分享方式:


在資訊屏障中使用多區段支援

重要事項

只有當您的組織 不是舊版 模式時,才支援將使用者指派給多個區段。 若要判斷您的組織是否處於 版模式,請 參閱檢查組織的IB模式 ,並檢查 屬性的 InformationBarrierMode 值。

對於舊 版模式的 組織,使用者只能指派給一個區段。 處於 版模式的組織未來將有資格升級至最新版本的資訊屏障。 如需詳細資訊,請參閱 資訊屏障藍圖

多區段模式可讓您將組織中的使用者指派至資訊屏障中最多 10 個區段,而不是僅限一個區段。 這可讓您支持個人和群組之間更多樣化的通訊規則,以支援更複雜的組織和作業案例。 對於使用多區段支持的組織,所有資訊屏障原則都必須使用允許清單來定義。

設定為多區段支援時,使用者的相容性取決於每個使用者對共用區段的指派。 如果用戶共用相同區段的指派,則兩者相容。 例如,下表顯示使用者 A 和使用者 B 不相容,因為他們不會共用指派的區段。 不過,使用者 A 與使用者 C 相容,而使用者 B 與使用者 C 相容,因為他們各自有共同的指派區段。

使用者 指派的區段
使用者 A 區段 1,區段 2
使用者 B 區段 3,區段 4
使用者 C 區段 2,區段 4

多區段範例:北學區的學校、區段和原則

北學區有兩個學校:學校 1 和學校 2。 學區原則是只允許學生和教師在同一學校時彼此通訊。 例如,同時在學校 1 的學生和教師可以進行通訊,但學校 1 的學生無法與學校 2 的教師通訊。 在此案例中,會設定多個區段來支援下列區域原則案例:

北學區的學校和方案

北學區的 有兩個學校:

區隔 允許的通訊 禁止通訊
學校 1 學校 1 的學生和教師 學校 2 的學生和教師
學校 2 學校 2 的學生和教師 學校 1 的學生和教師

針對此結構,北學區的計劃包含三個 IB 原則:

  1. 設計成讓學校 1 的學生和教師彼此通訊的 IB 原則。
  2. 另一個 IB 原則,可讓學校 2 的學生和教師彼此通訊。
  3. 另一個專為允許學校 1 和學校 2 中的教師彼此通訊而設計的 IB 原則。

北學區定義的區段

北學區會使用 Microsoft Entra ID 中的 Department 屬性來定義區段,如下所示:

區隔 區隔定義
School1 New-OrganizationSegment -Name "School1" -UserGroupFilter "Department -eq 'School1'"
School2 New-OrganizationSegment -Name "School2" -UserGroupFilter "Department -eq 'School2'"
AllTeachers New-OrganizationSegment -Name "AllTeachers" -UserGroupFilter "MemberOfGroup -eq 'AllTeachersgroup@northschoolsdistrict.com'"

定義區段之後,Contoso 會繼續定義 IB 原則。

北學區的 IB 原則

北學區定義三個 IB 原則,如下表所述:

原則 原則定義
原則 1:學校 1 的學生和教師可以彼此通訊 New-InformationBarrierPolicy -Name School1Policy -SegmentsAllowed 'School1' -AssignedSegment 'School1' -State Active

在此範例中,IB 原則稱為 School1Policy。 當此原則為作用中並套用時,可讓學校 1 的學生和教師彼此通訊。 此原則是單向原則;它不會防止學校 1 的學生和教師與學校 2 通訊。 因此我們需要原則 2。

原則 2:學校 2 的學生和教師可以彼此通訊 New-InformationBarrierPolicy -Name School2Policy -SegmentsAllowed 'School2' -AssignedSegment 'School2' -State Active

在此範例中,IB 原則稱為 School2Policy。 當此原則為作用中並套用時,可讓學校 2 的學生和教師彼此通訊。

原則 3:不同學校的教師可以彼此通訊 New-InformationBarrierPolicy -Name AllTeachersPolicy -SegmentsAllowed 'AllTeachers' -AssignedSegment 'AllTeachers' -State Active

在此情況下,IB 原則稱為 AllTeachersPolicy。 當此原則為作用中並套用時,學校 1 和學校 2 中的教師可以彼此通訊。

在定義區段和原則之後,北學區會執行 Start-InformationBarrierPoliciesApplication Cmdlet 來套用原則。 當 Cmdlet 完成時,北學區已為學生和教師實作其通訊原則。

