小企业的 Microsoft 365 租户：先开安全默认值还是条件访问？

一句话版本： 安全默认值是 Microsoft Entra ID 里一个不另收费的开关，开启后所有用户必须注册 MFA、管理员登录必须 MFA，并阻止旧式身份验证。条件访问用你自己编写的规则完成同样的工作，但被覆盖的用户需要 Microsoft Entra ID P1 许可证（Microsoft 365 Business Premium 已包含）。两者不能同时运行。没有 P1，就保持安全默认值开启；有 P1，先以"仅报告"模式建好条件访问策略，再在同一个变更窗口里关闭安全默认值并启用策略。

大多数小型 Microsoft 365 租户都是这样碰到这个问题的：某个新应用或共享邮箱突然用不了，有人发现原因是安全默认值，于是建议"关掉它，改用条件访问"。有时这是对的；有时租户最后两样都没有——这是三种可能状态里最糟的一种。

本文讨论小企业在安全默认值与条件访问之间如何选择：各自做什么、条件访问需要什么许可证、怎么判断，以及如何安全地切换。本文不重复需要建哪些策略——那部分见我们的条件访问基础策略指南，在切换步骤里需要的时候我们会链接过去。

安全默认值到底做了什么？

安全默认值是 Microsoft Entra 管理中心里的一个开关，每个租户都可以使用，不额外收费。开启后：

• 所有用户都必须注册 MFA。 微软已经取消了过去允许用户推迟注册的 14 天宽限期，用户会在登录时被要求注册。
• 管理员每次登录都要 MFA。 管理员角色是密码被盗后损失最大的地方。
• 其他用户在微软的登录信号认为有必要时才会被要求 MFA，而不是每次登录都要。
• 阻止旧式身份验证。 使用无法支持 MFA 的旧协议登录会被拒绝。

你不能做的是调整其中任何一项：没有排除项，不能选择哪些应用要求 MFA，也没有基于设备或位置的条件。这正是它的设计初衷——面向没有人管理策略的租户。这也是它有时会"弄坏"东西的原因，例如一台仍用基本密码发邮件的旧扫描仪，或者一个你不希望绑定在某个人手机上的应急账号。

微软自己的建议是：拥有 Entra ID P1 或 P2 许可证的租户，条件访问可能更合适；有复杂要求的租户应该使用条件访问。

条件访问多了什么？

条件访问是一个策略引擎。每条策略的意思是：对这些用户、登录这些应用、在这些条件下，要求某项操作（MFA、合规设备、修改密码）或直接阻止。这样就能做到安全默认值做不到的事：

• 有意识地排除指定账号，例如两个用通行密钥（passkey）保护的应急访问账号。
• 要求所有人每次登录都 MFA，而不仅仅在微软判断登录有风险时。
• 使用设备和位置条件，例如只允许受管笔记本电脑访问文件。
• 先测试后执行，因为每条策略都可以先以仅报告模式运行，显示它本来会做什么。

代价有两方面。条件访问要求被覆盖的用户拥有 Microsoft Entra ID P1（或 P2）许可证；P1 已包含在 Microsoft 365 Business Premium 以及 E3、E5 套件中，各方案对比见我们的Microsoft 365 价格页。另外必须有人负责这些策略：写完就不再复核的策略，会不断累积排除项，直到几乎什么也保护不了。

安全默认值与条件访问一览

逐项对比

• 许可证： 安全默认值每个租户都有；条件访问要求被覆盖的用户拥有 Entra ID P1 或 P2。
• 控制程度： 安全默认值是一个没有选项的开关；条件访问是一组需要你编写和维护的策略。
• 普通用户的 MFA： 安全默认值在微软信号认为需要时才要求；条件访问按你的策略要求，通常是每次登录。
• 排除项： 安全默认值没有；条件访问可以排除任何你选择的账号或组，这既是优点也是风险。
• 旧式身份验证： 两者都能阻止；用条件访问时，阻止策略需要你自己写。
• 测试： 安全默认值没有测试模式；条件访问策略可以先以仅报告模式运行。
• 由谁维护： 安全默认值由微软维护；条件访问由你或你的服务商维护。

小企业应该用哪一个？

三个问题就能决定。

1. 你要保护的用户有 Entra ID P1 吗？ 没有的话，保持安全默认值开启。没有 P1 就关闭它，等于什么保护都没有；两样都没有的租户，正是审计最先指出的那类缺口。
2. 有没有人负责这些策略？ 如果你有 P1，但没有人至少每季度复核一次策略和排除项，那么在情况改变之前，安全默认值可能仍是更稳妥的选择。
3. 是不是有某个具体东西被安全默认值弄坏了？ 如果只是某一台旧设备或某一个应用，先解决这台设备或这个应用（迁移到现代身份验证，或改用受支持的邮件中继），不要为了迁就它而关闭整个租户的保护。

如果答案是"有、有，而且我们需要灵活性"，那就迁移到条件访问。大多数为 Intune 和 Defender 功能而购买 Business Premium 的小企业最终都会走到这一步，因为他们本来就已经有许可证。

