مقاله · Microsoft 365
اصول مدیریت Microsoft 365 برای سازمان‌های رو به رشد
مدیریت خوب Microsoft 365 بیشتر وقت‌ها دیده نمی‌شود: کارکنان جدید از روز اول کارشان را شروع می‌کنند، کارکنانی که می‌روند در آخرین روز کاری دسترسی‌شان قطع می‌شود، تعداد لایسنس‌ها با تعداد کارکنان می‌خواند و هیچ‌کس از خودش نمی‌پرسد مالک فلان تیم کیست. در این مقاله روال‌هایی را مرور می‌کنیم که این وضعیت را ممکن می‌کنند.
- تاریخ انتشار
- ۷ دقیقه مطالعه
در این صفحه
نکات کلیدی
- فرایندهای ورود، جابه‌جایی و خروج کارکنان را با چک‌لیست استاندارد کنید تا هر حساب به یک شیوه ساخته و حذف شود.
- با حسابهای مدیریتی جداگانه و بر پایه اصل حداقل دسترسی لازم مدیریت کنید و کارهای روزمره را با نقش‌های محدود تفویض کنید.
- لایسنس‌ها را ماهانه بازبینی کنید تا لایسنس‌های بلااستفاده و طرح‌های نامتناسب را پیدا کنید.
- پیش از آنکه پراکندگی آغاز شود، Teams، گروه‌ها و سایت‌های SharePoint را با قواعد نام‌گذاری، مالکیت و چرخه عمر سامان دهید.
- بخش‌های Message center و Service health را دنبال کنید، تغییرات را ثبت کنید و مستندات تنت را به‌روز نگه دارید.
- برای کارهای تکراری از Microsoft Graph PowerShell استفاده کنید؛ ماژول‌های قدیمی‌تر بازنشسته یا منسوخ شده‌اند.
ورود کارکنان جدید: بهره‌وری از روز اول
ناهماهنگی‌ها از مرحله ورود شروع می‌شوند. یک فرایند استاندارد حدس و گمان را حذف می‌کند و خروج‌های بعدی را تمیزتر می‌کند.
درخواست با جزئیات درست
درخواستی از سوی مدیر مستقیم الزامی کنید که شامل تاریخ شروع، نقش، واحد، مدیر، محل کار، برنامه‌های لازم و منابع مشترک باشد. از آن به‌عنوان سند دسترسی‌های تأییدشده استفاده کنید.
ساخت یکنواخت هویت
برای نام کاربری (UPN) و نام نمایشی از یک قاعده نام‌گذاری پیروی کنید، ویژگی‌های واحد، سمت، مدیر و دفتر را پر کنید و در صورت امکان لایسنس‌ها را از طریق لایسنس‌دهی گروهی اختصاص دهید.
اعطای دسترسی از طریق گروه‌ها
کاربر را به گروه‌های امنیتی و گروه‌های Microsoft 365 مبتنی بر نقش اضافه کنید، به‌جای اینکه به فایل‌ها، صندوقهای پستی یا سایت‌های جداگانه مجوز فردی بدهید.
آماده‌سازی احراز هویت
یک Temporary Access Pass صادر کنید یا نخستین ورود را با نظارت انجام دهید تا کاربر MFA را به‌طور امن ثبت کند و دستگاه مدیریت‌شده‌اش را آماده داشته باشید.
تأیید و مستندسازی
در روز اول ورود، صندوق پستی، Teams، برنامه‌های لازم و دسترسی به پوشه‌های مشترک را بررسی کنید و درخواست را با ثبت دسترسی‌های اعطاشده ببندید.
چک‌لیست خروج کارکنان
خروج کارکنان یک کنترل امنیتی است. زمان‌بندی را با مدیر یا واحد منابع انسانی هماهنگ کنید، به‌ویژه در خروج‌های غیرداوطلبانه، و همه گام‌ها را انجام دهید.
- در زمان توافق‌شده ورود را مسدود کنید و همه نشست‌های فعال را باطل کنید، سپس گذرواژه را بازنشانی کنید.
- روش‌های MFA ثبت‌شده و هرگونه گذرواژه برنامه یا دستگاه ثبت‌شده برای کاربر را حذف کنید.
- کاربر را از گروه‌ها، Teams، فهرست‌های توزیع و نقش‌های مدیریتی حذف کنید و مالکیت گروه‌ها یا تیم‌هایی را که مالکشان بوده منتقل کنید.
- طبق توافق، صندوق پستی را به صندوق مشترک تبدیل کنید یا بازارسال یا دسترسی نیابتی برای مدیر تنظیم کنید و در صورت مناسب بودن، پاسخ خودکار بگذارید.
- پیش از پایان مهلت نگهداری کاربران حذف‌شده، محتوای OneDrive را منتقل کنید یا به مدیر دسترسی بدهید.
- دستگاه‌های شرکت را از طریق Intune پاک یا از رده خارج کنید و داده‌های شرکت را به‌صورت انتخابی از گوشی‌های شخصی پاک کنید.
