如何在条件访问中严格执行位置策略

连续访问评估是条件访问中默认启用的一种强大的默认保护方法。它确保客户端设备和 Microsoft Entra 之间保持持续的双向通信，以确保如果客户端参数超出条件访问要求的范围，则几乎立即阻止对该资源的访问，而无需等待令牌到期。

然而，这并不是一个完美的解决方案。微软必须宽容地执行默认设置，以适应复杂的场景，在这些场景中，过于热心的策略可能会阻碍生产力。但当然这也会带来额外的风险。

在本教程中，我将向您展示如何应对这种额外风险并在条件访问中严格执行位置策略设置。

条件访问的基本位置限制和风险

条件访问中的基于位置的访问使您能够根据用户的 IP 地址或地理位置阻止访问。问题是，默认情况下，客户端和服务 (Microsoft Entra) 之间允许实时评估策略的连续双向通信可能会被规避。

尽管基于位置的限制为保护资源访问提供了坚实的基础，但如果您不或无法实施额外的保护，仍然存在一些风险。

首先，如果系统遭到破坏，访问令牌可以在其有效期内导出并在另一个网络上使用。如果受影响的用户也是高特权角色成员，则攻击者可以简单地在现有条件访问策略中禁用或创建隐藏的权限，以进一步扩展他们对您的环境的恶意访问。

其次，意想不到的攻击可能以恶意 VPN 连接的形式出现。用户可能毫无戒心地连接到他们日常使用的现有 VPN 连接，但在不知情的情况下，提供 VPN 的设备（例如防火墙）可能已被破坏并配置为执行 DNS 欺骗或 DNS 中毒攻击。然后，他们可以欺骗用户从恶意（但看似合法）的登录页面公开其访问令牌。

为了演示这个问题，我创建了一个简单的条件访问策略来包含所有位置、排除我信任的位置并阻止访问：

如果我尝试在受信任网络之外登录，条件访问将按预期阻止我登录：

然后，如果我尝试在受信任的网络内登录，我的访问将被允许。对于此测试，我使用了公共 VPN 提供商，该提供商被添加为我的可信网络之一。下图显示了此测试的条件访问登录日志，显示此登录已根据位置排除从阻止策略中排除。

现在来说说这个问题。当我连接到受信任的 VPN 并通过 Outlook 桌面客户端登录 Exchange Online（例如）时，我可以断开 VPN 客户端的连接，并在短时间内保持对受信任网络之外的浏览会话的访问。此外，根据我的网络拓扑，路由的更改可能会导致连续访问评估恢复到令牌到期和续订的旧评估方法以触发策略评估，这将扩展我对 Exchange Online 的未评估访问。

持续访问评估何时不适用？

如前所述，IP 地址位置的持续访问评估并不总是适用于某些复杂的网络环境，具体取决于网络流量的路由方式。

对于资源提供商（例如 Exchange Online）无法枚举用户 IP 地址但 Microsoft Entra 可以枚举的情况，持续访问评估将不适用于 IP 位置，而仅适用于身份验证后的风险事件。可能触发此问题的网络拓扑示例包括：

• 分割隧道 VPN
• 影响源 NAT (SNAT) 的负载平衡/冗余网络
• 基于 SD-WAN 的部署
• 流量在其他办公室和互联网之间路由的分支机构

从根本上讲，如果身份提供商 (Microsoft Entra) 和资源（例如 Exchange Online）之间的流量处理方式不同，则这将使 CAE IP 位置控制无效。

严格执行位置策略如何运作

如上所述，默认情况下会启用连续访问评估，即使您的条件访问策略中未配置它。问题是默认情况下是宽松的。

如果不配置“严格执行位置策略”，并且在出现复杂网络拓扑的情况下，Microsoft Entra 会检测到这种情况，并且网络位置评估方法可以/将回退到 CAE 之前的检测方法，如上所述。这将延长对受保护资源的未经身份验证的访问，并防止对生产力造成阻碍。

解决方案是通过条件访问会话控制严格执行位置策略。这提供了一种“选择加入”体验，允许您绕过条件访问评估中内置的故障安全机制。

通过严格执行位置策略，只有在满足以下条件的情况下，用户才会被授予对资源的访问权限：

• 用户的 IP 地址可以由身份提供商和提供的资源（例如 Entra 和 Exchange Online）进行枚举
• 身份提供者和资源提供者枚举的IP是相同的

如果不满足上述任一条件，则将拒绝访问该服务。这可以通过条件访问登录日志看到：

如何在条件访问中启用严格执行位置策略

“严格执行位置策略”设置很容易配置，但在启用条件访问策略之前了解自己的路由拓扑非常重要。

首先按照以下步骤创建条件访问策略、启用这些设置并配置报告模式。

1. 登录Microsoft Entra

2. 展开保护，然后选择条件访问 > 策略 > 新策略

3. 在新策略中，配置标准设置，例如名称、用户分配和资源分配，然后在条件分配上配置您的位置条件。

4. 在“访问控制”下，展开会话控制并选中自定义连续访问评估旁边的框，然后选择严格执行位置策略。