 更新设备图形 API
• 条件访问：条件
• 常用条件访问策略