m365-govern-manage

Microsoft 365 治理与管理

失控的协作蔓延——无人管理的 Teams、广泛共享、过期的来宾、过度共享的 站点——会增加数据风险，也是安全推出 Microsoft 365 Copilot 的头号阻碍。 此技能负责治理 Microsoft 365 协作环境，同时不扼杀工作效率。

何时使用

当用户正在为 Copilot 做准备、处理多年默认开放创建 Teams 导致的蔓延问题，或构建长期协作治理计划时，使用此技能。

不要将此技能用于：

• DLP 策略设计（使用 purview-dlp-policy）
• 敏感度标签分类（使用 purview-data-classification）
• Copilot 专属的过度共享修复（使用 purview-copilot-oversharing）
• 针对应用/角色访问权限的 Entra 访问评审（使用 entra-id-governance）

根据症状选择合适的控制措施

症状	控制措施	所需许可证
任何人都能创建 Teams；有数百个无人管理的组	M365 组创建限制 + 命名 + 过期策略	Entra ID P1（用于过期策略）
多年前添加的来宾仍在组中	针对来宾的 Entra 访问评审	Entra ID P2
默认通过“除外部用户以外的所有人”共享站点	SharePoint 默认共享链接 = 组织中的人员	M365 E3+
站点包含敏感数据且开放共享	限制访问控制（RAC） + 敏感度标签	SAM（E5 + SAM 附加组件）
无法查看哪些站点过度共享敏感数据	SAM 数据访问治理报告	SAM（E5 + SAM 附加组件）
非活动站点导致租户杂乱	SAM 非活动站点策略 + 站点生命周期	SAM（E5 + SAM 附加组件）
Teams 聊天保留期限无限	保留策略（仅允许向前应用）	M365 E3 +
需要阻止 Copilot 为某个站点编制索引	受限内容发现（RCD）	SAM（E5 + SAM 附加组件）

经验法则： 治理协作蔓延应遵循发现 → 收紧默认设置 → 清理现有内容 → 持续维护。跳过发现步骤，就可能收紧错误的控制措施。

方法

1. 先衡量蔓延情况 — 运行 SharePoint Admin → Active sites 报告和 SAM Data Access Governance 报告，量化以下指标：

   • 非活动时间超过 12 个月的网站
   • 拥有超过 1000 个唯一权限的网站
   • 与“所有人（外部用户除外）”或匿名链接共享的网站
   • 没有所有者的 Teams

   根据数据确定项目规模并选定首批目标。 验证：在制定任何策略之前，你能够列出共享权限过宽的前 20 个网站，以及孤立团队的数量。

2. 先收紧默认设置，再进行清理 — 否则蔓延会再次加剧。

   • 默认共享链接 = 组织中的人员（而非拥有链接的任何人）
   • 外部共享 = 现有来宾或新建和现有来宾（而非任何人）
   • 群组创建 = 限制为经批准所有者的安全组（其他所有人通过表单提交申请）
   • 命名策略 = 按部门添加前缀/后缀，设置禁用词列表
   • 过期策略 = 365 天，由所有者续期 验证：没有权限的测试用户无法创建新的 M365 群组；新网站上的默认链接为组织中的人员*。*

3. 应用容器标签 — 网站/团队/群组容器级别的敏感度标签可自动强制实施隐私、外部共享、非托管设备访问和条件访问策略。这对 Copilot 会访问的网站至关重要。 验证：如果标签禁止来宾共享，带标签的网站会拒绝来宾共享；从非托管设备访问时会触发 CA 策略。

4. 分批清理现有蔓延情况 — 不要批量撤销权限；引发用户不满会毁掉整个项目。按以下顺序处理：

   • 第 1 批：归档非活动网站（18 个月以上没有编辑记录）——先设为只读，90 天宽限期后再删除
   • 第 2 批：检查包含已标记敏感数据的网站上权限过宽的共享
   • 第 3 批：按群组进行来宾访问审查，由所有者负责
   • 第 4 批：为无所有者的群组指定所有者或将其归档 验证：每批次的仪表板显示目标数量减少超过 50%，且合理申诉少于 5%。

5. 建立常态化审查节奏 — 一次性清理无法解决问题。安排如下：

   • 每季度：审查敏感群组的来宾访问权限
   • 每月：全面检查无所有者的群组
   • 到期时：由所有者重新确认，否则删除群组

6. 报告安全状况 — 构建 SharePoint Admin + SAM 工作簿，展示共享权限过宽趋势、来宾数量和无所有者群组数量。每月向领导层展示蔓延情况。

防护措施

• 治理是 Copilot 就绪的基础。 共享失控 = Copilot 共享权限过宽。任何 Copilot 部署之前都要先推进治理，而不是与治理同步开展。
• 在管控与生产力之间取得平衡。 完全禁止创建群组会助长影子 IT（WhatsApp 群组、个人 OneDrive、第三方 SaaS）。改用通过表单提交申请的模式。
• 先在试点 OU 中测试策略。 全局命名或过期策略配置错误，可能会在第一天就阻碍整个租户的正常工作。
• 过期会删除数据。 设置 90 天的软删除恢复期，并确保所有者在到期前 30/15/1 天收到续期通知；否则，正常使用的团队也会消失。
• SAM 是单独的附加组件。 规划许可证事宜——多个强大的控制功能（RAC、RCD、DAG 报告、非活动网站策略）都需要 SAM。
• 来宾访问审查需要由所有者负责，而非管理员。 由管理员批量审批会违背审查目的。配置由所有者负责的审查，仅在超时后由管理员接手。

常见反模式

• “收紧默认设置，却不进行清理。” 新建站点井然有序，但十年来已有的过度共享问题依然存在。症状没有变化，Copilot 仍会泄露信息。
• “进行清理，却不收紧默认设置。” 几周内就会再次失控。两者都必须做到。
• “禁止创建所有组。” 用户会转而使用不受管理的工具；你将彻底失去审计、DLP 和保留覆盖。
• “因为项目标签已经存在，就跳过容器标签。” 容器标签可以强制执行项目标签无法执行的条件（例如，在站点级别禁止访客共享）。两者都必不可少。
• “每季度进行访问审查，却不要求所有者负责。” 所有者不加检查就点击 全部批准。审查时应配合提醒邮件，并在对方未响应后移除其访问权限。
• “把治理当作一次性项目。” 失控是流量问题，而不是存量问题。没有持续的节奏，治理状态会在 6 个月内恶化。

示例提示词

• 通过生命周期策略控制 Microsoft 365 组和 Teams 的无序增长。
• 治理 Microsoft 365 中的访客访问和外部共享。
• 使用 SharePoint Advanced Management 进行站点生命周期治理。
• 如何为 Copilot 的推出做好 Microsoft 365 治理准备？
• 租户应该设置哪种默认共享链接？
• 制定一套让所有者真正执行的访客访问审查计划。

Microsoft Learn

• Microsoft 365 组过期：https://learn.microsoft.com/entra/identity/users/groups-lifecycle
• 外部协作设置：https://learn.microsoft.com/entra/external-id/external-collaboration-settings-configure
• SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
• Data Access Governance 报告：https://learn.microsoft.com/sharepoint/data-access-governance-reports
• Restricted Access Control：https://learn.microsoft.com/sharepoint/restricted-access-control
• 访问审查：https://learn.microsoft.com/entra/id-governance/access-reviews-overview
• 容器敏感度标签：https://learn.microsoft.com/purview/sensitivity-labels-teams-groups-sites