如何通过条件访问来定位特定租户

条件访问的核心是 IF 语句和决策的集合，使您能够控制组织中身份安全的几乎每个方面。这些控制现在可以通过应用于外部用户并在外部租户中接受其声明来跨越组织租户的边界。

在本教程中，我将向您展示如何使用条件访问来定位特定租户 ID，以提供对不同合作伙伴组织的细粒度控制。

多租户组织和条件访问

多租户组织是两个或多个 Microsoft 365 租户的集合，由跨租户同步和访问设置（包括条件访问信任）进行管理。

虽然可以将其配置为让入站租户接受来自合作伙伴租户的条件访问声明，以进行控制（例如要求多因素身份验证或设备合规性），但由于合规性，即使两个租户都属于合作伙伴租户，也可能需要对某些租户提出更严格的要求。同一个组织。 这个问题就是我们在这篇博文中要解决的问题。

除此之外，可以通过条件访问对外部成员用户应用对特定资源的更精细的控制。其中一个示例是在更敏感的 SharePoint 网站中使用身份验证上下文，我在博客如何将条件访问策略应用于单个 SharePoint 网站中对此进行了更详细的介绍。

有关多租户组织的工作原理以及如何设置的详细信息，请查看我的博客文章：如何在 Microsoft 365 中设置多租户组织。

通过条件访问定位特定租户

条件访问允许您使用外部租户的租户 ID 来定位特定租户，这使您可以对多租户组织中的同步用户实施增强的安全要求和控制。

要使用条件访问来定位特定租户，请执行以下步骤：

1. 登录 Microsoft Entra，展开保护并选择条件访问 > 策略 > 新策略

2. 选择用户和组，然后选择来宾或外部用户。从下拉列表中选择B2B 协作成员用户。

通过多租户组织功能同步的用户将在合作伙伴组织中显示为成员用户（而不是来宾用户）。这使他们能够通过 Microsoft Teams 获得无缝协作体验。

3. 单击已选择 0 个 Microsoft Entra 组织，然后输入目标租户的 ID，然后单击“选择”。

其余的条件访问策略设置可以正常完成。为了实现全面覆盖，我建议您从策略向导的目标资源部分选择所有云应用。

测试特定于租户的条件访问策略

为了了解受跨租户条件访问策略影响的最终用户体验，我必须设置场景。目前，我有两个 Microsoft 365 租户：Tenant1 和 Tenant2。用户 John Smith 已在 Tenant2 中创建，他通过多租户组织关系也是 Tenant1 的成员。条件访问信任配置为接受两个租户的信任声明。

已在租户 1 中创建条件访问策略以针对租户 2 的 ID。该策略要求使用 Microsoft Authenticator 应用程序来授予对目标资源的访问权限，在本例中为“所有云应用程序”。

用户 John Smith 已仅使用基于 SMS 的多重身份验证登录 Microsoft Teams。登录后，通过选择右上角的显示配置文件图标，他可以切换到合作伙伴租户。

从橙色警告三角可以看出，他同步访问合作伙伴租户时出现了登录错误。

一旦约翰切换到合作伙伴租户，他立即收到以下警告：“我们无法连接。登录，我们会再试一次”。然后，他可以单击“登录”按钮。

John 单击“登录”并完成第一次因素身份验证后，系统会要求他完成 Microsoft Authenticator 应用程序的注册向导。

确定哪些用户将受到条件访问策略的影响

此策略的目标是针对已使用 Microsoft 365 和 Microsoft Entra 中的多租户组织功能自动预配的用户。

如果源租户或多个租户通过组成员身份同步用户，则可能难以通过门户网站枚举同步用户的准确列表。

可以使用 Microsoft Graph PowerShell 使用多个不同的筛选器在目标租户中识别同步用户。 UserPrincipalName 将是后备域，并且邮件地址可能不是 Exchange Online 中任何接受的域的地址。然而，最好的解决方案是使用 CreationType 为“Invitation”和 UserType 为“Member”来识别用户。您可以使用 Microsoft Graph PowerShell 通过以下筛选器查询来执行此操作：

Get-MgBetaUser -Filter "CreationType eq 'invitation' AND UserType eq 'member'"

然后，您应该仅收到使用跨租户同步生成的用户输出，作为 Microsoft 365 中多租户组织功能的一部分。

要安装 Microsoft Graph PowerShell 模块，请按照我的指南进行操作：如何安装 Microsoft Graph PowerShell 模块。

要详细了解如何使用 -Filter 参数，请按照我的指南：如何将 -Filter 与 Microsoft Graph PowerShell 一起使用。