- پس از رسیدگی به داده‌ها لایسنس‌ها را آزاد کنید و تاریخ و گام‌های انجام‌شده را ثبت کنید.
- اعتبارنامه‌های مشترک، حسابهای برنامه‌های شخص ثالث و سرویس‌های بیرونی‌ای را که فرد خارج از Microsoft 365 به آن‌ها دسترسی داشته بازبینی کنید.
مدیریت بر پایه اصل حداقل دسترسی لازم
هر مدیر باید از یک حساب مدیریتی جداگانه استفاده کند، نه حسابی که با آن ایمیل روزانه‌اش را می‌خواند. حسابهای مدیریتی فقط‌ابری بدون صندوق پستی این خطر را کاهش می‌دهند که یک ایمیل فیشینگ یا نفوذ به دایرکتوری محلی، کنترل تنت را به دست مهاجم بدهد.
Microsoft 365 نقش‌های داخلی متعددی دارد. تکنسین میز خدمت که گذرواژه بازنشانی می‌کند به نقش Helpdesk Administrator یا Authentication Administrator نیاز دارد، نه مدیر کل (Global Administrator). کسی که صندوقهای پستی را مدیریت می‌کند به Exchange Administrator نیاز دارد. کارکنان مالی می‌توانند Billing Administrator داشته باشند. نقش مدیر کل را برای تعداد بسیار کمی از افراد و کارهایی که واقعاً به آن نیاز دارند نگه دارید. انتساب نقش‌ها را هر فصل بازبینی کنید و هر انتسابی را که دیگر لازم نیست حذف کنید.
اگر با یک ارائهدهنده فناوری اطلاعات کار می‌کنید، به‌جای دسترسی دائمی و گسترده از امتیازات مدیریت تفویض‌شده جزئی (GDAP) با روابط محدود به زمان و نقش استفاده کنید و هر بار که ترتیبات همکاری با ارائهدهنده تغییر می‌کند، این روابط را بازبینی کنید.
لایسنس‌ها را با واقعیت هماهنگ نگه دارید
انحراف لایسنس‌ها رایج است. کارکنان سابق همچنان لایسنس پولی دارند، به کارکنان طرح‌هایی با قابلیت‌هایی داده می‌شود که هرگز استفاده نمی‌کنند، یا برخی کاربران بدون دلیل مستند Business Standard دارند و برخی Business Premium، که نتیجه‌اش اعمال ناهمگون سیاست‌های امنیتی است.
انتساب لایسنس‌ها را ماهانه با فهرست کارکنان مقایسه کنید. از لایسنس‌دهی گروهی استفاده کنید تا لایسنس‌ها از عضویت در نقش پیروی کنند. کاربرانی را که به برنامه‌های کامل دسکتاپ نیاز دارند از کسانی که فقط به نسخه وب و موبایل نیاز دارند جدا کنید. پیش از هر تغییر، تاریخ تمدید و شرایط تعهد را بررسی کنید، چون تعهدات سالانه ممکن است زمان کاهش لایسنس‌ها را محدود کنند. صندوقهای پستی مشترک و صندوقهای منابع معمولاً در محدوده اندازه و قابلیت‌های تعیین‌شده مایکروسافت به لایسنس نیاز ندارند؛ پس به‌طور پیش‌فرض برایشان لایسنس تهیه نکنید.
حاکمیت Teams، گروه‌ها و SharePoint
بدون چند قاعده ساده، فضاهای همکاری به‌سرعت زیاد می‌شوند و هیچ‌کس نمی‌داند کدام فعال است یا مالکش کیست.
تعیین کنید چه کسی می‌تواند تیم بسازد
یا به همه با راهنمایی روشن اجازه دهید، یا ساخت را به یک گروه محدود کنید و از یک روند ساده درخواست استفاده کنید. هر دو روش جواب میدهد؛ تصمیم‌های موردی جواب نمی‌دهد.
نام‌گذاری و مالکیت
از سیاست یا قاعده نام‌گذاری استفاده کنید، مثلاً پیشوند واحد یا مشتری، و برای هر تیم یا گروه دستکم دو مالک الزامی کنید تا با رفتن یک نفر بی‌صاحب نماند.
چرخه عمر و انقضا
از سیاست‌های انقضای گروه یا بازبینی‌های دوره‌ای استفاده کنید تا مالکان تأیید کنند تیم هنوز لازم است و فضاهای پروژه‌های پایان‌یافته را بایگانی کنید.
دسترسی بیرونی
تعیین کنید کدام تیمها می‌توانند مهمان داشته باشند، دسترسی مهمانان چگونه بازبینی می‌شود و آیا سایت‌های حساس باید اشتراک‌گذاری بیرونی را به‌کلی مسدود کنند.
پیگیری تغییرات، به‌روزرسانی‌های سرویس و مستندسازی
مایکروسافت پیوسته Microsoft 365 را تغییر میدهد. بخش Message center در مرکز مدیریت، تغییرات و بازنشستگی‌های پیش‌رو را اعلام می‌کند و Service health رخدادها و اطلاعیه‌های جاری را نشان میدهد. کسی را مسئول کنید که هر هفته هر دو را بررسی کند، تصمیم بگیرد کدام تغییرات بر کاربران شما اثر دارد و وقتی تغییر محسوسی در راه است، از پیش اطلاع‌رسانی کند.
