Exchange Online基于网络位置限制使用

在一些安全要求比较高点的企业中使用Office365往往有这个一个需求：

企业管理员希望部分员工（例如财务等敏感用户）只能在公司内网使用收发邮件，离开公司网络就不能使用邮件。这也一定程度上保护了企业的数据安全。

在本地部署的Exchange server要做到这样的效果也不难，可以在IIS中去配置，那么在Exchange Online上怎么来实现这些功能呢？Exchange Online的服务器企业管理员也无法接触到，就不用说去配置IIS了，其实也是有办法的，针对Online用户是有客户端访问策略，根据这个访问策略去调整用户基于网络位置的访问就可以实现离开公司网络就无法收发邮件了。

首先需要连接到Exchange Online PowerShell，执行以下命令，或者把以下命令搞到一个ps1文件中通过一个脚本来执行，保存脚本也方便以后随时远程连接

Set-ExecutionPolicy RemoteSigned

$UserCredential = Get-Credential

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://partner.outlook.cn/powershell-liveid/ -Credential $UserCredential -Authentication Basic -AllowRedirection

Import-PSSession $Session -DisableNameChecking

如果是国际版用户需要将partner.outlook.cn替换成outlook.office365.com

以管理员身份打开Windows PowerShell，切换到ps脚本所在目录，然后使用.\nameofps1.ps1来连接到Exchange Online，这时候会提示输入用户名密码，注意这里至少是Exchange Online管理员权限，一般我们都是用全局管理员登录操作

登录后我们就可以新建客户端访问策略，来控制这些用户可以在哪里访问Exchange Online服务

策略的应用都要有对象，针对所有用户我们怎么去区分呢?最简单的是在用户属性中编辑好部门，只要是这个部门的用户都只能在公司内网使用邮件。

首先我们创建一个test账号，配置其部门为it

然后确定企业上网的出口IP地址。这里以我办公室的IP为例

下面就开始创建规则

New-ClientAcce***ule -Name "Block" -Action DenyAccess -AnyOfProtocols ExchangeActiveSync,ExchangeAdminCenter,IMAP4,OfflineAddressBook,OutlookWebApp,POP3,PowerShellWebServices,RemotePowerShell,REST -ExceptAnyOfClientIPAddressesOrRanges 171.214.149.118 -UserRecipientFilter {Department -eq "finance"}

如果还希望Outlook客户端在公司以外网络也无法使用那么还需要在AnyOfProtocols后面加上OutlookAnyWhere，如果还想禁用EWS那么在加上ExchangeWebServices即可