途中还要清理一种状态：一些较早的租户仍在旧版 MFA 设置页面里按用户逐个开启 MFA。把它当作切换过程中需要清理的第三种配置，而不是与条件访问并存的东西。

怎样安全地从安全默认值切换到条件访问？

安全默认值和条件访问不能同时运行：安全默认值开启时，管理中心不允许启用条件访问策略。所以切换过程中一定有一段暴露时间，目标是把它缩短到几分钟，而不是几周。先做好准备，然后一次完成切换。

1. 确认许可证。 检查策略将覆盖的每个用户都拥有 Entra ID P1，可以是单独购买，也可以通过 Business Premium 或 E3/E5 套件获得。
2. 找出仍在使用旧式身份验证的东西。 在登录日志中按客户端应用筛选旧协议，扫描仪、业务应用和旧邮件客户端会出现在这里。切换前先修复或替换它们。
3. 建立两个应急访问账号。 仅限云端、全局管理员、强度高且分开保管的通行密钥，通过专用组从策略中排除，并持续监控。
4. 检查 MFA 注册情况。 在安全默认值下所有人理应都已注册，但仍要确认。我们的找出所有未启用 MFA 的用户一文介绍了如何在 Entra 中生成这份报告。
5. 以仅报告模式建立策略。 以我们条件访问基础策略指南里的六条策略作为起点。安全默认值仍开启时，也可以创建仅报告策略。
6. 至少观察一周仅报告结果。 寻找策略原本会阻止或要求验证、而你没有预料到的登录，在执行前调整。
7. 在一个变更窗口内完成切换。 关闭安全默认值，然后立即把每条策略从仅报告改为开启。结束前分别测试一次管理员登录、普通用户登录和应急账号。
8. 检查由微软管理的策略（Microsoft-managed policies）。 有 P1 的租户可能会看到微软以仅报告状态创建的策略。逐条决定保留、启用，还是由你自己的策略覆盖，并记录下来。
9. 观察登录日志一周。 被遗忘的服务账号导致的失败，通常在头几天出现。

最常见的错误有哪些？

• "暂时"关闭安全默认值然后忘了。 租户此后完全没有 MFA 要求。
• 为了解决一个用户的问题而排除整个组。 排除项应该指名到具体账号，并写明原因和复核日期。
• 没有应急访问账号，或者应急账号依赖某一个人的手机。
• 跳过仅报告模式直接执行，然后通过服务台工单才发现影响。
• 旧式身份验证仍然开放，因为阻止它的那条策略被留到了"以后"。
• 忘了来宾和服务账号。 来宾用户和应用使用的账号同样会登录；每条策略是否覆盖它们要有意识地决定，并记录下来。
• 没有人负责复核。 在某个人的日历里设一个每季度的提醒，通读策略清单和每一个排除项。没人复核的策略集，会慢慢退化成一个满是漏洞的安全默认值。

审计在其中起什么作用？

如果租户已经在运行条件访问，问题就不再是选哪个，而是这些策略是否仍在做当初写它们时想做的事：哪些策略开着、谁被排除以及为什么、旧式身份验证是否真的被阻止、每个账号是否都被某条策略覆盖。这是配置审计的问题。我们的微软365安全审计在身份部分会检查条件访问策略及其排除项，当前价格见该页面。如果你希望由我们来完成部署，我们的MFA 解决方案服务涵盖设计、用户注册和条件访问。

常见问题

安全默认值和条件访问可以同时使用吗？

不可以，两者是二选一。安全默认值开启时无法启用条件访问策略，所以切换必须作为一次完整的变更来规划。

用条件访问一定要买 Business Premium 吗？

被策略覆盖的用户需要 Microsoft Entra ID P1 或 P2。Business Premium 包含 P1，Microsoft 365 E3 和 E5 套件也包含。P1 也可以单独购买。

安全默认值足够应付网络保险问卷吗？

往往可以回答核心问题，因为它要求所有用户注册 MFA、管理员使用 MFA，并阻止旧式身份验证。如果保险表格问的是"每次登录邮箱或所有远程访问是否都强制 MFA"，可能就需要条件访问的精确控制。逐字阅读问题，并用带日期的证据回答。

开启安全默认值会把人锁在外面吗？

尚未注册 MFA 的用户会在登录时被要求注册，使用旧式身份验证的应用会停止工作。开启之前，先在登录日志里检查旧式身份验证，并提前通知员工。

可以把应急账号从安全默认值中排除吗？

不可以，安全默认值没有排除项。如果你需要使用独立验证方式的应急访问账号，这本身就是迁移到条件访问的理由之一。

我们几年前关掉了安全默认值，也没有条件访问，现在怎么办？

除非你本周就能部署条件访问，否则今天就把安全默认值重新打开。然后按上面的顺序，好好规划迁移到条件访问。

下一步

如果你不确定租户目前处于哪种状态，或者希望由我们规划并执行切换，请联系顾问。如果想先全面了解身份、邮件和共享设置，可以从微软365安全审计开始。