รายการตรวจสอบสำหรับการยุติพนักงานด้วยบัญชี Microsoft 365
ถึงเวลาที่จะลบการเข้าถึง
ล่าสุดผมต้องปล่อยสมาชิกในทีมไป มันน่าเศร้า แต่บางครั้งเราต้องทำสิ่งที่เราต้องทำเพื่อให้ทีมดำเนินต่อไป สาเหตุที่เราทำเช่นนั้นไม่ใช่จุดเน้นของบทความนี้ แต่ฉันต้องการแบ่งปันสิ่งที่ฉันได้เรียนรู้เกี่ยวกับขั้นตอนที่จำเป็นในการลบสิทธิ์การเข้าถึงของสมาชิกในทีมที่ลาออก
เราต้องทำอย่างไรเมื่อเลิกจ้างพนักงาน? เนื่องจากการยุติอาจเกิดขึ้นอย่างกะทันหัน (ยกเว้นผู้ที่ตัดสินใจว่าใครจะปล่อยมือ) จึงเป็นความคิดที่ดีที่จะมีรายการตรวจสอบที่แสดงรายการการดำเนินการที่ต้องทำเมื่อได้รับคำขอให้ลบการเข้าถึง Microsoft 365 ของบุคคลอื่นออก มาดู Checklist ที่ผมใช้กันดีกว่า
รายการตรวจสอบมาตรฐาน
รายการตรวจสอบนี้ใช้กับผู้เช่าที่ไม่จำเป็นต้องมีบริการระดับพรีเมียม ซึ่งเราจะหารือในภายหลัง
- บล็อกการลงชื่อเข้าใช้ - นี่เป็นขั้นตอนที่สำคัญที่สุดในการปิดใช้งานบัญชีดังแสดงในรูปที่ 1 โปรดทราบว่าการทำเช่นนี้จะบล็อกเฉพาะการลงชื่อเข้าใช้ใหม่เท่านั้น แต่ผู้ใช้ยังคงสามารถเข้าถึงระบบได้นานถึง 60 นาทีนับจากเวลาที่คุณเรียกใช้ "บล็อกการลงชื่อเข้าใช้" หากต้องการบังคับให้ออกจากระบบเซสชันทั้งหมดทันที ให้พิจารณาใช้ Revoid-MgUserSignInSession Microsoft Graph PowerShell cmdlet กับ ID ออบเจ็กต์ของผู้ใช้ สคริปต์ตัวอย่างแสดงอยู่ด้านล่าง:
Import-Module Microsoft.Graph.Users.Actions
Revoke-MgUserSignInSession -UserId "user@domain.com"
- ปิดการใช้งานบัญชี AD ภายในองค์กร - ฉันทำเช่นนี้ต่อไปเนื่องจากการบล็อกการลงชื่อเข้าใช้จะไม่ซิงค์จาก Entra ID กับ AD ภายในองค์กรของคุณผ่าน Entra Connect (หรือที่เรียกว่า AAD Connect) โดยปกติแล้ว หากองค์กรไม่ได้ใช้ Active Directory คุณไม่จำเป็นต้องดำเนินการขั้นตอนนี้
- รีเซ็ตรหัสผ่านของผู้ใช้ - ฉันมักจะอัปเดตบัญชีด้วยรหัสผ่านแบบสุ่มเพื่อให้แน่ใจว่าพนักงานที่ถูกเลิกจ้างจะไม่สามารถเข้าถึงผู้เช่าได้จริงๆ
- ส่งคำขอล้างข้อมูลแบบเลือกแอป/ล้างอุปกรณ์ (หากใช้งาน Intune)- ช่วยให้มั่นใจได้ว่าจะไม่มีข้อมูลเหลืออยู่ในอุปกรณ์เคลื่อนที่และ/หรืออุปกรณ์ที่องค์กรกำหนด เมื่อคุณส่งคำขอล้างข้อมูลแบบเลือกแอป (รูปที่ 2) ตรวจสอบให้แน่ใจว่าคุณได้เลือกอุปกรณ์ที่ลงทะเบียนทั้งหมด แน่นอน คุณต้องกำหนดค่า Intune MAM ไว้ล่วงหน้า คุณสามารถดูบล็อกนี้เพื่อขอความช่วยเหลือในการตั้งค่า MAM ในสภาพแวดล้อมของคุณ
