Betinget adgang til SharePoint-websteder med authentication context

Betinget adgang (Conditional Access) i Microsoft Entra afgør, hvad en bruger skal opfylde for at komme ind i en app. I SharePoint har den længe kunnet skelne mellem administrerede og ikke-administrerede enheder. Fra 2021 kan en politik også knyttes til ét bestemt websted med en authentication context, så et følsomt websted kræver mere end resten af tenanten: MFA, accept af vilkår eller en bestemt netværksplacering. Funktionen blev varslet i marts 2021, og tidsplanen flyttede sig, til den blev udrullet i efteråret 2022.

Status 9. oktober 2026: Authentication context kan sættes direkte på et websted med PowerShell eller følge en sensitivity label. Funktionen virker ikke med alle apps, og det er den begrænsning, der oftest overrasker.

To mekanismer med samme navn#

• Enhedsstyring: ConditionalAccessPolicy med værdierne AllowFullAccess, AllowLimitedAccess (kun browser, evt. uden download) og BlockAccess kan sættes for hele tenanten med Set-SPOTenant og for et websted eller en OneDrive med Set-SPOSite. Det kræver en Entra-politik med app-enforced restrictions (Learn).
• Authentication context: En vilkårlig Conditional Access-politik, målrettet en navngivet authentication context, som knyttes til et websted (Learn).

Begge kan sættes via en sensitivity label på webstedet. Er labelens valg for ikke-administrerede enheder mindre strengt end tenantens, har det ingen virkning (Learn).

Sådan sættes authentication context op#

Ifølge Learn (Learn):

1. En authentication context oprettes i Entra under Conditional Access og udgives til apps.
2. En Conditional Access-politik oprettes med Authentication context som målet og de krav, der ønskes, for eksempel MFA eller accept af terms of use.
3. Konteksten knyttes til webstedet, enten direkte eller via en label.

Direkte på et websted:

1Set-SPOSite -Identity https://contoso.sharepoint.com/sites/research -ConditionalAccessPolicy AuthenticationContext -AuthenticationContextName "Sensitive information - guest terms of use"

Den direkte vej kræver Microsoft 365 E5 eller SharePoint Advanced Management. Via en label vælges Use Microsoft Entra Conditional Access to protect labeled SharePoint sites og en eksisterende authentication context i labelens indstillinger for grupper og websteder, og labels kræver Microsoft 365 E5 eller E3 med Advanced Compliance. Funktionen kan ikke sættes på rodwebstedet.

En label med en authentication context giver webstedets ejere mulighed for at ændre kravet ved at skifte label, så indstillingen bør kun medtages, hvis det er tilsigtet (Learn). Er labelen allerede sat, træder en ændring først i kraft, næste gang brugeren logger ind. Der er ingen kontrol af, at Conditional Access-politikken findes, så en label kan stå uden virkning.

Det, der ikke virker#

Learn lister apps og scenarier, der ikke kan bruge authentication context, og anbefaler at teste på et websted først. Blandt dem er (Learn):

• ældre versioner af Office-apps, SharePoint-mobilapps og Viva Engage
• OneDrive-synkroniseringsklienten, som ikke synkroniserer websteder med en authentication context
• Outlook på Windows, Mac, Android og iOS
• upload af kanalmøders optagelser i Teams, omdøbning af SharePoint-mapper i Teams og tilføjelse af OneNote til en kanal
• download af flere filer samtidig under bestemte indstillinger
• kopiering og flytning mellem regioner, hvor målet har en authentication context

Egne apps og apps fra andre leverandører skal kunne håndtere et claims challenge. Baggrundsapps kan spærres på websteder med en authentication context, hvis en Conditional Access-politik er målrettet dem, med Set-SPOTenant -BlockAppAccessWithAuthenticationContext $true. Det er slået fra som standard.

Tidslinjen#

1. 2. marts 2021 Meddelelse

   Funktionen varsles som »coming to preview soon« (SharePoint-bloggen)

2. 31. marts 2021 Meddelelse

   Message Center-opslaget MC247827: preview fra slutningen af maj, generel tilgængelighed færdig i slutningen af december (MC247827)

3. 2. november 2021 Preview

   Public preview på Ignite

4. 27. januar 2022 Frist

   Slutningen af generel tilgængelighed flyttes til slutningen af marts 2022

5. 2. september 2022 Udrulning

   Nyt opslag MC424416: udrulning fra sidst i september til sidst i november (MC424416). MC247827 står hos cloudscout som annulleret

6. 12. oktober 2022 Nyhed

   Conditional Access-politikker for websteder, OneDrive og Teams meldes generelt tilgængelige (SharePoint-bloggen)

I månedsnoterne#

Funktionen står i marts 2021, november 2021, januar, september og oktober 2022. Adgangsstyring på websteder i øvrigt står i SharePoint Advanced Management: RAC, RCD og Restricted SharePoint Search.