用途：该技能用于在 Microsoft 365 及任何集成 Entra 的应用中实施自适应、以身份为中心的条件访问控制，适用于基线策略集搭建与新策略上线。风险检测、即时管理员提权、应用侧 OAuth 权限等场景不适用本技能。
主要能力：条件访问作为 Entra 的零信任策略引擎，评估用户/组、设备状态、位置、应用、登录风险等信号，执行授予、阻止或带控制授予（MFA、合规设备、会话控制）。资料给出 2026 年租户应具备的六条基线策略：管理员强制 MFA（防钓鱼强度）、所有用户强制 MFA（排除应急账户）、阻止旧式身份验证、M365 要求合规设备、登录风险高时要求 MFA、用户风险高时要求安全密码更改；后两条需 Entra ID P2，E3 可用基于风险的认证强度替代。
使用方式：先导出登录日志盘点现状，再编写策略；使用认证强度而非泛化的“要求 MFA”，对高价值范围要求防钓鱼方法（FIDO2、Windows Hello for Business、基于证书）；新策略先以仅报告模式运行至少 7 天，用 What If 建模特定用户与应用场景后再启用；每条策略排除两个仅云应急账户并监控其登录；按需配置会话控制（登录频率、共享设备阻止持久浏览器、应用强制限制、应用控制）；维护策略登记表记录意图、负责人、排除项与复审时间。
限制与防护：切勿未经仅报告直接对所有用户启用新策略；必须保留两个应急账户排除项；阻止旧式认证后监控 30 天；管理员使用防钓鱼强度而非短信 MFA；避免堆叠 30 条以上策略，建议少于 20 条；用 What If 而非同事账户测试变更。资料还列出常见反模式，如直接启用、误以为“要求 MFA”即防钓鱼、单一应急账户、无排除项、按国家阻止、无登记表等。官方参考链接包括条件访问概述、认证强度、仅报告模式、What If 工具、阻止旧式认证、推荐策略、应急账户与 CA Insights 工作簿。