Remote Attestation 如何透過 Microsoft Entra Conditional Access 驗證開機完整性及裝置健康狀態

您好，

其运作方式是通过Windows 11设备所提供的硬件式安全功能，例如TPM（可信赖平台模块，Trusted Platform Module）和 Secure Boot（安全开机），来测量开机路径及核心元件的完整性。 这些测量数据会在系统启动期间收集，并作为验证（Attestation）程序的一部分，安全地传送至 Microsoft 云端。

接着，Microsoft Entra 条件式访问（Conditional Access）会将这些测量结果与预期的安全基准进行比对。 如果开机程序或核心遭到窜改，例如受到恶意软件或Rootkit的影响，验证将会失败，而条件式存取原则便可阻止该设备存取企业资源。 如此一来，只有经过验证且未遭入侵的健康装置才能连线至企业环境。

整个流程完全符合零信任（Zero Trust）安全架构原则：用户身份透过Entra ID验证，设备健康状态通过Remote Attestation验证，只有在两项检查皆通过的情况下才会授予访问权限。 所有通讯皆经过加密处理，而验证结果也会被记录以供稽核使用，让您能够追踪整个装置分组的合规状态。

简而言之，Remote Attestation提供了一种云端化的信任验证机制，可在授予存取权限之前验证设备的开机完整性与健康状态，确保端点装置未遭到窜改，进而提升整体安全性。

如果您觉得此回答对您有所帮助，恳请点击「接受答案（Accept Answer）」。

杰森。