การแยกผู้ใช้ใน Office 365 โดยใช้นโยบายสมุดที่อยู่

เหตุใดจึงต้องแยกผู้ใช้ออกจากกันตั้งแต่แรก?

Microsoft 365 มีการควบคุมมากมายในตัวเพื่อจัดการวิธีที่ผู้ใช้สื่อสารภายนอก อย่างไรก็ตาม โดยทั่วไปการควบคุมเหล่านี้จะไม่ขยายไปยังการสื่อสารภายใน แม้ว่าสิ่งนี้จะเป็นเรื่องปกติในสภาพแวดล้อมส่วนใหญ่ แต่ก็มีสถานการณ์ที่จำเป็นต้องแยกจากกันในระดับหนึ่ง

ตัวอย่างเช่น มหาวิทยาลัยต้องการหยุดไม่ให้นักศึกษาสื่อสารกับสมาชิกในสถานที่ หรือองค์กรที่มีบริษัทในเครือหลายแห่งต้องการจำกัดไม่ให้พนักงานสื่อสารกับบริษัทในเครืออื่นๆ ทางเลือกหนึ่งคือการเรียกใช้ผู้เช่าหลายราย ซึ่งทำให้เกิดความซับซ้อนและความพยายามในการดูแลระบบเป็นพิเศษ บ่อยครั้ง วิธีแก้ปัญหาที่ดีกว่าคือการสร้างและใช้นโยบายสมุดรายชื่อ Exchange Online

นโยบายสมุดที่อยู่

นโยบายสมุดที่อยู่ (ABP) ไม่ใช่เรื่องใหม่สำหรับ Exchange Online พวกเขามีอยู่เพื่อให้การแยกโดยการจัดกลุ่มผู้ใช้เป็น "องค์กรเสมือน" แต่ละแห่งมีรายการที่อยู่ รายชื่อที่อยู่ทั่วโลก (GAL) รายชื่อห้อง และสมุดที่อยู่ออฟไลน์ (OAB) ของตนเอง สิ่งนี้แตกต่างจากสมุดที่อยู่แบบลำดับชั้นซึ่งกำหนดโครงสร้างในรายการที่อยู่ แต่ไม่ได้บังคับใช้การแยกจากกัน ABP ยังสามารถขยายไปยัง Microsoft Teams เพื่อกำหนดขอบเขตการค้นหาไดเรกทอรีได้ โดยมีข้อควรระวังบางประการ

ในบทความนี้ ผมจะให้รายละเอียดเกี่ยวกับการกำหนดค่านโยบายสมุดที่อยู่ และวิธีขยายนโยบายดังกล่าวเพื่อรวมทีมไว้ด้วย

กำหนดค่ารายการที่อยู่

ก่อนที่จะสร้าง ABP คุณต้องกำหนดออบเจ็กต์ที่นโยบายจะจัดการ ABP แต่ละแห่งต้องมีอย่างน้อยหนึ่ง GAL, หนึ่ง OAB, รายการที่อยู่หนึ่งรายการ และรายการห้องหนึ่งรายการ หากต้องการสร้าง ABP สองรายการ จะต้องมีแต่ละองค์ประกอบอย่างน้อยสองรายการ โดยกำหนดขอบเขตเป็นชุดผู้ใช้ที่คุณต้องการแยก

ในตัวอย่าง PowerShell ด้านล่าง ฉันสร้างแต่ละส่วนประกอบตามผู้ใช้ของบริษัทที่เป็นของ (Contoso หรือ Fabrikam) จากบัญชี Azure AD ของพวกเขา คุณยังสามารถสร้างรายการที่อยู่เพิ่มเติมสำหรับสิ่งต่าง ๆ เช่น รายการการแจกจ่าย ตามรหัส:

##Create two GALs
New-GlobalAddressList -Name "Contoso GAL" -IncludedRecipients AllRecipients -ConditionalCompany Contoso
New-GlobalAddressList -Name "Fabrikam GAL" -IncludedRecipients AllRecipients -ConditionalCompany Fabrikam

##Create two Address Lists
New-AddressList -Name "Contoso" -IncludedRecipients MailboxUsers -ConditionalCompany Contoso
New-AddressList -Name "Fabrikam" -IncludedRecipients MailboxUsers -ConditionalCompany "Fabrikam"

##Create two Room Lists
New-AddressList -Name "Contoso Rooms" -RecipientFilter {(Company -eq "Contoso")-and (RecipientDisplayType -eq 'ConferenceRoomMailbox')}
New-AddressList -Name "Fabrikam Rooms" -RecipientFilter {(Company -eq "Fabrikam")-and (RecipientDisplayType -eq 'ConferenceRoomMailbox')}

##Create two OABs
New-OfflineAddressBook -Name "OAB_Contoso" -AddressLists "\Contoso", "\Contoso Rooms"
New-OfflineAddressBook -Name "OAB_Fabrikam" -AddressLists "\Fabrikam", "\Fabrikam Rooms"

