适用于Microsoft Entra的条件访问优化代理包括分阶段推出功能，可帮助组织安全地高效地部署新的条件访问策略。 Microsoft Entra中的此智能 Microsoft Security Copilot 副驾驶®功能使管理员能够逐步引入策略、监视其影响并最大程度地减少中断。 此阶段性推出能力提供新策略的逐步部署，从而最大限度地降低对最终用户造成普遍破坏的可能性，减少手动分析和规划的需求，节省数周的努力。 与条件访问优化代理的各个方面一样，管理员将保留对策略更改的完全控制，例如组选择、推出节奏和部署。 还提供了明确的实施计划推理，以保持透明度。
本文介绍分阶段推出过程的工作原理、概述先决条件，并介绍了有助于确保顺利部署的内置安全措施。
先决条件
- 必须至少具有 Microsoft Entra ID P1 许可证。
- 必须具有可用的安全计算单元（SCU）。
- 条件访问管理员 和安全 管理员 角色可以修改分阶段推出设置。
- 租户必须至少有五个已定义的组，这些组当前正在用于条件访问策略中，以便代理生成滚动推出的计划。
工作原理
适用于所有 用户 的任何仅限报表的策略都有资格进行分阶段推出。 代理可以为它创建的策略建议分阶段推出计划，或者管理员可以将分阶段推出应用到面向所有用户的任何现有仅限报表的策略。 代理分析登录数据和现有策略，以定义分阶段推出计划。
由于推出计划有五个不同的阶段，因此必须至少有五个组才能应用推出计划。 若要确定要使用的组，代理将查看以前或当前在条件访问策略中使用的组。 代理查看这些组，了解其他条件访问策略如何影响它们，以衡量潜在影响。 代理查看组的大小，然后使用所有这些因素将组分配到从低影响组开始的阶段，以更高的影响组结束。
分阶段推出过程中有三个步骤：
可以查看包含在各个阶段中的群组，并在阶段性推出的前后进行更改。 第一阶段启动时，将为 第一阶段 中包含的组创建新策略并启用该策略。 原始仅报告模式策略保持不变。
代理标识分阶段推出仅报告策略
当代理创建新策略或针对所有用户的现有仅限报表策略时，代理可以建议分阶段推出计划。 推出计划包括五个阶段，从小型、低风险组开始，并进展到更大的高风险组。 可通过几种方法在Microsoft Entra 管理中心中找到分阶段推出建议：
对于代理创建的策略，在建议列表中的建议的分阶段推出中查找代理执行的操作。
对于现有的仅限报表的策略，请浏览到“条件访问 - 策略”页上的“分阶段推出”选项卡。 此专用选项卡提供分阶段推出过程的完整生命周期视图。
使用“条件访问策略”列表中的 显示符合分阶段推出条件的策略 筛选按钮，查找符合分阶段推出条件的策略。
管理员评审、编辑和接受推出计划
管理员需要查看计划的详细信息，包括每个阶段中包含的组、每个阶段的计时以及计划的执行方式。
至少以安全管理员身份登录Microsoft Entra 管理中心。
浏览到 条件访问优化代理 或 条件访问 - 策略 ，并选择带有分阶段推出建议的策略。
- 在 “条件访问 - 策略 ”页中，从打开的面板中选择“ 生成计划 ”。
从条件访问优化代理策略详细信息页或生成计划后，选择查看阶段。
选择 “编辑组 ”以编辑阶段中包含的组。
从策略详细信息面板或分阶段推出详细信息页中选择 “开始分阶段推出 ”按钮。 代理在报告模式下创建新策略。
小窍门
可以随时暂停发布过程，或将发布过程标记为完成。
管理员执行批准的推出计划
启动分阶段推出后，代理将帮助你进行。 分阶段推出的建议贯穿于整个推出过程，可以显示无需采取行动、建议进入下一阶段或建议回滚。 该指南同时显示在条件访问优化代理建议列表和条件访问 - 策略列表中。 这两个策略都表示分阶段部署正在进行。
你被提供了多个选项来管理部署过程中的逐步推出。 在每个阶段，代理监视与策略相关的活动，以确保没有错误或问题。 可以调整尚未启动的阶段的组。 使用页面顶部的按钮在阶段之间移动或完成部署。
- 选择 “移动到下一阶段 ”以推进推出的每个阶段。
- 选择 “回滚到上一阶段 ”以取消当前阶段并返回到上一阶段。
- 选择 “将发布标记为完成”，以将新策略应用于所有组并完成部署。
内置安全措施
分阶段推出开始后，无法更新策略的授予控制措施。 如果对授予控件进行了更改，则会取消分阶段推出。 如果在任何阶段，新策略阻止了超过10%的登录，则会立即暂停策略推行。 系统会通知管理员并提供故障排除指南，其中包括一份报告，其中显示了登录失败的原因。 当建议回滚时，系统始终会显示此指导信息，帮助管理员在继续部署之前快速识别并解决问题。
用于分阶段发布分组建议的信号
为了确保条件访问策略的安全且有效的推出，条件访问优化代理会分析多个关键信号，以建议每个部署阶段的最佳组。 此方法有助于最大程度地减少中断，同时最大程度地提高安全覆盖范围。
- 组大小和范围：代理将考虑每个组相对于用户总数的大小。 从较小的代表群体开始，在扩展到更广泛的人群之前，允许更安全的测试。
-
历史策略性能：代理分析组中用户随时间推移如何与现有策略交互。
- 高成功率表示用户已满足安全要求。
- 较高的拦截率可能表明，在正式严格推行之前，存在需要先行解决的潜在阻碍点。
- 代理还会查看策略应用于组登录的频率。
- 使用模式：代理评估每个组的活动量。 具有高活动级别的组为验证提供更多数据点，而低活动组可能无法为自信的试点生成足够的信号。
- 现有安全控制：代理确定哪些类型的控件已经对组有效，以有效建议新的策略类型，从而减少用户混淆或锁定的可能性。
- 最近的管理上下文：代理考虑最近参与策略更改或管理操作的组，以确保建议是最新的，反映最新的组织更改，而不是只依赖于静态组定义。
常见问题
分阶段推出功能的工作原理是什么？
选择每个阶段适用的组后，代理会创建一个重复的条件访问策略，该策略仅包含第一阶段的组。 原始条件访问策略以仅报告模式保留，面向所有用户，以便可以继续收集数据。 当部署进入下一阶段时，会将一批组添加到已启用的条件访问策略。 代理监视每个阶段对与此策略关联的登录过程的影响。 如果成功率低于 90%，分阶段推出将停止，并且启用的策略将重新置于仅报告模式。 然后，可以查看日志以确定登录失败的原因，然后再尝试分阶段推出。
是否必须启用分阶段推出？
默认情况下，分阶段推出功能处于打开状态。 若要将其关闭，请转到条件访问优化代理页上的 “设置” 选项卡。 在 “分阶段推出”下，将切换开关切换到 “关闭”。