使用安全增强功能来保护客户参与应用，例如Dynamics 365 Sales、Dynamics 365 Customer Service、Dynamics 365 Field Service、Dynamics 365市场营销和Dynamics 365 Project Service Automation。 本文介绍如何管理用户会话和访问权限，以确保安全且受控的用户交互。
用户会话超时管理
默认情况下，Microsoft Entra会话策略控制用户会话，而不是固定的 24 小时限制。 用户始终登录到客户参与应用和其他在同一浏览器会话中打开的其他Microsoft应用，而无需每隔 24 小时重新输入其凭据。
此策略不会将单个会话延长 24 小时。 如果为环境设置了自定义会话超时，则配置的会话长度（至少为 60 分钟和最多 1,440 分钟（24 小时）之间），并替代默认Microsoft Entra行为。
默认Microsoft Entra会话策略
默认情况下，客户参与应用使用 Microsoft Entra session 策略来管理用户会话超时。 客户互动应用使用带有策略检查间隔 (PCI) 声明的 Microsoft Entra ID 令牌。 每小时都会在后台以静默方式提取新的 Microsoft Entra ID 令牌，并强制实施 Microsoft Entra 即时策略（由 Microsoft Entra ID 执行）。 例如，当管理员禁用或删除用户帐户、阻止用户登录以及管理员或用户撤销刷新令牌时，系统将强制实施Microsoft Entra会话策略。
根据Microsoft Entra令牌生存期策略配置，Microsoft Entra ID令牌的刷新周期在后台继续进行。 用户将继续访问客户参与应用和Microsoft Dataverse数据，而无需重新进行身份验证，直到Microsoft Entra令牌生存期策略过期。
注释
- 默认Microsoft Entra刷新令牌过期为 90 天。 可以配置此令牌生存期属性。 有关详细信息，请参阅 Microsoft Entra ID 中的可配置令牌生存期。
- 以下方案绕过Microsoft Entra会话策略，并将最大用户会话持续时间还原为 24 小时：
- 在浏览器会话中，转到 Power Platform 管理中心 ，通过在环境 URL 中手动键（在同一浏览器选项卡或新的浏览器选项卡上）打开环境。
若要绕过策略和最多 24 小时的用户会话，请通过选择“打开”链接从 Power Platform 管理中心环境选项卡打开环境。 - 在同一浏览器会话中，打开版本 9.1.0.3647 或更高版本，然后打开版本 9.1.0.3647。
若要绕过 策略和用户持续时间更改，请在单独的浏览器会话中打开第二个环境。
- 在浏览器会话中，转到 Power Platform 管理中心 ，通过在环境 URL 中手动键（在同一浏览器选项卡或新的浏览器选项卡上）打开环境。
若要确定您的版本，请登录到 Customer Engagement 应用，然后在屏幕右上角选择设置按钮 >关于。
Microsoft Entra中断复原能力
如果发生间歇性Microsoft Entra中断，经过身份验证的用户仍然可以访问客户参与应用和 Dataverse 数据（如果他们的 PCI 声明仍然有效，或者他们选择在身份验证期间保持登录状态）。
单个环境的会话超时
对于需要不同会话超时值的环境，可以在系统设置中设置会话超时和非活动超时。 这些设置将替代默认Microsoft Entra会话策略。 这些设置过期后，用户将定向到Microsoft Entra ID重新身份验证。
要强制用户在预定时间段后重新进行身份验证，管理员可以为其各个环境设置会话超时。 用户只能在会话期间保持登录应用程序。 会话到期后，应用程序将注销用户。 用户需要使用自己的凭据登录，才能返回客户互动应用。
注释
以下应用不会强制实施用户会话超时：
- Outlook Dynamics 365
- 适用于手机的 Dynamics 365 和适用于平板电脑的 Dynamics 365
- 使用 WPF 浏览器的统一服务台客户端（支持Internet Explorer）
- 实时助手 （聊天）
- Power Apps画布应用
若要为单个环境配置会话超时，请执行以下步骤：
登录到 Power Platform 管理中心。
在导航窗格中，选择“ 管理”。
在管理窗格中，选择环境。
在“环境” 页上，选择一个环境。
在命令栏中，选择 设置。
展开产品，然后选择隐私和安全性。
打开 会话过期 设置。
在以下字段中输入值：
- 输入最大会话长度
- 您希望在会话到期前多久显示超时警告？
这些设置适用于所有用户。
选择“保存”。
注释
会话超时 是一项服务器端功能，用于强制所有会话的生存期。 启用 会话过期时，请配置两个值：
- 会话长度 — 用户在会话结束前可以保持登录的时间，他们需要再次登录。 最小值：60 分钟。 最大值：1,440 分钟（24 小时）。
- 超时警告 — 用户收到警告的会话结束时间前多长时间，因此他们有时间在重新登录之前保存工作。 最小值：20 分钟。 它必须是小于会话长度的值。
这些设置适用于所有用户，并在用户下次登录时生效。
注释
该警告基于会话中剩余的时间，而不是用户打开应用的时间。 如果用户在时间小于警告值时打开或返回到应用，则立即显示警告。 选择一个警告值，为用户提供足够的时间来在会话结束之前保存工作：会话过期时，用户必须再次登录并启动新会话，因此任何未保存的工作都可能会丢失。 当出现警告而不是等待会话过期时，保存工作并再次登录有助于避免这种情况。
非活动超时管理
默认情况下，客户互动应用不会强制执行非活动会话超时。 用户可以保持登录到应用程序，直到会话超时过期。 您可以更改此行为。
若要在预先确定的非活动期后强制执行自动注销，管理员可以为每个环境设置非活动超时期限。 当非活动会话过期时，应用程序会注销用户。
若要对 Web 资源强制实施非活动会话超时，Web 资源需要 ClientGlobalContext.js.aspx 在其解决方案中包含该文件。
Dynamics 365门户有自己的设置来管理其会话超时和非活动会话超时，这些超时独立于这些系统设置。
注释
以下应用不会强制实施非活动会话超时：
- Outlook Dynamics 365
- 适用于手机的 Dynamics 365 和适用于平板电脑的 Dynamics 365
- 使用 WPF 浏览器的统一服务台客户端（支持Internet Explorer）
- 实时助手 （聊天）
- Power Apps画布应用
若要为单个环境配置非活动超时，请执行以下步骤：
- 登录到 Power Platform 管理中心。
- 在导航窗格中，选择“ 管理”。
- 在管理窗格中，选择环境。
- 在“环境” 页上，选择一个环境。
- 在命令栏中，选择 设置。
- 展开产品，然后选择隐私和安全性。
- 打开 不活动超时 设置。
- 在以下字段中输入值：
- 超时前的不活动持续时间
- 您希望在会话到期前多久显示不活动警告？ 这些设置适用于所有用户。
- 选择“保存”。
注释
非活动超时 是客户端决定根据不活动状态注销的客户端功能。 不过，我们建议您只在跨林环境中这样做。
- 非活动最短持续时间：5 分钟
- 非活动的最大持续时间：小于最大会话长度或 1,440 分钟
更新的设置在用户下次登录到应用程序时生效。
访问权限管理
客户参与应用使用Microsoft Entra ID作为标识提供者。 若要保护用户对客户参与应用的访问权限，请实施以下措施：
- 要求用户在应用程序中注销后使用其凭据重新进行身份验证。
- 通过验证用户访问令牌，防止用户共享凭据以访问客户参与应用，以确保标识提供者向访问应用的同一用户授予访问权限。