用途：在 Entra ID 和条件访问之上叠加基于风险的自适应身份防护，用于选择风险阈值、决定自助修复还是 SOC 调查，并将信号流式发送到 Sentinel。不适用于本地 AD 攻击检测（defender-for-identity）、编写普通条件访问策略（conditional-access-mfa）或 PIM 激活（azure-pim）。
主要能力：区分登录风险（本次请求，如匿名 IP、异常出行、恶意软件关联 IP、陌生登录属性）与用户风险（该身份，如泄露凭据、上报的失陷），据此推荐响应：登录风险走基于风险的条件访问要求 MFA；用户风险要求安全密码更改；同一用户中风险及以上同时命中则阻止并强制安全密码更改加人工审查。
使用方式：先确认 Entra ID P2 许可，并对目标用户范围强制 MFA 与 SSPR 注册。使用基于风险的条件访问（登录风险和用户风险条件），不要用已弃用的旧版内置风险策略开关。分阶段：先仅高风险，高风险登录风险要求 MFA，高风险用户风险要求安全密码更改，所有风险策略排除应急账户；运行 14 天仅报告验证误报低于每千次登录 5 次后再强制。30 天数据干净后扩展到中风险登录风险要求 MFA；若无分析师审查队列，不要将用户风险扩展到中风险。每日分诊风险用户、风险登录、风险检测，确认失陷或驳回误报。通过诊断设置把 RiskyUsers、UserRiskEvents、RiskyServicePrincipals 发送到 Log Analytics 工作区，与 MDI、MDE 在 Defender XDR 事件中关联。
限制与护栏：应急账户须从每个风险策略中排除；先完成 MFA 与 SSPR 注册，否则风险策略会变成锁定；从高风险起步再扩到中风险；不要批量驳回误报，应有意识使用 confirm-safe / confirm-compromise；工作负载身份风险独立，服务主体有自身风险检测，需并行策略覆盖。常见反模式包括使用旧版开关、首日对全部用户启用中风险、每周批量驳回风险队列、风险事件仅留在 Entra 门户不发送到 Sentinel。
参考文档链接： https://learn.microsoft.com/entra/id-protection/overview-identity-protection https://learn.microsoft.com/entra/id-protection/concept-identity-protection-policies https://learn.microsoft.com/entra/id-protection/howto-identity-protection-configure-risk-policies https://learn.microsoft.com/entra/id-protection/howto-identity-protection-investigate-risk https://learn.microsoft.com/entra/id-protection/concept-identity-protection-risks https://learn.microsoft.com/entra/id-protection/howto-export-risk-data