- ส่งคำขอล้างข้อมูล ActiveSync (หากไม่ได้ปรับใช้ Intune หรือผู้ใช้ปลายทางใช้แอปที่ไม่ใช่ของ Microsoft) - มีโอกาสที่ผู้ใช้จะใช้แอปที่ใช้ประโยชน์จาก ActiveSync เพื่อดึงเนื้อหากล่องจดหมาย เราควรส่งคำขอลบเพื่อล้างเนื้อหาด้วย ฉันมักจะทำงานนี้เสมอไม่ว่าพวกเขาจะต้องใช้อุปกรณ์ประเภทใดก็ตามในการเล่นอย่างปลอดภัย เราสามารถใช้ Exchange Admin Center หรือ PowerShell เช่นเดียวกับสคริปต์ด้านล่าง เพื่อส่งคำขอ:
Clear-MobileDevice -AccountOnly -Identity User1 -NotificationEmailAddresses "admin@domain.com"- ปิดการใช้งานอุปกรณ์ของผู้ใช้ - ขั้นตอนนี้มีไว้เพื่อให้แน่ใจว่าการตรวจสอบสิทธิ์ตามบัญชีคอมพิวเตอร์ (อุปกรณ์เคลื่อนที่และปลายทาง Windows/macOS) ไม่ถูกต้องและอาจแยกออกจากนโยบายการเข้าถึงแบบมีเงื่อนไข โดยปกติ ฉันจะทำเช่นนั้นผ่าน Microsoft Graph PowerShell SDK cmdlets เนื่องจากผู้ใช้สามารถมีอุปกรณ์ที่ลงทะเบียนได้จำนวนมาก ต่อไปนี้เป็นตัวอย่างสคริปต์:
$Device = Get-MgUserRegisteredDevice -UserId "user@domain.com"
Update-MgDevice -DeviceId $Device.Id -AccountEnabled:$false- เปิดใช้งานการมอบหมายบน OneDrive for Business—เปิดใช้งานการมอบหมายให้กับผู้ใช้ที่ได้รับอนุญาต (โดยปกติจะเป็นผู้จัดการโดยตรงของพนักงาน แต่อาจเป็นผู้ใช้รายอื่น) เพื่อให้สามารถเข้าถึง OneDrive for Business ของพนักงาน การดำเนินการนี้ช่วยให้ผู้ใช้ที่ได้รับการเสนอชื่อสามารถกู้คืนไฟล์ที่ธุรกิจต้องการได้ มีบางสิ่งที่เราต้องระวังเมื่อจัดการ OneDrive ซึ่งเราจะอธิบายในภายหลัง
- รักษากล่องจดหมายของผู้ใช้ - นี่ไม่ใช่การกระทำที่ต้องทำ แต่ขึ้นอยู่กับแนวทางปฏิบัติของบริษัทของคุณ มีหลายวิธีในการทำเช่นนั้น หนึ่งคือการแปลงกล่องจดหมายของผู้ใช้เป็นกล่องจดหมายที่ใช้ร่วมกัน ตรวจสอบให้แน่ใจว่าคุณแปลงกล่องจดหมายเป็นกล่องจดหมายที่ใช้ร่วมกันก่อนที่คุณจะลบใบอนุญาตออกจากพนักงาน เนื่องจากกล่องจดหมายจะต้องได้รับใบอนุญาตเมื่อคุณทำการแปลง อีกวิธีหนึ่งคือการใช้ประโยชน์จากการระงับการเก็บรักษาเพื่อรักษากล่องจดหมายเป็นกล่องจดหมายที่ไม่ได้ใช้งาน อย่างไรก็ตาม การใช้นโยบายการเก็บรักษาจะช่วยให้ทีมปฏิบัติตามข้อกำหนดสามารถเข้าถึงเนื้อหาในกล่องจดหมายได้เท่านั้น ในขณะที่แนวทางกล่องจดหมายที่ใช้ร่วมกันช่วยให้พนักงานคนอื่นๆ เข้าถึงเนื้อหาในกล่องจดหมายได้เหมือนกับกล่องจดหมายปกติเพื่อรับงานที่เหลือหากพวกเขาได้รับอนุญาตให้ทำเช่นนั้น กฎระเบียบอาจมีบทบาทที่นี่ ซึ่งอาจบังคับให้คุณต้องทำงานเพิ่มเติม อาจมีข้อมูลที่ละเอียดอ่อนในกล่องจดหมายของอดีตพนักงาน นี่อาจทำให้เกิดปัญหาบางอย่างหากพนักงานตรวจสอบเนื้อหาของบัญชี OneDrive ไม่ควรมีสิทธิ์เข้าถึงข้อมูล คุณสามารถพิจารณาใช้ป้ายกำกับความลับที่มีการจำกัดการเข้าถึงหรือการเข้ารหัสเพื่อให้การป้องกันเพิ่มเติมตามระดับรายการ คุณสามารถเรียนรู้เพิ่มเติมเกี่ยวกับการใช้ป้ายกำกับความลับได้ที่นี่
