用途：为 SaaS 应用（Microsoft 365、Google Workspace、Salesforce、Slack 等）建立零信任访问控制。适用场景包括：要求 MFA 与设备合规的条件访问；用 CASB 发现影子 IT 并阻止未批准应用；对敏感 SaaS 数据实施会话级控制（DLP、限制下载）；治理 OAuth 应用权限并发现过度授权。资料指出它不应替代 SaaS 原生安全控制（应先配置原生控制），也不适用于不支持 SAML/OIDC 或供应商不支持 CASB/SSPM API 集成的应用。
主要能力：
- 通过身份提供方集中 SaaS 认证，配置 SAML 2.0 或 OIDC SSO；
- 创建条件访问策略，强制 MFA 与合规设备，设置会话控制（如 Defender for Cloud Apps 集成、登录频率）；
- 部署 CASB 进行影子 IT 发现、标记并阻止未批准应用；
- 配置会话策略，阻止 PII/信用卡/SSN 等敏感数据上传，限制非托管设备下载；
- 治理 OAuth 应用权限，审查高权限授权，要求管理员审批；
- 通过 SSPM 审计 SaaS 安全配置漂移并修复，如强制管理员 MFA、限制外部共享、禁用旧认证等。
使用方式（资料示例）：使用 Microsoft Entra ID 的 PowerShell 模块配置 SSO 与条件访问，例如 Connect-MgGraph -Scopes "Application.ReadWrite.All"，并用 New-MgIdentityConditionalAccessPolicy 创建策略；通过 Defender for Cloud Apps API（api.cloudappsecurity.com）查询发现的应用并创建会话策略；使用 Graph 查询 OAuth 授权与高风险权限；SSPM 通过 CASB 安全配置接口检查 M365 等应用。
前提条件：具备条件访问能力的 IdP（Microsoft Entra ID P1/P2、Okta）；CASB 方案（Microsoft Defender for Cloud Apps、Netskope、Zscaler CASB）；SaaS 已配置 SAML/OIDC SSO；设备合规信号需 MDM（Intune、Jamf）；需定义敏感数据类别的 DLP 策略。
限制与注意事项：条件访问需设置 break-glass 排除组；部分旧式 SaaS 不支持现代认证；会话控制需基于代理的 CASB，可能影响性能；撤销 OAuth 授权可能中断集成，需先与应用负责人协调。资料未提供具体价格、收费或效果数据。