SharePoint 网站和 OneDrive 的条件访问策略
本文中的某些功能需要 Microsoft SharePoint Premium - SharePoint 高级管理
使用 Microsoft Entra 身份验证上下文，可以在用户访问 SharePoint 网站时强制实施更严格的访问条件。
可以使用身份验证上下文将 Microsoft Entra 条件访问策略 连接到 SharePoint 网站。 策略可以直接应用于站点，也可以通过敏感度标签应用。
此功能不能应用于 SharePoint (中的根网站， https://contoso.sharepoint.com 例如，) 。
要求
对 SharePoint 网站使用身份验证上下文需要以下许可证之一：
- Microsoft SharePoint Premium - SharePoint 高级管理
- Microsoft 365 E5/A5/G5
- Microsoft 365 E5/A5 合规
- Microsoft 365 E5 信息保护和治理
- Office 365 E5/A5/G5
限制
某些应用不适用于身份验证上下文。 建议在广泛部署此功能之前，先在启用了身份验证上下文的站点上测试应用。
以下应用和方案不适用于身份验证上下文：
- 旧版 Office 应用 (查看 受支持版本列表)
- Viva Engage
- Teams Web 应用
- 如果关联的 SharePoint 网站具有身份验证上下文，则无法将 OneNote 应用添加到通道。
- Teams 频道会议录制在具有身份验证上下文的站点上上传失败。
- 如果网站具有身份验证上下文，则 Teams 中的 SharePoint 文件夹重命名失败。
- 如果 OneDrive 具有身份验证上下文，Teams 网络研讨会计划将失败。
- 第三方应用
- OneDrive 同步应用不会将站点与身份验证上下文同步。
- 不支持将身份验证上下文关联到企业应用程序目录网站集。
- “在 Power BI 中可视化 SharePoint 列表”功能当前不支持身份验证上下文。
- Windows、Mac、Android 和 iOS 上的 Outlook 不支持与受身份验证上下文保护的 SharePoint 站点通信。
- 在条件访问策略中同时启用会话控制中的身份验证上下文和“使用条件访问应用控制”时，多文件下载功能目前不起作用。
设置身份验证上下文
为标记的网站设置身份验证上下文需要以下基本步骤：
在 Microsoft Entra ID 中添加身份验证上下文。
创建一个条件访问策略，该策略适用于该身份验证上下文，并具有要使用的条件和访问控制。
执行下列操作之一：
- 设置敏感度标签以将身份验证上下文应用于已标记的网站。
- 将身份验证上下文直接应用于站点
本文介绍要求来宾在访问敏感 SharePoint 网站之前同意 使用条款 的示例。 还可以使用组织可能需要的任何其他条件访问条件和访问控制。
添加身份验证上下文
首先，在 Microsoft Entra ID 中添加身份验证上下文。
添加身份验证上下文：
在 Microsoft Entra 条件访问的 “管理”下，选择“ 身份验证上下文”。
选择“ 新建身份验证上下文”。
键入名称和说明，然后选中“ 发布到应用 ”复选框。
选择“保存”。
创建条件访问策略
接下来，创建一个条件访问策略，该策略适用于该身份验证上下文，并要求来宾同意使用条款作为访问条件。
若要创建条件访问策略，请执行以下操作：
在 Microsoft Entra 条件访问中，选择“ 新建策略”。
键入策略的名称。
在“ 用户和组 ”选项卡上，选择 “选择用户和组 ”选项，然后选中“ 来宾或外部用户 ”复选框。
从下拉列表中选择 B2B 协作来宾用户 。
在“ 云应用或操作 ”选项卡上的 “选择此策略的应用”下，选择“ 身份验证上下文”，然后选中所创建的身份验证上下文的复选框。
在“ 授予 ”选项卡上，选中要使用的使用条款的复选框，然后选择“ 选择”。
选择是否要启用策略，然后选择“ 创建”。
将身份验证上下文直接应用于站点
可以使用 Set-SPOSite PowerShell cmdlet 将身份验证上下文直接应用于 SharePoint 网站。
注意
此功能需要 Microsoft 365 E5 或 Microsoft SharePoint Premium - SharePoint 高级管理许可证。
在以下示例中，我们将上面创建的身份验证上下文应用到名为“research”的网站。
Set-SPOSite -Identity https://contoso.sharepoint.com/sites/research -ConditionalAccessPolicy AuthenticationContext -AuthenticationContextName "Sensitive information - guest terms of use"
设置敏感度标签以将身份验证上下文应用于已标记的网站
如果要使用敏感度标签来应用身份验证上下文，请更新敏感度标签 (或创建一个新标签) 以使用身份验证上下文。
注意
敏感度标签需要 Microsoft 365 E5 或 Microsoft 365 E3 以及高级合规性许可证。
更新敏感度标签
在 Microsoft Purview 合规性门户的“ 信息保护 ”选项卡上，选择要更新的标签，然后选择“ 编辑标签”。
选择“ 下一步 ”，直到处于 “定义组和网站的保护设置 ”页上。
确保选中“ 外部共享和条件访问设置 ”复选框，然后选择“ 下一步”。
在 “定义外部共享和设备访问设置”页上，选中“ 使用 Microsoft Entra 条件访问保护已标记的 SharePoint 网站 ”复选框。
选择“ 选择现有身份验证上下文 ”选项。
在下拉列表中，选择要使用的身份验证上下文。
选择“ 下一步 ”，直到处于 “查看设置和完成 ”页上，然后选择“ 保存标签”。
更新标签后，访问 SharePoint 网站 (或具有该标签的团队) 中的 “文件 ”选项卡的来宾必须同意使用条款，然后才能访问该网站。
在预览版) 中推出 (阻止后台应用
如果在站点上设置了身份验证上下文，则管理员可以选择阻止后台应用在条件访问策略中为分配了该身份验证上下文的应用访问该站点。 可以配置条件访问策略，以便可将特定的身份验证上下文分配给所选应用程序原则 (非 Microsoft 应用程序) 。 需要通过以下 cmdlet 显式启用此功能。 应至少有一个条件访问策略，其中配置了应用程序主体。
Set-SPOTenant -BlockAPPAccessToSitesWithAuthenticationContext $false/$true (default false)
另请参阅
使用敏感度标签保护 Microsoft Teams、Microsoft 365 组和 SharePoint 网站中的内容