ms365-tenant-manager

Microsoft 365 租户管理器

该 Agent 可生成可用于生产环境的 PowerShell 脚本，用于 M365 租户设置、批量用户配置、条件访问策略、安全审计和许可证管理。它可自动执行用户生命周期操作（入职、离职），按角色推荐许可证 SKU，并通过 Microsoft Graph 生成 7 类安全审计报告。

核心功能

• 租户生命周期 — 设置清单、域验证、DNS 记录生成、安全基线，以及适用于 Exchange、SharePoint、Teams 的 PowerShell 设置脚本。
• 用户生命周期自动化 — 从 CSV 批量配置用户、安全的 11 步离职流程、按角色／部门提供许可证建议、群组成员资格建议、数据验证。
• 安全与合规 — 生成条件访问策略（先以仅报告模式运行）、强制实施 MFA，以及进行 7 类安全审计（MFA、管理员角色、不活跃用户、来宾、许可证、邮箱委派、条件访问策略）。
• 许可证管理 — 根据 GDPR／HIPAA 合规要求调整 SKU 建议、分配方案和成本估算。
• PowerShell 生成 — 基于 Microsoft Graph 的脚本，包含错误处理、日志记录和 -WhatIf 支持。

适用场景

• 新租户设置 — 生成分阶段清单、DNS 记录和基线脚本。
• 安全加固 — 执行审计并部署条件访问／MFA 策略。
• 批量用户配置或安全离职。
• 许可证规划和季度使用情况审查。

请先确认

生成脚本前，请确认以下信息。如有任何信息未知或含糊不清，请先询问，不要自行假设：

• 任务 — 租户设置、安全审计／加固、批量配置或离职（决定使用 tenant_setup.py、powershell_generator.py 还是 user_management.py）
• 租户输入 — 域名、用户 CSV，或角色／部门数据（模块所需的输入）
• 合规制度 — GDPR／HIPAA 或无（会影响许可证 SKU 建议和安全基线）

停止规则：只询问最能影响输出的 2-3 项。如果用户说“直接起草”，则继续，并在产出内容顶部列出假设。

工具

这些脚本是可导入的 Python 模块（需实例化类，而非使用 CLI）。完整的 API、参数和示例请参阅 references/tools-and-workflows.md。

工具	用途	入口点
powershell_generator.py	安全审计、条件访问和批量许可证脚本	from powershell_generator import PowerShellScriptGenerator
user_management.py	用户配置、离职、许可证／群组建议、验证	from user_management import UserLifecycleManager
tenant_setup.py	设置清单、DNS 记录、设置脚本、许可证分配	from tenant_setup import TenantSetupManager

参考资料

加载与任务匹配的参考资料——保持此文件精简，需要时再查阅详细内容：

• references/tools-and-workflows.md — 快速入门命令、各工具的用法与参数、3 个端到端工作流（设置、加固、离职处理），以及三个脚本的完整 Python 模块 API。运行工具或接入 API 时请阅读。
• references/operations-and-best-practices.md — 最佳实践、限制、所需模块/权限、反模式、故障排除表和成功标准。在加固租户或发布脚本前请阅读。
• references/powershell-templates.md — 可直接使用的脚本模板：条件访问策略示例、批量用户预配和安全审计脚本。
• references/security-policies.md — 条件访问配置、MFA 强制策略、DLP/保留策略和安全基线设置。
• references/troubleshooting.md — 常见错误的解决方法、PowerShell 模块问题、权限故障排除和 DNS 传播问题。

范围与限制

此技能涵盖的内容

• 租户生命周期管理 -- 初始设置、域验证、DNS 配置、安全基线，以及 Exchange Online、SharePoint、Teams 和 OneDrive 的服务预配
• 用户生命周期自动化 -- 从 CSV 批量预配、按角色/部门分配许可证、群组成员资格建议，以及安全离职处理（保留邮箱）
• 安全与合规 -- 生成条件访问策略、强制实施 MFA、涵盖 7 个类别的全面安全审计，以及启用审计日志
• PowerShell 脚本生成 -- 可用于生产环境的脚本，包含错误处理、日志记录、-WhatIf 支持和 Microsoft Graph 最佳实践

此技能不涵盖的内容

• 混合身份（AD Connect） -- 本地 Active Directory 同步和直通身份验证需要使用 senior-devops 技能及 Microsoft AD Connect 工具
• Intune 设备管理 -- 终端符合性策略、应用部署和移动设备管理不在此范围内；设备安全状况请参阅 senior-secops
• Power Platform 管理 -- Power Apps、Power Automate 和 Power BI 的租户级治理由单独的平台管理负责
• 第三方 SSO 和 SCIM 预配 -- 与非 Microsoft 身份提供商（Okta、Ping、Auth0）集成需要专门的身份工程支持

集成点

技能	集成方式	数据流
senior-secops	安全审计发现会流入 SecOps 事件响应和威胁修复工作流	审计 CSV 报告（MFA 状态、管理员角色、非活跃用户）→ SecOps 分类处理和加固操作
senior-devops	租户设置脚本与基础设施即代码流水线集成，实现可重复部署	生成的 PowerShell 脚本 → CI/CD 流水线执行 → 租户配置状态
senior-architect	许可证分配建议和租户拓扑为企业架构决策提供参考	许可证成本分析和用户数量预测 → 架构容量规划
code-reviewer	可对生成的 PowerShell 脚本进行审查，检查安全反模式和凭据处理方式	PowerShell 脚本输出 → 代码审查，检查硬编码密钥、缺少错误处理
aws-solution-architect	为同时使用两个平台的组织实现 Azure AD 与 AWS IAM 之间的多云身份联合	Azure AD 租户配置 → 跨云 SSO 和角色映射
senior-security	条件访问策略和 MFA 强制要求与更广泛的组织安全态势保持一致	CA 策略配置和安全审计结果 → 安全策略合规性验证