Configuration Manager 中 Exchange 电子邮件的条件性访问

在 配置管理器 控制台中，单击“资产和符合性”。

展开“符合性设置”，展开“条件性访问”，然后单击“Exchange Online”。

在“主页”选项卡的“链接”组，单击“在 Intune 控制台中配置条件性访问策略”。 可能需要提供用于将 配置管理器 与 Intune 服务的任何全局管理员相连接的帐户的用户名和密码。

Intune 管理控制台随即打开。

在 icrosoft Intune 管理控制台中，单击策略 > 条件访问 > Exchange Online 策略。

在“Exchange Online 策略”页面上，选择“启用 Exchange Online 的条件访问策略”。 如果选中此项，则设备必须合规。 如果未选中此项，则不会应用条件访问。

注意
如果你尚未部署合规性策略，但是启用了 Exchange Online 策略，则设定为目标的所有设备都被报告为合规。 无论遵从性状态如何，策略针对的所有用户都需要使用Intune注册其设备。

在“使用新式验证的应用”下，可以选择将访问仅限为对每个平台合规的设备。 Windows 设备必须已加入域或在 Intune 中注册并且符合。

提示
“新式验证”允许基于 Active Directory 身份验证库 (ADAL) 登录到 Office 客户端。 基于 ADAL 的身份验证使 Office 客户端能够实现基于浏览器的身份验证（也称为被动身份验证）。 为了进行身份验证，用户将被导向登录网页。 这种全新的登录方法实现了新的方案，如基于“设备符合性”以及“多重身份验证”执行情况的条件访问。 本文提供有关新式验证工作原理的更多详细信息。

通过将 Exchange Online 与 Configuration Manager 和 Intune 配合使用，不仅可以使用条件访问管理移动设备，而且还可以管理台式计算机。 PC 必须已加入域或在 Intune 中注册并且合规。 可以设置以下要求：

- **设备必须已加入域或必须是合规的。**PC 必须已加入域或符合在 Intune 中设置的策略。 如果 PC 不满足任一要求，则系统会提示用户向 Intune 注册设备。

- **设备必须已加入域。**PC 必须加入域才能访问 Exchange Online。 如果 PC 未加入域，则系统会阻止对电子邮件的访问，并且提示用户与 IT 管理员联系。

- **设备必须是合规的。**PC 必须在 Intune 中注册并且合规。 如果 PC 未注册，则会显示一条消息，其中包含有关如何注册的说明。

在“Exchange ActiveSync 邮件应用”下，可以选择在设备不合规时阻止电子邮件访问 Exchange Online，并选择在 Intune 无法管理设备时是允许还是阻止访问电子邮件。

在**“目标组”**下，选择策略将应用到的 Active Directory 安全用户组。

注意
对于目标组中的用户，Intune 策略将替换 Exchange 规则和策略。 出现以下情况时，Exchange 将仅强制执行 Exchange 允许、阻止和隔离规则及 Exchange 策略： 用户未获 Intune 授权。 用户已获 Intune 授权，但不属于条件访问策略所针对的任何安全组。

在**“免除组”**下，选择将会从此策略中免除的 Active Directory 安全用户组。 如果用户同时处于目标组和免除组中，则用户会从策略中免除，可以访问其电子邮件。

完成后，单击“保存”。

在 配置管理器 控制台中，单击“资产和符合性”。

展开“符合性设置”，展开“条件性访问”，然后单击“本地 Exchange”。

在“主页”选项卡的“本地 Exchange”组中，单击“配置条件性访问策略”。

在“配置条件性访问策略向导”的“常规”页面中，指定 Intune 租户域名。 这是用于设置 Intune 连接器的租户 ID 的后缀。 例如，如果使用的租户 ID 是 admin@corpemail.contoso.com，则在向导的此页面上输入的域名是 corpemail.contoso.com。

单击“下一步”。

在“目标集合”页面中，添加一个或多个用户集合。 若要访问 Exchange，则这些集合中的用户必须向 Intune 注册并同时符合你部署的任何符合性策略。

单击“下一步”。

在“免除集合”页面中，添加任何想从条件性访问策略中免除的用户集合。 若要访问 Exchange，对于这些组中的用户，无需将其设备向 Intune 注册，也无需符合任何部署的符合性策略。

如果用户同时处于目标列表和免除列表，则会从条件性访问策略中免除。

单击“下一步”。

在“编辑用户通知”页面中，配置 Intune 向用户发送的说明关于如何取消阻止设备的电子邮件（Exchange 发送的电子邮件除外）。

你可以编辑默认消息，还可使用 HTML 标记来设置文本的显示格式。 还可以提前向员工发送电子邮件，以便通知他们即将进行的更改，并为他们提供有关注册其设备的说明。

注意
由于已将包含修正说明的 Intune 通知电子邮件发送到用户的 Exchange 邮箱，因此，如果用户的设备在接收电子邮件消息之前被阻止，则用户可以使用取消阻止的设备或其他方法来访问 Exchange 并查看该消息。

注意
若要让 Exchange 能够发送通知电子邮件，你必须配置将用于发送通知电子邮件的帐户。 配置 Exchange Server 连接器属性时执行此操作。 有关详细信息，请参阅如何使用 Configuration Manager 和 Exchange 来管理移动设备。

单击“下一步”。

在“摘要”页面上查看设置，然后完成向导。