หมายเหตุ: ในการจัดการรายการที่อยู่ บัญชีของคุณจะต้องได้รับมอบหมายบทบาท "รายการที่อยู่" ใน Exchange Online บทบาทนี้ไม่ได้เป็นส่วนหนึ่งของกลุ่มบทบาทการจัดการองค์กร

สร้างนโยบายสมุดที่อยู่

หากต้องการสร้าง ABP ให้เปิดใช้งาน "การกำหนดเส้นทางนโยบายสมุดที่อยู่" ในการกำหนดค่าการขนส่ง Exchange Online ของคุณ ซึ่งเปิดใช้งานฟังก์ชัน ABP ในผู้เช่าโดยการเรียกใช้ cmdlet Set-TransportConfig เพื่อตั้งค่า AddressBookPolicyRouting เป็น True ผลลัพธ์คือการสั่งให้บริการขนส่ง Exchange ถือว่าผู้ใช้ใน GAL ที่แตกต่างกันปรากฏเป็นผู้รับภายนอกซึ่งกันและกัน ซึ่งหมายความว่าฟังก์ชันต่างๆ เช่น การแท็กผู้รับภายนอกจะทำงานได้

Set-TransportConfig -AddressBookPolicyRoutingEnabled $true

สุดท้าย ให้ใช้ New-AddressBookPolicy cmdlet เพื่อสร้าง ABP ในตัวอย่างด้านล่าง ฉันสร้าง ABP สองตัวโดยอิงตามออบเจ็กต์ที่สร้างขึ้นก่อนหน้านี้สำหรับ Contoso และ Fabrikam:

##Create two ABPs
New-AddressBookPolicy -Name "Contoso" -AddressLists "\Contoso" -OfflineAddressBook "\OAB_Contoso" -GlobalAddressList "\Contoso GAL" -RoomList "\Contoso Rooms"
New-AddressBookPolicy -Name "Fabrikam" -AddressLists "\Fabrikam" -OfflineAddressBook "\OAB_Fabrikam" -GlobalAddressList "\Fabrikam GAL" -RoomList "\Fabrikam Rooms" 

เมื่อสร้างแล้ว สามารถตรวจสอบนโยบายได้โดยใช้ Get-AddressBookPolicy cmdletas ที่แสดงด้านล่างในรูปที่ 1:

กำหนดนโยบายให้กับผู้ใช้

คุณสามารถกำหนด ABP ให้กับกล่องจดหมายแต่ละกล่องได้ใน Exchange Admin Center ในวงกว้างเมื่อจำเป็นต้องมอบหมายงานให้กับกล่องจดหมายหลายร้อยกล่อง นั่นไม่สามารถทำได้จริง การตั้งค่านโยบายโดยใช้ Set-Mailbox cmdlet จะเร็วกว่ามาก

ตัวอย่างเช่น ด้านล่างนี้ ฉันค้นหากล่องจดหมายของผู้ใช้ทั้งหมดที่มีแอตทริบิวต์บริษัทที่ถูกต้อง และเพิ่มลงใน ABP ที่เกี่ยวข้อง ข้อดีของวิธีนี้คือสามารถกำหนดเวลาเพื่อให้มีการเพิ่มผู้ใช้ใหม่ลงใน ABP ที่ถูกต้องซึ่งเป็นส่วนหนึ่งของงานตอนกลางคืน วิธีที่คุณกำหนดนโยบายนั้นไม่สำคัญ สิ่งสำคัญคือการกำหนด ABP ที่ถูกต้องให้กับกล่องจดหมายที่ถูกต้อง

##Assign ABP to users
Get-Recipient -Filter '(Company -eq "Contoso") -and (recipienttypedetails -eq "usermailbox")' | Set-Mailbox -AddressBookPolicy Contoso
Get-Recipient -Filter '(Company -eq "Fabrikam") -and (recipienttypedetails -eq "usermailbox")' | Set-Mailbox -AddressBookPolicy Fabrikam

อ่านเพิ่มเติม: “สิทธิ์ในการยกเลิกการเชื่อมต่อ” - การใช้ข้อจำกัดความรับผิดชอบตามกำหนดเวลาใน Exchange Online ด้วย Azure Automation

เมื่อนำนโยบายไปใช้ ผู้ใช้จะเห็นเฉพาะรายการที่อยู่และสมาชิกที่กำหนดโดยนโยบายที่กำหนดให้กับกล่องจดหมายของตน ดังแสดงด้านล่างในรูปที่ 2:

การจัดการข้อยกเว้น

อาจมีบางครั้งที่ผู้ใช้ต้องการดูสมาชิกของรายการที่อยู่หลายรายการจากนโยบายที่แตกต่างกัน ไม่มีทางที่จะข้ามนโยบายสมุดที่อยู่ที่กำหนดให้กับผู้ใช้ได้ ดังนั้นจึงจำเป็นต้องมีนโยบายใหม่ นโยบายนี้ควรมีรายการที่อยู่สำหรับทุกคนที่ผู้ใช้จำเป็นต้องติดต่อ

