Microsoft 365 - Zugriff einschränken

Hallo ihr lieben Admins,

ich beschäftige mich gerade mit dem Thema Microsoft 365 / Exchange.

Insbesondere interessiert mich daran, wie man die Zugriff auf die Dienste einschränkt,
dass z.b ein Mitarbeiter sich nicht auf dem Privatgerät die lokalen Office Programme installiert,
oder aber auch die geschäftlichen Mails auf ein Privathandy syncronisiert.

Es soll nur möglich sein, die Dienste in Anspruch zu nehmen, wenn:

1. Der MA in der Firma am Client sitzt
2. Der MA über sein Firmensmartphone darauf zugreift (weltweit)
3. Der MA über sein Firmennotebook darauf zugreift (weltweit)

Die Möglichkeit, welche ich bereits gefunden habe, wär die Einschränkung über Azure AD Conditional Access.
Dies ist jedoch mit höheren Lizenzkosten verbunden, da man die Azure AD Premium P1 Lizenz benötigt.

Gibt es noch weitere Möglichkeiten, den Zugriff einzuschränken? Wie löst ihr das, bzw. wie sind eure Erfarhungen zu diesem Thema?

Was es bereits gibt:
Lokale Windows Server mit AD,
Sync via AD Connect,
Office 365 Lizenz für die MA.

Freu mich auf euren Input

LG fritzkarl