跳至主內容
English (United States) 日本語 简体中文

[Access Control] 導入步驟概要 (Microsoft 365)

概要

本文將介紹使用 Microsoft 365 作為群組軟體的客戶在導入 Access Control 時，從事前確認事項到開始運用 Access Control 的一系列步驟。

準備項目

  1. HENNGE One Customer Portal 的帳戶
    確認 Access Control 管理介面的登入 URL 與初始管理員帳戶資訊。
    有關資訊確認步驟，請參閱[Customer Portal] 查看 HENNGE One 服務清單。
  2. 具備 Microsoft 365 全域系統管理員權限的帳戶
  3. 具備 Access Control 全域系統管理員權限的帳戶
  4. （僅在與 Active Directory 進行同步時）具備 Active Directory 管理員權限的帳戶

注意事項

  1. 請依據您使用的服務與使用目的確認所需項目。
  2. 本文內容基於截至 2026 年 10 月的產品資訊，日後可能會在未事先通知的情況下變更。
  3. 導入前請務必確認 HENNGE One 我們支援的瀏覽器。
    此處說明各產品與功能的限制事項。

目錄

  1. Microsoft365 的事前作業
    1. [Access Control] 更改 Microsoft 365 的預設網域 
    2. 關於 Outlook on the Web 的「始終連接到 Outlook」功能 
    3. [Access Control] 確認 Exchange Online 現代驗證啟用狀態 
    4. [Access Control] 將非使用者物件的 UPN 變更為 onmicrosoft.com 網域 
  2. Access Control 的各項原則設定
    1. 檢討存取原則
    2. [Access Control] 存取原則群組與存取原則模板的定義 
    3. [Access Control] 密碼相關設定（新式介面） 
  3. 使用者註冊與同步
    • 在 Access Control 上建立帳戶時
    • 從 Active Directory 進行同步時
  4. 根據存取原則進行管理員・終端使用者作業
    • 派發裝置憑證
    • OTP（一次性密碼）設定
    • Secure Browser 設定
  5. 存取原則的指派與運作測試
    1. [Access Control] 指派使用者的存取原則群組 
    2. [Access Control] 測試存取原則群組的運作 
  6. 單一登入設定
    1. [Access Control] 與 Microsoft 365 同盟登入串接設定 
    2. [Access Control] 確認 Microsoft 365 串接狀態 
    3. [Access Control] 使用 Microsoft Graph Powershell 切斷 Microsoft Entra ID 新式驗證 

步驟

1. Microsoft365 的事前作業

首先，請在目前使用的 Microsoft365 中進行開始使用 Access Control 所需的設定變更。
準備好Microsoft365 全域系統管理員帳戶後，請執行以下 4 項設定的全部項目。

  1. [Access Control] 更改 Microsoft 365 的預設網域 
    為了讓 Microsoft 365 的驗證可透過 Access Control 執行（可進行同盟登入的狀態），將 Microsoft 365 的預設網域變更為 "onmicrosoft.com" 的操作。
  2. 關於 Outlook on the Web 的「始終連接到 Outlook」功能 
    若啟用此功能，即使完成同盟登入後，仍可能持續允許從未授予權限的環境存取，因此請將其設為不可用。
  3. [Access Control] 確認 Exchange Online 現代驗證啟用狀態 
    此為確認現代驗證啟用狀態的操作，以使存取控制能正常運作。
  4. [Access Control] 將非使用者物件的 UPN 變更為 onmicrosoft.com 網域 
    此操作可避免會議室、設備、共用信箱等存在於 Microsoft 365 用戶群中的非使用者物件受到 Access Control 管理。

2. Access Control 的各項原則設定

自 2026 年 3 月起，Access Control 開始提供新的登入畫面。

若您在上述日期之前已簽約使用 HENNGE One，請在開始後續步驟前執行以下步驟。
[Access Control] 遷移至新登入畫面的操作步驟

設定從 Access Control 登入已設定單一登入的服務時所適用的存取原則（存取授予權限條件）。同時也會進行整個用戶群的密碼原則設定。
※請使用已被授予 Access Control 全域系統管理員權限的帳戶執行本步驟。

  1. 檢討存取原則
    請從下表的存取控制模式中決定要設定的需求。
    若要設定以下模式以外的存取控制方法，請於 Help Center 搜尋其他步驟，或連絡我們導入負責人員。
  1. [Access Control] 存取原則群組與存取原則模板的定義 
    設定已決定的原則。
  2. [Access Control] 密碼相關設定（新式介面） 
    進行密碼原則設定。

