指南 · Microsoft 365
成长型机构的Microsoft 365管理最佳实践
良好的Microsoft 365管理大多是“看不见”的：新员工第一天就能投入工作，离职员工在最后一天失去访问权限，许可证数量与员工人数相符，也没有人搞不清某个Team归谁管。以下是实现这一切的日常做法。
- 发布日期
- 阅读约需7分钟
本页内容
要点速览
- 用检查清单把入职、调岗和离职流程标准化，让每个账户都以同样的方式创建和删除。
- 使用独立的最小权限管理员账户进行管理，并通过范围较窄的角色委派日常任务。
- 每月核对许可证，及时发现闲置席位和不匹配的方案。
- 在混乱蔓延之前，就为Teams、群组和SharePoint网站制定命名、负责人和生命周期规则。
- 跟踪消息中心和服务运行状况，记录变更，并保持租户文档为最新状态。
- 用Microsoft Graph PowerShell处理重复性任务；旧版模块已经停用或弃用。
新员工入职：让新同事第一天就能投入工作
不一致往往从入职环节开始。标准化的流程可以省去猜测，也让日后的离职处理更干净利落。
提交信息完整的申请
要求经理提交申请，写明入职日期、职位、部门、直属经理、工作地点、所需应用和共享资源。这份申请就是已批准访问权限的记录。
统一创建身份
用户主体名称和显示名称遵循命名规范，填写部门、职位、经理和办公室等属性，并在可行时通过基于群组的许可证分配来分配许可证。
通过群组授予访问权限
把用户加入基于角色的安全组和Microsoft 365群组，而不是对单个文件、邮箱或网站逐一授权。
准备身份验证
发放临时访问通行证（Temporary Access Pass），或安排有人陪同完成首次登录，让用户安全地注册多因素身份验证，并提前准备好受管理的设备。
确认并记录
在第一天核实登录、邮箱、Teams、所需应用和共享盘访问都正常，然后在申请记录中写明已授予的权限并结案。
员工离职检查清单
离职处理本身就是一项安全控制措施。请与经理或人力资源部门商定执行时间（非自愿离职时尤其如此），并逐项完成以下步骤。
- 在约定时间阻止登录并撤销所有活动会话，然后重置密码。
- 删除已注册的多因素身份验证方式，以及该用户名下的应用密码或已注册设备。
- 把用户从群组、Teams、通讯组列表和管理员角色中移除，并转移其所拥有群组或Teams的负责人身份。
- 按约定把邮箱转换为共享邮箱，或为经理设置转发或委派访问；如有需要，设置自动回复。
- 在已删除用户的保留期到期之前，转移OneDrive内容或为经理授予访问权限。
- 通过Intune擦除或停用公司设备，并选择性擦除个人手机上的公司数据。
- 数据处理完毕后移除许可证，并记录日期和已执行的步骤。
- 检查共享凭据、第三方应用账户，以及此人在Microsoft 365之外可以访问的外部服务。
以最小权限进行管理
每位管理员都应使用独立的管理账户，而不是日常使用的邮箱账户。没有邮箱的纯云端管理员账户，可以降低因一封钓鱼邮件或本地目录被入侵而让攻击者控制整个租户的风险。
Microsoft 365提供许多内置角色。负责重置密码的帮助台技术人员需要的是支持人员管理员或身份验证管理员角色，而不是全局管理员；管理邮箱的人需要Exchange管理员角色；负责账单的员工可以使用计费管理员角色。全局管理员只留给极少数人，并且只用于确实需要它的任务。每季度审查一次角色分配，移除不再需要的角色。
如果您与IT服务商合作，请使用细粒度委派管理员权限（GDAP），建立有时限、按角色划分的关系，而不是授予宽泛的长期访问权限；并在服务商安排发生变化时审查这些关系。
让许可证与实际情况保持一致
许可证偏离实际的情况很常见：已离职员工仍占着付费席位；员工被分配了包含从不使用功能的方案；或者有些用户用Business Standard、另一些用Business Premium，却没有任何书面理由，导致安全策略的覆盖参差不齐。
