保安預設值與條件訪問的分別：中小企先開哪個

一句話版本： 保安預設值（Security defaults）是 Microsoft Entra ID 內一個不另收費的開關，開啟後所有用戶必須登記 MFA、管理員登入必須 MFA，並封鎖舊式身分驗證。條件訪問以你自己編寫的規則完成同樣工作，但受覆蓋的用戶需要 Microsoft Entra ID P1 授權（Microsoft 365 Business Premium 已包括）。兩者不能同時運行。沒有 P1，就保持保安預設值開啟；有 P1，先以「僅報告」模式建立條件訪問策略，再在同一個變更時段內關閉保安預設值並啟用策略。

大部分小型 Microsoft 365 租戶都是這樣遇上這個問題：某個新應用程式或共用郵箱突然用不了，有人發現原因是保安預設值，於是建議「關掉它，改用條件訪問」。有時這是對的；有時租戶最後兩樣都沒有——這是三種可能狀態中最差的一種。

本文討論中小企在保安預設值與條件訪問之間如何取捨：各自做甚麼、條件訪問需要甚麼授權、如何判斷，以及如何安全地轉換。本文不重複需要建立哪些策略——那部分見我們的條件訪問基礎策略指南，在轉換步驟中需要時我們會連結過去。

保安預設值究竟做了甚麼？

保安預設值是 Microsoft Entra 管理中心內的一個開關，每個租戶都可使用，不另收費。開啟後：

所有用戶都必須登記 MFA。 微軟已取消以往容許用戶延遲登記的 14 日寬限期，用戶會在登入時被要求登記。
管理員每次登入都要 MFA。 管理員角色是密碼被盜後損失最大的地方。
其他用戶在微軟的登入訊號認為有需要時才會被要求 MFA，而不是每次登入都要。
封鎖舊式身分驗證。 使用不支援 MFA 的舊協定登入會被拒絕。

你不能做的是調整當中任何一項：沒有排除項目，不能選擇哪些應用程式要求 MFA，亦沒有基於設備或地點的條件。這正是它的設計原意——針對沒有人管理策略的租戶。這亦是它有時會「弄壞」東西的原因，例如一部仍以基本密碼發電郵的舊掃描器，或者一個你不希望綁定在某人手機上的緊急帳號。

微軟自己的建議是：擁有 Entra ID P1 或 P2 授權的租戶，條件訪問可能更合適；有複雜要求的租戶應使用條件訪問。

條件訪問多了甚麼？

條件訪問是一個策略引擎。每條策略的意思是：對這些用戶、登入這些應用程式、在這些條件下，要求某項操作（MFA、合規設備、更改密碼）或直接封鎖。這樣就可以做到保安預設值做不到的事：

刻意排除指定帳號，例如兩個以通行密鑰（passkey）保護的緊急訪問帳號。
要求所有人每次登入都 MFA，而不只是在微軟判斷登入有風險時。
使用設備和地點條件，例如只容許受管理的手提電腦訪問文件。
先測試後執行，因為每條策略都可以先以僅報告模式運行，顯示它本來會做甚麼。

代價有兩方面。條件訪問要求受覆蓋的用戶擁有 Microsoft Entra ID P1（或 P2）授權；P1 已包括在 Microsoft 365 Business Premium 以及 E3、E5 套裝中，各方案比較見我們的 Microsoft 365 價格頁。另外必須有人負責這些策略：寫好後就不再覆核的策略，會不斷累積排除項目，直至差不多甚麼也保護不了。

保安預設值與條件訪問一覽

逐項比較

授權： 保安預設值每個租戶都有；條件訪問要求受覆蓋的用戶擁有 Entra ID P1 或 P2。
控制程度： 保安預設值是一個沒有選項的開關；條件訪問是一組需要你編寫和維護的策略。
一般用戶的 MFA： 保安預設值在微軟訊號認為需要時才要求；條件訪問按你的策略要求，通常是每次登入。
排除項目： 保安預設值沒有；條件訪問可排除任何你揀選的帳號或群組，這既是優點亦是風險。
舊式身分驗證： 兩者都可以封鎖；用條件訪問時，封鎖策略需要自己編寫。
測試： 保安預設值沒有測試模式；條件訪問策略可先以僅報告模式運行。
由誰維護： 保安預設值由微軟維護；條件訪問由你或你的服務商維護。

