Microsoft Intune - Bedingter Zugriff Richtlinie

Hallo zusammen,

wir würden in unserer Firma gerne den Zugriff auf unsere O365 Welt beschränken.
Aktuell kann sich jeder Nutzer mit einer Lizenz auf irgend einem Gerät auf der Welt in Office anmelden und damit auf unsere Daten zugreifen. Dies wollen wir nun aber einschränken.

Unser Plan sieht wie folgt aus:
-Alle die in unserem bekannten Netz sind, haben Zugriff ( auch nicht bekannte oder konforme Geräte -> da TS-Server)
-Wenn jemand außerhalb unseres Netzes ist, muss der Gerät bei uns als konform markiert sein über Intune

Wie können wir das nun umsetzen?
Ich hatte die Idee eine Richtlinie zu setzen, welche unsere bekannten IP's ausschließt und dafür alle anderen abfragt und als Gewähren Aktion "konform" haben muss.
Problem ist hierbei das ich bei der Bedingung IP auch welche "Einschließen" muss und nicht nur "ausschließen" kann.
Müsste ich dann den gesamte anderen möglich IP-Bereich auswählen? Das ist ja ein riesen Bereich.

Ich freue mich über Rückmeldung oder andere Ideen wie wir das umsetzen könnten.
Danke!