用途：MDA 是 CASB 与 SaaS 安全方案，用于发现云应用使用情况、治理 OAuth 连接应用、通过条件访问应用控制实施实时会话控制，并在已连接的 SaaS 服务中检测威胁。适用于涉及 SaaS 或第三方应用的问题；不适用于 IaaS/PaaS 加固、终端 EDR 或 Purview DLP 策略编写。
主要能力按目标选择：发现未授权云应用可用经 Microsoft Defender for Endpoint 集成的 Cloud Discovery（无代理，使用 MDE 遥测）；获取已批准 SaaS 的活动与文件可见性可用应用连接器（基于 API，覆盖 Microsoft 365、Salesforce、ServiceNow、Workday 等）；治理连接到 Microsoft 365 的 OAuth 应用可用应用治理附加组件（风险评分与自动策略）；在浏览器会话中阻止文件下载可用条件访问应用控制（反向代理，与条件访问集成）；检测异常用户活动可用异常检测策略；已连接 SaaS 的配置漂移态势可用 SSPM；调查与遏制被入侵 SaaS 账户可用治理操作（暂停、强制重新认证、撤销 OAuth）。
使用方式：先经 MDE 启用 Cloud Discovery（集成 → Microsoft Defender for Endpoint → 开启），无需代理或日志上传；再对云应用目录按风险评分与用户数分类，批准或取消批准应用；通过 API 连接器接入已批准 SaaS；对 OAuth 风险启用应用治理并设置自动策略；条件访问应用控制建议先小范围试点会话策略；调整异常检测阈值并将警报流入 Defender XDR 或 Sentinel；为前五类警报定义处置手册。
限制与注意事项：Cloud Discovery 数据可能含用户活动，需按隐私要求设置匿名化；反向代理会话控制可能影响某些 SaaS 功能，需逐应用测试；应优先治理拥有广泛 Microsoft Graph 权限的应用；取消批准高用户量应用会经 MDE 阻止，需先确认影响；MDA 不是 DLP，内容感知策略需用 Purview DLP。官方文档链接：https://learn.microsoft.com/defender-cloud-apps/what-is-defender-for-cloud-apps