ตัวอย่างเช่น หาก Contoso และ Fabrikam มี CEO ร่วมกัน พวกเขาจะต้องเปิดเผยข้อมูลให้กับพนักงานทุกคน โดยไม่คำนึงถึงบริษัท คุณสามารถสร้างนโยบายใหม่ได้ตามที่แสดงในตัวอย่างด้านล่างเพื่อให้ CEO สามารถดูรายการที่อยู่ทั้งหมด:

##Create “All Staff” ABP
New-AddressBookPolicy -Name "All Staff Visible" -AddressLists "\Fabrikam", "\Contoso" -OfflineAddressBook "\Default OAB” -GlobalAddressList "\All Users GAL" -RoomList "\All Rooms" 

ในตัวอย่างนี้ สามารถใช้ ABP เพิ่มเติมเพียงตัวเดียวได้ แต่การรองรับทุกกรณีการใช้งานและการรวมผู้ใช้อาจกลายเป็นเรื่องยากในการจัดการ ดังนั้นจึงเป็นการดีที่สุดที่จะรักษาทุกอย่างให้เรียบง่าย

การใช้ ABP ในทีม

ABP สามารถขยายไปยัง Microsoft Teams ได้โดยเปิดใช้งานตัวเลือก “การค้นหาไดเรกทอรีขอบเขตโดยใช้นโยบายสมุดที่อยู่ Exchange” จากส่วนการตั้งค่า Teams ของ Teams Admin Center ดังแสดงในรูปที่ 3:

เมื่อเปิดใช้งานการตั้งค่านี้ ผู้ใช้ที่ค้นหาใน Teams จะเห็นผลลัพธ์ที่ถูกจำกัดโดย ABP ที่ได้รับมอบหมายดังแสดงในรูปที่ 4:

มีผลข้างเคียงบางประการที่ต้องระวังเมื่อเปิดใช้งานการค้นหาไดเรกทอรีที่กำหนดขอบเขตใน Teams ดังนั้นจึงเป็นสิ่งสำคัญที่จะต้องพิจารณาเรื่องนี้ก่อนที่จะตัดสินใจเปิดใช้งาน

อุปสรรคด้านข้อมูล

อุปสรรคด้านข้อมูล (IB) ก็เหมือนกับ APB เนื่องจากได้รับการออกแบบมาเพื่อให้มีการแยกภายในด้วย ข้อแตกต่างก็คือ IB ยังป้องกันการทำงานร่วมกันโดยสิ้นเชิงสำหรับ SharePoint, OneDrive และ Teams IB จะเข้ามาแทนที่ ABP ในผู้เช่า ดังนั้นจึงไม่สามารถใช้งานได้ในขณะที่ยังมี ABP อยู่ในสภาพแวดล้อม เมื่อมีการจัดเตรียม IB และกำหนดเซ็กเมนต์ ผู้ใช้จะถูกกำหนดขอบเขตไปยังเซ็กเมนต์ที่พวกเขาได้รับมอบหมาย

หมายเหตุ: IB ต้องการสิทธิ์การใช้งาน Office 365 E5 หรือ Office 365 A1/A3/A5 ขั้นต่ำ

อ่านเพิ่มเติม: วิธีสร้างรายงานสิทธิ์การใช้งาน Office 365 โดยใช้ Microsoft Graph SDK สำหรับ PowerShell

เมื่อใดควรใช้ ABP

ก่อนตัดสินใจปรับใช้ ABP มีข้อควรพิจารณาบางประการที่ควรทราบ:

• การจำลองการเปลี่ยนแปลงจะไม่เกิดขึ้นทันที การอัปเดตการเปลี่ยนแปลงนโยบายจะใช้เวลาสองสามชั่วโมง และนานกว่านั้นหากผู้ใช้ใช้โหมดแคชใน Outlook
• อุปสรรคด้านข้อมูลไม่สามารถใช้งานได้หากคุณมี ABP อยู่แล้ว การลบ ABP เพื่อเตรียมพร้อมสำหรับอุปสรรคด้านข้อมูลต้องใช้ความพยายามในการลบนโยบายออกจากผู้ใช้ทั้งหมด (รวมถึงกล่องจดหมายที่ไม่ได้ใช้งาน)
• ABP จะไม่ป้องกันการส่งอีเมล (และ IB เช่นกัน) หรือข้อความ Teams
• การขยาย ABP ไปยังทีมส่งผลต่อการค้นพบทีม
• ABP จำนวนมากอาจกลายเป็นเรื่องซับซ้อนในการจัดการ
• ABP จะไม่ป้องกันไม่ให้ผู้ใช้ดูผู้อื่นผ่านแอป Office 365 อื่นๆ (ยกเว้น Teams หากเปิดใช้งานการค้นหาไดเรกทอรีที่กำหนดขอบเขตไว้)

โดยสรุป

สำหรับผู้เช่าส่วนใหญ่ ABP ไม่จำเป็น และจะทำให้การจัดการสภาพแวดล้อมยุ่งยากเท่านั้น แต่ถ้าคุณอยู่ในสถานการณ์ที่ต้องแยกการสื่อสารระหว่างผู้ใช้กลุ่มต่างๆ ABP จะมีประโยชน์อย่างยิ่ง