برای تنظیمات سطح تنت یک دفتر ساده ثبت تغییرات نگه دارید: چه چیزی، چه زمانی، با تأیید چه کسی و به چه دلیل تغییر کرد. وقتی ماه‌ها بعد یک سیاست مشکلی غیرمنتظره ایجاد می‌کند، این سابقه ساعت‌ها در زمان بررسی صرفه‌جویی می‌کند. در کنار گزارش ممیزی یکپارچه، بازبینی‌های امنیتی را هم بسیار آسان‌تر می‌کند.
مستندات تنت را به‌روز نگه دارید؛ شامل دامنه‌ها و رکوردهای DNS، لایسنس‌ها، سیاست‌های دسترسی مشروط، دارندگان نقش‌های مدیریتی، حسابهای دسترسی اضطراری و محل نگهداری اعتبارنامه‌هایشان، سیاست‌های نگهداری، برنامه‌های شخص ثالثی که به تنت دسترسی دارند و اطلاعات تماس فروشندگان. مستندات باید متعلق به سازمان باشد، نه یک فرد یا یک ارائهدهنده.
بخش‌های تکراری را خودکار کنید
کارهای دستی تکراری زمینه ناهماهنگی را فراهم می‌کنند. Microsoft Graph PowerShell ماژول پشتیبانی‌شده فعلی برای اسکریپت‌نویسی در مدیریت کاربران، گروه‌ها و لایسنس‌هاست و جایگزین ماژول‌های قدیمی‌تر MSOnline و AzureAD شده که مایکروسافت آن‌ها را بازنشسته یا منسوخ کرده است. Exchange Online PowerShell همچنان ابزار تنظیمات صندوق پستی و جریان ایمیل است.
از کارهای کوچک شروع کنید: اسکریپتی که کاربران بدون ثبت MFA، صندوقهای پستی بدون لایسنس، مهمانانی که ماه‌هاست وارد نشدهاند یا گروه‌های بدون مالک را گزارش میدهد. گزارش‌ها را طبق برنامه اجرا و بازبینی کنید. با افزایش اطمینان، بخش‌هایی از ورود و خروج کارکنان را خودکار کنید و برای هر کاری که دسترسی میدهد یا حذف می‌کند، یک مرحله تأیید انسانی نگه دارید.
یک روال ساده مدیریتی ماهانه
لایسنس‌ها را با فهرست کارکنان تطبیق دهید، انتساب نقش‌های مدیریتی و حسابهای مهمان را بازبینی کنید، Secure Score و موارد Message center را بررسی کنید، گزارش‌های پشتیبان‌گیری را تأیید کنید، هشدارهای ریسک ورود و ممیزی را بازبینی کنید و مستندات را برای هر چیزی که تغییر کرده به‌روز کنید.
پرسش‌های متداول
آیا صندوق پستی کارمندی که رفته را به صندوق مشترک تبدیل کنیم؟
اغلب بله. تبدیل به صندوق مشترک به مدیر امکان میدهد بدون پرداخت هزینه لایسنس به مکاتبات گذشته دسترسی داشته باشد، به شرطی که صندوق در محدودههای مایکروسافت برای صندوقهای مشترک بدون لایسنس بماند. وقتی دسترسی دیگر لازم نبود، آن را حذف کنید.
چند مدیر کل (Global Administrator) باید داشته باشیم؟
تا جای ممکن کم؛ معمولاً دو یا سه نفر، شامل یک حساب دسترسی اضطراری، و بقیه با نقش‌های محدودتر کار کنند. مایکروسافت توصیه می‌کند این تعداد کم نگه داشته شود.
در یک کسبوکار کوچک، مسئولیت مدیریت Microsoft 365 با چه کسی باشد؟
با فردی پاسخگو؛ چه یک کارشناس فناوری اطلاعات داخلی، چه مسئول عملیاتی با پشتیبانی یک ارائهدهنده، یا یک ارائهدهنده خدمات مدیریتشده فناوری اطلاعات بر پایه محدوده کتبی خدمات. آنچه اهمیت دارد مالکیت روشن و فرایندهای مستند است.
حسابهای مهمان را هر چند وقت یک بار بازبینی کنیم؟
دستکم هر فصل. مهمانانی را که دیگر به دسترسی نیاز ندارند و آنهایی را که مدت طولانی وارد نشدهاند حذف کنید و از مالکان تیمها بپرسید آیا هنوز اعضای بیرونیشان را میخواهند.
خدمات مرتبط
محصولات و بسته‌ها
مدیریت Microsoft 365 را با خیال آسوده واگذار کنید
خدمات مدیریت Microsoft 365 ما چرخه عمر کاربران، لایسنس‌ها، صندوقهای پستی، Teams و تنظیمات اشتراک‌گذاری را بر پایه محدوده کتبی خدمات پوشش میدهد، با مستنداتی که متعلق به خود شما می‌ماند.