交付内容
固定范围。书面交付。
下面每一行都写在工作说明书（SOW）里。我们不会项目中扩张范围，也不会缩小。如果需要变更，我们书面达成一致。
- 8 条核心 Conditional Access 策略设计 + 部署
- 阻止旧式认证 · 强制 MFA · 地理围栏 · 设备合规检查
- 风险登录阻止 · 管理员限制 · BYOD 限制 · 会话控制
- 测试矩阵 + 操作手册
- 30 天稳定期（根据真实用户行为微调策略）
常见问题
关于这个项目。
Conditional Access 会不会误把人锁在外面？
部署不当确实会 — 这就是为什么这是 3 周项目而不是 3 小时点击操作。我们先以「报告模式」部署，观察一周内策略「会」拦截哪些登录，然后逐步启用。30 天稳定期就是为了在出问题之前抓住边界情况。
会和我们现有的 MFA 冲突吗？
不会 — 它会吸收并改进你现有的 MFA。如果你启用了 Microsoft 365 的「Security Defaults」（微软的一刀切基线），我们会关掉，因为 Conditional Access 优先级更高。结果是相同的 MFA 强制 + 额外 7 条控制 — 颗粒度更细，但对正常用户没增加任何摩擦。
满足 Essential 8 ML1 / ML2 要求吗？
MFA 控制（Multi-factor Authentication ML1+ML2）完全满足，Restrict Administrative Privileges（ML2）部分满足。要完整覆盖 ML2 的管理员权限控制，建议搭配特权访问清理项目（$1,500）。两个加起来覆盖完整。