Microsoft Entra ID 保护会发送两类自动生成的通知电子邮件，帮助你管理用户风险和风险检测：
- 检测到有风险的用户
- 每周摘要
先决条件
- 需要Microsoft Entra ID P2 或 Microsoft Entra 套件 许可证才能完全访问 Microsoft Entra ID 保护 功能，包括修改 MFA 注册策略。
- 有关每个许可证层功能的详细列表，请参阅 什么是Microsoft Entra ID 保护。
- 安全管理员角色是配置警报所需的最低特权角色。
谁收到通知电子邮件
默认情况下，主动为用户分配了全局管理员、安全管理员或安全读取者角色，这些角色会自动添加到通知收件人列表中。 这些用户必须配置有效的 电子邮件 或 备用电子邮件 。
如果用户已加入 Privileged Identity Management（PIM），以便按需提升到这些角色之一，则只有在邮件发送时其处于已提升状态，才会收到邮件。
注意
不支持向组分配的角色中的用户发送电子邮件。
检测到风险用户的电子邮件
针对检测到的风险帐户，Microsoft Entra ID 保护 会生成一封主题为检测到存在风险的用户的电子邮件警报。 电子邮件包含“已标记为存在风险的用户”报告的链接。 最佳做法是立即调查以保护受影响的帐户。
此警报的配置允许你指定要生成警报的用户风险级别。 当用户的风险级别达到指定级别时，将生成电子邮件。
示例方案
将策略设置为针对中等用户风险发出警报。 由于实时登录风险，用户的风险分数将转移到中等风险中，你将收到有风险的用户检测到的电子邮件。
如果用户的后续风险检测导致该用户的风险级别计算达到指定的风险级别（或更高），则在重新计算用户风险分数后，你将收到检测到有风险的用户的更多电子邮件。 例如，如果用户在 1 月 1 日移动到中等风险，则如果设置设置为针对中等风险发出警报，则会收到电子邮件通知。 如果同一用户在 1 月 5 日进行了另一次风险检测，且用户风险分数经重新计算后仍为中等，则你会收到另一封电子邮件通知。
电子邮件通知计时注意事项
仅当用户风险级别的更改比上次发送的电子邮件更晚时，才会发送额外的电子邮件通知。 例如，用户于 1 月 1 日上午 5 点登录，并且没有实时风险（这意味着由于该登录而没有生成任何电子邮件）。 10 分钟后，上午 5：10，同一用户再次登录并具有较高的实时风险，导致用户风险级别移动到高水平并触发电子邮件。 然后，在凌晨 5:15，由于离线风险处理，凌晨 5:00 的原始登录的离线风险评分变为高风险。 不会发送另一封有关用户被标记为存在风险的电子邮件，因为第一次登录时间早于第二次登录时间，而第二次登录已触发电子邮件通知。
为了防止电子邮件过载，仅在 5 秒时间内收到一封电子邮件。 如果多个用户在同一 5 秒时间段内移动到指定的风险级别，则会聚合数据，并向其发送所有用户的电子邮件。
用户风险与整改
如果组织已启用自修正功能（如 Microsoft Entra ID 保护的用户体验一文中所述），那么在你有机会调查之前，用户有机会修正其风险。 在“风险用户”或“风险登录”报告中的“风险状态”筛选器中添加“已修正”，即可查看已修正的风险用户和风险登录。
如果收到有风险登录的通知，但在Microsoft Entra 管理中心中看不到任何结果，则登录可能已自动修正。 若要查看这些事件，请转到 ID 保护>风险登录 ，并设置 风险状态 筛选器以包括 修正。 通知电子邮件会包含检测发生时的检测结果，即使相关风险随后被自动解决也是如此。 因此，除非进行明确筛选，否则已修正的登录记录可能不会显示在报告中。
配置针对已检测到风险用户的警报
若要为这些警报配置用户风险级别和收件人，请执行以下步骤。
管理员可以设置：
- 触发生成此电子邮件的用户风险级别 - 默认情况下，此风险级别设置为“高”风险。
-
此电子邮件的收件人
- 或者，可以在此处添加自定义电子邮件，定义的用户必须具有适当的权限才能查看链接报表。
在 Microsoft Entra 管理中心的“ID 保护>仪表板>检测到有风险用户警报”下配置有风险用户电子邮件。
每周摘要电子邮件
每周摘要电子邮件中包含新风险检测的摘要。
其中包括：
- 检测到新的有风险用户
- 检测到新的有风险登录（实时）
- “ID 保护”中的相关报告链接
配置每周摘要电子邮件
作为管理员，可以打开或关闭每周摘要电子邮件，然后选择分配的接收该电子邮件的用户。
在 Microsoft Entra 管理中心>ID 保护>仪表板>每周摘要中配置每周摘要电子邮件。