如何阻止拥有目录角色的用户访问应用及条件访问策略配置咨询

一、许可证兼容性 #

Microsoft Entra ID Premium P2完全支持条件访问功能，还附带了Premium P1没有的高级能力（比如身份保护、特权身份管理），完全能满足你限制特定目录管理员访问指定应用的需求。

二、创建限制管理员访问的条件访问策略 #

按以下步骤操作：

• 登录Microsoft Entra管理中心，进入身份 > 保护 > 条件访问模块
• 点击新建策略，给策略起个清晰的名字（比如“限制特定目录管理员访问XX应用”）
• 配置用户分配：
  • 选择「用户和组」，勾选你要限制的那部分目录管理员用户或组；建议在「排除」里添加紧急访问账号，防止出现全员锁死的情况
  • 要是想针对整个目录管理员角色再排除部分用户，也可以选「目录角色」，勾选“目录管理员”后在排除项里添加豁免用户
• 配置目标应用：
  • 进入「云应用或操作」，选择「选择应用」，勾选需要限制访问的目标应用
• 配置访问控制：
  • 选「授予」，然后选择「阻止访问」；如果有更精细的需求（比如部分管理员需要MFA才能访问），也可以选择对应的控制选项，最后点击「选择」确认
• 启用策略：把策略状态设为「打开」，点击「创建」完成配置

内容的提问来源于stack exchange，提问作者NaveenChalla