您的安全团队需要：通过实时会话控制，防止数据从受批准的 SaaS 应用程序（Salesforce 和 Box）泄露到非托管设备；从网络和端点信号中发现影子 IT；以及监控/修复 Microsoft 365 中请求过多权限的风险 OAuth 应用程序。您应该实施什么？

正确答案涵盖了所有要求。Microsoft Defender for Cloud Apps (MDCAS) 的条件访问应用控制（会话策略）专门用于防止从受批准的 SaaS 应用（如 Salesforce 和 Box）向非托管设备泄露数据。MDCAS 的 Cloud Discovery 功能（与 Defender for Endpoint 或网络日志集成）可以发现影子 IT。App governance 附加组件是管理和修复 Microsoft 365 中 OAuth 应用权限风险的理想工具。 Azure AD Application Proxy 主要用于发布内部 Web 应用，不适用于对 Salesforce 和 Box 等外部 SaaS 应用进行细粒度会话控制。Endpoint DLP 策略虽然重要，但不能替代对 SaaS 应用的云发现和会话控制，因为它们主要关注端点数据。仅配置 API 连接器无法提供实时会话控制。Intune App Protection Policies 适用于移动应用和托管设备，但不能直接对非托管设备上的浏览器访问所有 SaaS 应用提供所需的实时会话控制。