前言：从设备自动化到身份驱动的必然跃迁
在前序系列中，我们解决了"如何让设备自动达到期望状态"的问题。但现代安全威胁早已突破设备边界：合法凭据被盗用、合规设备被恶意软件感染、 insider 滥用权限......这些风险无法仅通过 DSC 或 Ansible 修复。安全的核心已从"保护设备"转向"验证每一次访问"。
Microsoft Entra ID（原 Azure AD）条件访问正是这一转变的中枢引擎。它不再静态地信任"已加入域的设备"或"已认证的用户"，而是实时评估用户风险 + 设备合规状态 + 应用敏感度 + 网络位置 + 会话上下文等多维信号，动态决定允许、阻断、要求 MFA 或限制会话权限。更重要的是，它能直接消费前文 Intune/DSC 上报的设备合规状态，使设备自动化成果成为安全决策的输入而非孤岛。
设备合规信号集成：让 Intune 状态驱动访问决策
条件访问的价值在于将设备管理能力转化为安全策略。以下为关键集成点：
1. 启用设备合规性作为授予控件
在条件访问策略中，"授予访问"选项包含 "要求设备标记为合规"。该信号直接来自 Intune 合规性策略评估结果：
- ✅ Intune 报告"合规" → 条件访问放行
- ❌ Intune 报告"不合规" → 条件访问阻断或要求修复
- ⚠️ Intune 未报告（新设备/离线） → 可配置宽限期或默认阻断
关键实践：为不同敏感度的应用设置差异化合规要求。例如，访问财务系统要求"合规 + BitLocker 加密 + 最新补丁"，而访问内部 Wiki 仅需"合规"。避免一刀切导致用户体验崩溃。
2. 混合加入设备的特殊处理
对于 Hybrid Azure AD Join 设备，需额外启用 "要求混合 Azure AD 加入设备" 控件。注意：此信号依赖本地 AD 同步状态，若 AAD Connect 同步延迟，可能导致合法设备被误拦。建议为混合设备配置单独的宽松策略并监控同步健康度。
动态风险策略：从静态规则到智能响应
条件访问支持基于 Entra ID Protection 的风险信号做动态决策，这是零信任的核心能力：
| 风险类型 | 触发场景 | 推荐策略动作 |
|---|---|---|
| 用户风险（高） | 凭据泄露、异常登录模式 | 强制密码重置 + MFA |
| 登录风险（中/高） | 陌生位置、匿名代理、不可能旅行 | 要求 MFA 或阻断 |
| 设备风险 | 越狱/root、恶意软件检测 | 阻断访问并触发 Intune 隔离 |
| 会话风险 | 下载大量敏感文件、异常 API 调用 | 限制会话权限（只读/禁止下载） |
# 示例：高风险登录自动触发步进式验证
- 条件: signInRiskLevels = ['high']
授予: requireMfa + requirePasswordChange
会话: signInFrequency = 1h # 缩短重新认证间隔避坑指南：切勿对"低风险"启用 MFA。这会导致 MFA 疲劳，反而降低用户对真正高风险警报的敏感度。仅对中/高风险启用动态响应，并为低风险配置监控模式收集基线。
特权访问工作流：保护管理员账号
管理员是攻击者的首要目标。必须为其建立独立的条件访问策略集：
1. 分离日常与特权账号
- 日常账号：仅用于邮件、Teams 等低敏感操作，允许常规设备访问。
- 特权账号：仅用于 Intune/Azure/AD 管理，强制要求合规设备 + FIDO2 密钥 + 受信任位置。
2. 启用 Privileged Identity Management (PIM)
将永久管理员权限替换为 PIM 即时激活：
- 激活时需通过条件访问验证（MFA + 设备合规）
- 激活时长限制（如 4 小时）
- 激活理由必填并审计
- 高危角色需审批者确认
黄金法则：任何可直接修改条件访问策略本身的账号，必须受最严格的 PIM + 断网设备 + 多人审批保护。防止攻击者获取权限后关闭安全策略。
与前文体系的协同：条件访问不是孤立层
条件访问应作为前文工具的安全决策层，形成闭环：
| 前文工具 | 输出信号 | 条件访问消费方式 |
|---|---|---|
| Intune 合规策略 | 设备合规状态 | "要求设备合规"授予控件 |
| DSC/Ansible | 配置漂移修复结果 | 修复成功后 Intune 重评合规 → 条件访问自动恢复访问 |
| Veeam 备份 | 备份成功状态 | 自定义属性写入 Entra → 条件访问要求"最近备份成功"才允许访问核心系统 |
| WTG/VHD | 特种环境标识 | 通过设备扩展属性标记 → 条件访问限制其仅能访问特定资源 |
| 软件资产管理 | 未授权应用检测 | Intune 标记不合规 → 条件访问阻断直至卸载 |
架构洞察：条件访问是"执行点"，Intune/DSC 是"感知与修复点"。两者通过设备合规状态实时联动，形成"检测→决策→修复→恢复"的自动化安全闭环。
常见排错：策略冲突与误拦截速查
| 现象 | 根因 | 解决方案 |
|---|---|---|
| 合规设备仍被阻断 | 多策略冲突（排除列表未生效） | 使用"What If"工具模拟；检查策略优先级与排除范围 |
| MFA 提示频繁 | 会话频率设置过短或风险阈值过低 | 调整 signInFrequency；仅对中/高风险启用 MFA |
| 混合设备间歇性失败 | AAD Connect 同步延迟 | 为混合设备单独配置策略；监控同步连接器健康 |
| PIM 激活失败 | 条件访问要求 FIDO2 但用户未注册 | 提前完成密钥注册；配置备用认证方法过渡期 |
| 自定义控件不生效 | 设备扩展属性未正确写入 | 验证 Intune 自定义属性脚本执行状态；检查 Entra 设备对象属性更新延迟 |
诊断神器 ：始终先用 Sign-in logs > Conditional Access tab 查看具体哪条策略触发了什么动作；再用 What If tool 预验证策略变更效果。切勿在生产环境直接修改策略后靠用户反馈排错。
结语：身份是自动化体系的终极安全锚点
从底层镜像构建到 Autopilot 部署，从 DSC/Ansible 配置到软件资产管理，从 WTG 特种方案到如今的 Entra 条件访问，我们终于构建了 "设备自动化 + 身份驱动安全"双轮驱动的企业级终端治理体系。条件访问不是对前文工具的替代，而是将它们的安全价值最大化释放的催化剂。
当每一次访问都经过多维信号实时验证，当设备合规状态真正成为安全决策的活数据，您的自动化体系才具备了抵御现代威胁的免疫力。至此，Windows 终端自动化运维与安全治理方达成真正意义上的圆满闭环。