每月对照员工名单核对许可证分配。使用基于群组的许可证分配，让许可证随角色成员身份自动变化。区分需要完整桌面版应用的用户和只需要网页版及移动版的用户。在做出变更之前，先核实续订日期和承诺期限，因为年度承诺可能限制您何时可以减少席位。在Microsoft规定的容量和功能限制之内，共享邮箱和资源邮箱通常不需要许可证，因此不要默认为它们分配许可证。
Teams、群组和SharePoint的治理
如果没有几条规则，协作空间会迅速增多，没人知道哪个是最新的，也没人知道归谁负责。
决定谁可以创建Teams
要么允许所有人创建并提供清晰指引，要么只允许特定群组创建并采用简单的申请流程。两种方式都可行；随意决定则不行。
命名与负责人
采用命名策略或命名规范，例如加上部门或客户前缀，并要求每个Team或群组至少有两名负责人，以免一人离职后无人管理。
生命周期与到期
使用群组过期策略或定期审查，让负责人确认某个Team是否仍有需要，并将已完成的项目空间存档。
外部访问
决定哪些Teams可以加入来宾、如何审查来宾访问，以及敏感网站是否应完全禁止外部共享。
跟踪变更、服务更新和文档
Microsoft在持续不断地更新Microsoft 365。管理中心的“消息中心”会预告即将推出的功能变更和停用计划，“服务运行状况”则显示当前的故障和公告。请指定专人每周查看这两处，判断哪些变更会影响您的用户，并在用户能感知到的变化到来之前提前通知。
为租户级设置保留一份简单的变更日志：改了什么、何时改的、由谁批准、为什么改。当某条策略在几个月后引发意外问题时，这份记录可以节省数小时的排查时间。结合统一审计日志，它还能让安全审查轻松许多。
维护一份租户文档，涵盖域名和DNS记录、许可证、条件访问策略、管理员角色持有人、应急（break-glass）账户及其凭据的存放位置、保留策略、拥有租户访问权限的第三方应用，以及供应商联系人。文档应当属于机构本身，而不是属于某个人或某家服务商。
把重复性工作自动化
重复的手工操作容易出现不一致。Microsoft Graph PowerShell是目前受支持的模块，用于编写用户、群组和许可证管理脚本，取代了Microsoft已停用或弃用的旧版MSOnline和AzureAD模块。邮箱和邮件流设置仍然使用Exchange Online PowerShell。
从小处着手：写一个脚本，列出尚未注册多因素身份验证的用户、未分配许可证的邮箱、几个月没有登录的来宾，或没有负责人的群组。按计划运行这些报告并加以审查。随着信心增强，可以把部分入职和离职流程自动化，但凡是授予或撤销访问权限的操作，都要保留一道人工审批环节。
一套简单的每月管理例行工作
对照员工名单核对许可证，审查管理员角色分配和来宾账户，查看安全分数和消息中心通知，确认备份报告，检查登录风险和审计警报，并为所有发生变化的内容更新文档。
常见问题
离职员工的邮箱应该转换为共享邮箱吗？
通常应该。转换后，经理无需支付许可证费用就能查看以往的往来邮件，前提是该邮箱保持在Microsoft对无许可证共享邮箱的限制之内。不再需要时，请移除访问权限。
我们应该设置几个全局管理员？
在可行范围内越少越好，通常是两到三个，包括一个应急账户；其他人都使用范围更窄的角色。Microsoft建议把全局管理员的数量控制在很小的范围内。
小企业的Microsoft 365管理应该由谁负责？
由一位明确负责的人或机构承担：可以是内部IT人员、在服务商支持下的运营负责人，或按书面服务范围提供服务的托管IT服务商。关键在于职责明确、流程有书面记录。
应该多久审查一次来宾账户？
至少每季度一次。移除不再需要访问权限的来宾，以及长时间没有登录的来宾，并确认各Team负责人仍希望保留其外部成员。
放心地把Microsoft 365管理交给我们
我们的Microsoft 365管理服务按书面服务范围涵盖用户生命周期、许可证、邮箱、Teams和共享设置，所有文档始终归您所有。