用途：为 SaaS 应用（Microsoft 365、Google Workspace、Salesforce、Slack）落实零信任访问控制，涵盖条件访问、CASB/SSPM 部署、OAuth 应用治理与会话级 DLP。适用于需要 MFA 与设备合规、影子 IT 发现与阻断、敏感数据下载限制、OAuth 过度授权检测的场景。不替代 SaaS 原生安全控制（应优先配置），也不适用于无 SAML/OIDC 支持或供应商不支持 CASB/SSPM API 集成的应用。
前置条件：具备条件访问能力的 IdP（Microsoft Entra ID P1/P2、Okta）；CASB 方案（Microsoft Defender for Cloud Apps、Netskope、Zscaler CASB）；SaaS 侧配置 SAML 2.0 或 OIDC SSO；用于设备合规信号的 MDM（Intune、Jamf）；已定义的敏感数据 DLP 策略。
主要流程：一、通过 IdP 联邦化 SaaS 认证，如用 Entra ID 为 Salesforce 配置 SAML SSO 并分配用户组；二、创建条件访问策略，要求 MFA 与合规设备并启用会话控制，示例如 New-MgIdentityConditionalAccessPolicy；三、部署 CASB 发现影子 IT、标记未批准应用并创建 DLP 会话策略，示例请求 https://api.cloudappsecurity.com/api/v1/discovery/ 与 /policies/；四、治理 OAuth 应用权限，用 Get-MgOauth2PermissionGrant 审查高危授权并配置管理员审批策略；五、开展 SSPM，检查 MFA 强制、外部共享限制、邮件转发阻断、空闲会话超时、旧版认证禁用、审计日志启用等。
关键概念包括 CASB、SSPM、OAuth 治理、会话控制、影子 IT、条件访问。
限制与注意事项：条件访问需设置 break-glass 排除；部分旧版 SaaS 可能不支持现代认证；会话控制依赖基于代理的 CASB，可能影响性能；撤销 OAuth 授权可能中断集成，需先与应用负责人协调。文档未提供具体定价、部署耗时或效果承诺。