3. 使用者註冊與同步

從 Active Directory 同步使用者與在 Access Control 上建立使用者的步驟不同。請確認適用的步驟後再繼續操作。

在 Access Control 上建立使用者時

請使用已被授予 Access Control 全域系統管理員權限的帳戶執行本步驟。

  1. [Access Control] 使用者批次註冊 / 更新 / 刪除 
    為使用 Access Control，請在 Access Control 上建立與 Microsoft 365 上使用者一對一關聯的使用者。
  2. [Access Control] 使用者同步設定 (Access Control → Microsoft 365) 
    使用者註冊完成後，為了讓 Access Control 中建立的使用者資訊與 Microsoft365 上已關聯使用者的資訊保持一致，請設定使用者資訊的定期同步。
    ※為避免非預期的使用者刪除或變更，請務必在同步前確認上述文章中的注意事項。

設定使用者定期同步後，之後 Access Control 上的使用者資訊將每隔 1 小時覆寫同步至 Microsoft365。設定後的使用者管理方式如下。

  1. 想要建立新使用者時：

    請在 Access Control 上建立使用者。執行同步時，Microsoft365 上也會建立使用者。

  2. 想要更新使用者資訊（姓氏、名稱、名稱、UPN 等）時：

    請在 Access Control 上更新使用者資訊。執行同步時，Microsoft365 上已關聯使用者（UPN 一致的使用者）的資訊將被覆寫更新。

  3. 想要刪除現有使用者時：

    請在 Access Control 上刪除使用者。執行同步時，Microsoft365 上已關聯使用者（UPN 一致的使用者）將被刪除。
從 Active Directory 進行同步時

本步驟將使用已授予 Access Control 全域系統管理員權限的帳戶，以及已授予 Active Directory 管理員權限的 Windows 帳戶執行。

將使用者資訊從 Active Directory 同步至 Access Control，並在 Access Control 上建立使用者。

  1. 定義同步條件並接收檔案 
    定義用於 Active Directory 同步的 HENNGE Directory Sync Tool 同步設定檔之設定值，並從 HENNGE 接收設定檔。
  2. [Access Control] 整理 Active Directory 的使用者 
    整理 Active Directory 上的使用者，例如將作為同步對象的使用者儲存於同步設定檔中指定的安全性群組或 OU。
  3. [Access Control] 在 Active Directory 上安裝 HDEPasswordFilter.dll（適用於 Windows Server 2016版本以後） 
    此作業是於所有網域控制站安裝 DLL 檔案，該檔案為執行 Active Directory 同步所需設定檔之一。
  4. 重新啟動網域控制站
    為使設定檔生效，請重新啟動所有網域控制站。
    ※ 請注意執行時段等對業務造成的影響後再執行。
  5. 變更 Active Directory 上同步對象使用者的密碼
    請由終端使用者本人或管理員變更一次全部同步對象使用者的密碼。
    ※ 步驟 6 〜 10 無需等待所有使用者完成變更密碼即可繼續進行。
  6. 安裝 Microsoft Entra Connect（外部連結） 
    AD 與 Microsoft 365 (Microsoft Entra ID)之間的同步將使用 Microsoft 的 Microsoft Entra Connect。若尚未設定，請依照 Microsoft 的手冊安裝 Microsoft Entra Connect。
    ※ 關於 Microsoft Entra Connect 的安裝及設定問題，我們無法提供答覆，請聯絡 Microsoft。
  7. [Access Control] 安裝 HENNGE Directory Sync Tool  
    將使用者同步工具安裝至 Active Directory。
  8. [Access Control] HENNGE Directory Sync Tool 運作用根憑證安裝步驟 
    安裝執行使用者同步工具所需的根憑證。
  9. [Access Control] 創建 HENNGE Directory Sync Tool 的 API 用戶端  
    建立執行使用者同步工具所需的 API 用戶端密鑰。
  10. [Access Control] HENNGE Directory Sync Tool 設定檔 config.ini 的首次設置 
    將同步設定檔放置於 Active Directory 指定的資料夾中。
  11. [Access Control] 確認同步對象使用者密碼的設定 
    確認同步對象使用者的密碼已設定為同步資訊。
  12. [Access Control] 執行 HENNGE One Directory Sync Tool 
    執行同步工具，開始將使用者從 Active Directory 同步至 Access Control。