檢查貴組織的IB模式

如果您想要支援將使用者指派給多個區段,您必須確認您的 IB 組織支援多個區段。 執行下列 Cmdlet 以驗證您的 IB 模式:

Get-PolicyConfig

如果屬性的 InformationBarrierMode 值為 SingleSegment,您可以遵循本文中啟用 使用者的多個區段支援 一節中的指引來啟用多區段支援。 如果屬性的 InformationBarrierMode 值為 MultiSegment,您可以略過啟用多區段的支援,它已為您的組織啟用。

如果屬性的 InformationBarrierMode 值為 Legacy,則您的組織不支援啟用多區段。 版組織未來將有資格升級至最新版本的資訊屏障。 如需詳細資訊,請參閱 資訊屏障藍圖

為使用者啟用多個區段支援

若要在 SingleSegment 模式下為組織啟用多個區段支援,您目前不得為組織定義任何 IB 區段或原則。 執行下列 Cmdlet 以在組織中啟用多個區段支援:

Set-PolicyConfig -InformationBarrierMode 'MultiSegment'

重要事項

如果您在組織中啟用多個區段並已設定 IB,則不應還原為單一區段支援。

OneDrive 中使用者的多區段支援

如果您的 IB 組織不在 LegacyMode 模式中,而且您已針對多區段支援的資訊屏障設定 OneDrive,則 OneDrive 用戶體驗如下:

  • OneDrive IB 原則:多區段使用者的 OneDrive 預設會自動設定為 擁有者仲裁 模式。

  • 多區段使用者的 OneDrive 網站存取

    • 明確混合 模式:如果多區段使用者至少具有 OneDrive 的其中一個區段且具有網站訪問許可權,則會授與存取權。
    • 所有其他模式:使用者具有與單一區段支援相同的網站存取體驗。
  • 多區段使用者的 OneDrive 共用:多區段使用者可以根據針對 OneDrive 設定的 IB 模式,共用 OneDrive 網站和包含的內容。

    • 明確 模式:用戶可以與其他具有與 OneDrive 相同區段的用戶共用 OneDrive 內容。
    • 啟或 擁有者仲裁 模式:用戶可以與每個 IB 原則的其他相容使用者共享內容。

如需管理 OneDrive IB 的詳細資訊,請 參閱使用 OneDrive 的資訊屏障

SharePoint Online 中使用者的多區段支援

如果您的 IB 組織不在 LegacyMode 模式中,而且您已針對多區段支援的資訊屏障設定 SharePoint,SharePoint 用戶體驗如下:

  • 網站建立:當多區段使用者建立 SharePoint 網站 (已連線的 Microsoft 365 群組或非群組網站) 時,網站會自動設定為 擁有者仲裁 模式。

  • 多區段使用者的 SharePoint 網站存取

    • 明確模式:如果使用者至少擁有網站的其中一個區段,且具有網站訪問許可權,則會授與使用者存取權。
    • 所有其他模式:使用者具有與單一區段支援相同的網站存取體驗。
  • 由多區段用戶共用 SharePoint 網站:多區段使用者可以根據網站的每個 IB 模式共享網站及其內容。

    • 明確 模式:可以與符合網站區段的用戶共享內容。
    • 隱含擁有者仲裁 模式:可以與聯機至網站之 Microsoft 365 群組的其他現有成員共享內容。
    • 開啟 模式:可以與每個 IB 原則相容的其他使用者共享內容。

如需管理 IB for SharePoint 的詳細資訊,請 參閱使用 SharePoint 的資訊屏障

Microsoft Teams 中使用者的多區段支援

如果您的 IB 組織不在 LegacyMode 模式中,而且您已針對多區段支援的資訊屏障設定 Teams,則 Microsoft Teams 用戶體驗如下:

  • 小組建立:當多區段使用者建立小組時,小組預設會自動設定為 隱含 模式。
  • 小組成員新增:小組中的所有用戶都必須有一個與所有其他使用者相容的區段。

如需管理 Microsoft Teams IB 的詳細資訊,請 參閱使用 Microsoft Teams 的資訊屏障