終於有時間心情寫埋最後呢Part。
繼Part 2。 經過不斷Try on Error試Claims Rules之後。
廠嘅以下呢個Article另我放棄Claims Rules去做Restriction嘅諗法。對於ActiveSync嚟講，似乎用Modern Auth係剋死Claim Rule。
以下 幾類型嘅做法可以取替Unauthorize ActiveSync device access
第一 用MDM Vendor嘅Identity Management Software – 相對難度係最高，因為多用SAML， 需要有Deploy SAML嘅經驗。而Infrasture入面嘅配置已經唔係普通Company會投資
第二 Deploy Certificate Authentication。難度同第一種做法不遑多讓。需要Deploy/ Maintain Internal CA / NDES /PKI infrastructure同樣唔容易
第三 係Azure AD，入面嘅Enterprise App disable iOS Accounts，或者係disable 其他嘅Email Client（e.g. Outlook Mobile).從而Restrict Unauthorize End User去Add Exchange Online Account。 呢個方法非常容易，唯一需要擔心嘅就係唔用iOS Native Email之後，俾End User用嘅Email Client
第四 最後 就係configure Default Block/Quarantine
呢種係最容易，最容易Configure。但係代價係需要人肉Device Control
Reference Article
https://www.mobileiron.com/en/smartwork-blog/lets-get-technical-ios-11-oauth-20-office-365