13、微软 365 的零信任原则与身份访问管理

微软 365 的零信任原则与身份访问管理

1. 零信任原则下的微软 365 数据分类与基础设施安全

在应用分类后，电子邮件或文档将显示其标签，被授权打开文件的用户能够查看对该信息允许执行的操作。Azure 信息保护（AIP）是 Microsoft 365 E3 和 Microsoft 365 E5 的一部分。在 Microsoft 365 E3 中，用户必须手动进行数据分类；而在 Microsoft 365 E5 中，管理员可以配置自动分类，例如当应用程序检测到信用卡号或社保号等敏感内容时。

将零信任原则应用于基础设施，意味着管理员需要全面审视与组织数据交互的所有事物，包括服务器、云基础设施和平台以及开发环境。可以使用 Microsoft Defender for Cloud 等工具，它是一种云安全态势管理（CSPM）和云工作负载保护平台（CWPP），用于评估云工作负载和平台，并查找潜在未知风险中的异常模式，以确保组织免受已知和未知安全风险的侵害。

2. 零信任模型下的网络安全

2.1 网络基础概念

Microsoft 365 服务通常通过公共互联网访问。从零信任的角度来看，识别网络中可保护的所有点以及用于保护身份、设备和数据在传输过程中的工具非常重要。在考虑 Microsoft 365 的网络方面时，管理员需要掌握以下概念：
- 连接性
- 加密
- 性能

2.2 连接性

作为云服务，Microsoft 365 组件在内部网络中不可用。网络管理员必须允许内部用户访问 Microsoft 365 服务的互联网端点，这可能意味着配置防火墙和代理设备等现有设备。端