中小企應該用哪一個？

三個問題就可以決定。

你要保護的用戶有 Entra ID P1 嗎？ 沒有的話，保持保安預設值開啟。沒有 P1 而關閉它，等於甚麼保護都沒有；兩樣都沒有的租戶，正是審計最先指出的那類缺口。
有沒有人負責這些策略？ 如果你有 P1，但沒有人最少每季覆核一次策略和排除項目，那麼在情況改變之前，保安預設值可能仍是較穩妥的選擇。
是否有某樣具體東西被保安預設值弄壞了？ 如果只是某一部舊設備或某一個應用程式，先處理這部設備或這個應用程式（轉用現代身分驗證，或改用受支援的郵件轉發），不要為遷就它而關閉整個租戶的保護。

如果答案是「有、有，而且我們需要彈性」，就轉用條件訪問。大部分為 Intune 和 Defender 功能而購買 Business Premium 的中小企最終都會走到這一步，因為他們本來已經有授權。

途中還要清理一種狀態：部分較早期的租戶仍在舊版 MFA 設定頁面逐個用戶開啟 MFA。把它當作轉換過程中需要清理的第三種配置，而不是與條件訪問並存的東西。

如何安全地由保安預設值轉用條件訪問？

保安預設值和條件訪問不能同時運行：保安預設值開啟時，管理中心不容許啟用條件訪問策略。所以轉換期間必然有一段暴露時間，目標是把它縮短至幾分鐘，而不是幾星期。先做好準備，然後一次完成轉換。

確認授權。 檢查策略將覆蓋的每個用戶都擁有 Entra ID P1，可以是單獨購買，亦可以透過 Business Premium 或 E3/E5 套裝取得。
找出仍在使用舊式身分驗證的東西。 在登入日誌按用戶端應用程式篩選舊協定，掃描器、業務應用程式和舊電郵用戶端會出現在這裡。轉換前先修正或更換。
建立兩個緊急訪問帳號。 只限雲端、全域管理員、高強度並分開保管的通行密鑰，透過專用群組從策略中排除，並持續監察。
檢查 MFA 登記情況。 在保安預設值下所有人理應都已登記，但仍要確認。我們的找出所有未啟用 MFA 的用戶一文介紹了如何在 Entra 製作這份報告。
以僅報告模式建立策略。 以我們條件訪問基礎策略指南內的六條策略作為起點。保安預設值仍開啟時，亦可建立僅報告策略。
最少觀察一星期僅報告結果。 留意策略原本會封鎖或要求驗證、而你沒有預料到的登入，在執行前調整。
在一個變更時段內完成轉換。 關閉保安預設值，然後立即把每條策略由僅報告改為開啟。完成前分別測試一次管理員登入、一般用戶登入和緊急帳號。
檢查由微軟管理的策略（Microsoft-managed policies）。 有 P1 的租戶可能會見到微軟以僅報告狀態建立的策略。逐條決定保留、啟用，還是由你自己的策略覆蓋，並記錄下來。
觀察登入日誌一星期。 被遺忘的服務帳號引致的失敗，通常在頭幾日出現。

最常見的錯誤有哪些？

「暫時」關閉保安預設值然後忘記。 租戶此後完全沒有 MFA 要求。
為解決一個用戶的問題而排除整個群組。 排除項目應指名到個別帳號，並寫明原因和覆核日期。
沒有緊急訪問帳號，或者緊急帳號依賴某一個人的手機。
跳過僅報告模式直接執行，然後透過服務台個案才發現影響。
舊式身分驗證仍然開放，因為封鎖它的那條策略被留到「之後」。
忘記訪客和服務帳號。 訪客用戶和應用程式使用的帳號同樣會登入；每條策略是否覆蓋它們要刻意決定，並記錄下來。
沒有人負責覆核。 在某個人的日曆設定每季提醒，通讀策略清單和每一個排除項目。沒有人覆核的策略組合，會慢慢退化成一個滿是漏洞的保安預設值。

審計在當中起甚麼作用？

如果租戶已在運行條件訪問，問題就不再是揀哪個，而是這些策略是否仍在做當初編寫時想做的事：哪些策略開著、誰被排除及原因、舊式身分驗證是否真的被封鎖、每個帳號是否都受某條策略覆蓋。這是配置審計的問題。我們的 Microsoft 365 安全審計在身分部分會檢查條件訪問策略及其排除項目，現行價格見該頁。如果你希望由我們完成部署，我們的 MFA 解決方案服務涵蓋設計、用戶登記和條件訪問。