4. 基於存取原則的管理員・終端使用者作業

請根據存取控制需求，確認相關功能的導入作業。

本項步驟僅在設定使用各功能的存取原則時執行。
請點選欲使用的功能並執行步驟。

派發裝置憑證

在 Access Control 管理介面中發行裝置憑證。於終端使用者的裝置上安裝已發行的憑證後，使用裝置憑證的準備即告完成。

  1. 蒐集 HENNGE Device Certificate 的裝置資料 
    蒐集作為裝置憑證派發對象之裝置的裝置 ID (每台裝置各不相同的唯一值)。
  2. [Device Certificate] 裝置憑證的發行 
    此作業是將裝置憑證派發至終端使用者的裝置。
    管理員發行裝置憑證後，將透過電子郵件向終端使用者寄出提示安裝憑證的通知。
  3. Device Certificate 裝置憑證安裝步驟一覽 
    此作業是在終端使用者的裝置上安裝裝置憑證。
    ※ 此作業必須在終端使用者的裝置上執行。
OTP（一次性密碼）的設定

即使使用 OTP（一次性密碼），若符合以下情況，亦可略過此步驟。
※首次登入時將顯示註冊畫面。
・擁有 Access Control 管理員權限的帳戶
・已指派需要 OTP 的存取原則群組的使用者

  1. [Access Control] 在已連線的服務中接收 OTP（一次性密碼）的設定 
    安裝專用的已連線的服務，並設定接收 OTP。
    ※ 此作業必須在終端使用者的裝置上執行。

每位使用者的 OTP 僅能於一台裝置上接收。

若要為共用 Access Control 的使用者發行 OTP，為使多人能夠接收 OTP，亦可使用透過電子郵件接收的設定，而非使用已連線的服務。
[Access Control] 透過電子郵件接收 OTP（一次性密碼）的設定 
Secure Browser 的設定
  1. [Access Control] Secure Browser 未讀通知設定（Microsoft 365） 
    進行在 Secure Browser 中接收 Microsoft 365 未讀通知所需的設定。
  2. [安全瀏覽器] 安全瀏覽器的安裝及設備認證 
    此為在終端使用者裝置上安裝 Secure Browser 的作業。
    ※ 此作業必須在終端使用者的裝置上執行。
  3. HENNGE Secure Browser 的裝置認證（新式介面） 
    說明管理員為讓使用者開始使用 Secure Browser 而進行裝置認證的方法。

至此，Access Control 正式開始運用前的所有設定均已完成。
在下一個步驟中，將於開始運用前測試已設定的存取原則是否正常運作。

5. 指派存取原則並進行運作測試

  1. [Access Control] 指派使用者的存取原則群組 
    為在 Access Control 上建立的使用者指派存取原則。
  2. [Access Control] 測試存取原則群組的運作 
    完成存取原則的指派後，請使用對象使用者登入 Access Control 的使用者畫面，測試存取控制是否如預期正常運作。

完成運作測試後，請在下一個步驟中進行與 Microsoft 365 的單一登入（同盟登入）設定，並開始運用。

6. 單一登入設定

執行此步驟後，一般使用者登入 Microsoft 365 時的驗證將切換為 Access Control。請避開工作時間等，並充分協調執行時機。
  1. [Access Control] 與 Microsoft 365 同盟登入串接設定 
    進行 Microsoft 365 與 Access Control 的單一登入（同盟登入）串接，並開始正式運用。
  2. [Access Control] 確認 Microsoft 365 串接狀態 
    完成連線設定後，請確認 Microsoft 365 與 Access Control 之間是否已正確完成同盟登入設定。
  3. [Access Control] 使用 Microsoft Graph Powershell 切斷 Microsoft Entra ID 新式驗證 
    即使執行同盟登入，既有的驗證資訊（執行同盟登入前已登入的工作階段狀態）仍會保留，因此請先切斷全部驗證工作階段狀態，並要求使用者透過 Access Control 登入。

至此，Access Control 的導入作業已全部完成。

如欲與 Microsoft 365 以外的服務進行單一登入

單一登入的設定步驟因服務而異。
HENNGE 已驗證的服務，其操作手冊已刊載於 Help Center，請依照手冊進行作業。

本譯文是為方便客戶閱讀，採用自動翻譯軟體自日文原文翻譯而成。
儘管我們已盡合理努力確保翻譯的準確性，但基於自動翻譯軟體於語言轉譯過程中或有偏差，文中可能仍包含不準確的表述或誤譯。
我們不保證本譯文的準確性、可靠性或完整性。

若本譯文與官方發布的日文原文有任何歧異，悉以原文為準。