- ลบใบอนุญาตของผู้ใช้ - นี่เป็นการลดการใช้จ่ายใบอนุญาต เนื่องจากไม่มีประโยชน์ที่จะจ่ายเงินให้กับพนักงานที่ไม่ได้ทำงานให้กับองค์กรอีกต่อไป
- ลบบัญชีผู้ใช้ - โดยทั่วไป สิ่งนี้จะเกิดขึ้นหลังจากช่วงผ่อนผัน (เช่น 14 หรือ 30 วัน) หากคุณใช้ Entra Connect เพื่อซิงโครไนซ์ AD ในสถานที่กับ Entra ID คุณต้องลบบัญชีใน AD และรอให้รอบการซิงโครไนซ์ Entra Connect ถัดไปเสร็จสมบูรณ์ เมื่อคุณเห็นว่าบัญชีผู้ใช้นั้นเป็นบัญชีบนคลาวด์เท่านั้นที่ไม่มีการกำหนดใบอนุญาต คุณสามารถลบออกจากระบบได้ อย่างไรก็ตาม หากคุณแปลงกล่องจดหมายของผู้ใช้เป็นกล่องจดหมายที่ใช้ร่วมกัน คุณจะไม่สามารถลบบัญชีผู้ใช้ใน Entra ID ได้ เนื่องจากต้องใช้บัญชี Anchor เพื่อให้กล่องจดหมายที่ใช้ร่วมกันทำงานได้
รายการตรวจสอบนี้ครอบคลุมขั้นตอนพื้นฐานสำหรับผู้เช่า Microsoft 365 แต่หากคุณมีบริการขั้นสูงบางอย่าง เช่น Defender for Cloud Apps คุณควรรวมขั้นตอนเพิ่มเติมไว้ด้วย ตัวอย่างเช่น การเพิ่มผู้ใช้ในนโยบาย Defender for Cloud Apps เพื่อตรวจสอบการดาวน์โหลดไฟล์ขนาดใหญ่โดยอธิบายไม่ได้จาก Teams/SharePoint
การมอบสิทธิ์ OneDrive for Business
ปัญหาประการหนึ่งในการจัดการพนักงานที่ถูกเลิกจ้างคือไฟล์ที่พวกเขาจัดเก็บไว้ในที่ต่างๆ ซึ่งอาจอยู่ใน OneDrive for Business หรือ SharePoint ไซต์ SharePoint มักจะไม่เป็นปัญหาเนื่องจากมีไว้เพื่อเป็นพื้นที่ที่ใช้ร่วมกันซึ่งผู้ใช้รายอื่นสามารถเข้าถึงไฟล์ได้ อย่างไรก็ตาม โปรดทราบว่าการลบผู้ใช้อาจทำให้ทีมหรือไซต์เข้าสู่สถานะ "ไม่มีเจ้าของ" ซึ่งหมายความว่าไม่มีใครยกเว้นผู้ดูแลระบบผู้เช่าที่มีสิทธิ์ระดับผู้ดูแลระบบในกลุ่ม และด้วยเหตุนี้จึงไม่มีใครมีสิทธิ์ในการอัปเดตสิทธิ์ของ กลุ่ม. วิธีที่ดีที่สุดในการทำเช่นนี้คือการระบุกลุ่มดังกล่าวและตรวจสอบกับทีมธุรกิจเพื่อมอบหมายเจ้าของรายใหม่ คุณสามารถมอบหมายเจ้าของใหม่ใหม่ได้ผ่านทางพอร์ทัลผู้ดูแลระบบ SharePoint หรือโดยการเรียกใช้ PowerShell cmdlet
การมอบหมายใน OneDrive for Business ถูกใช้ในกระบวนการลบผู้ใช้ ซึ่งอนุญาตให้ผู้ใช้ที่ได้รับการเสนอชื่อ (โดยปกติจะเป็นผู้จัดการของผู้ใช้) เข้าถึงไฟล์ของพวกเขาได้ คุณสามารถกำหนดสิทธิ์การเข้าถึง OneDrive ของผู้ใช้เพิ่มเติมได้ในขณะที่ลบบัญชีหรือลบใบอนุญาตออกจากบัญชีผู้ใช้
เมื่อพูดถึงกระบวนการลบ OneDrive โปรดดูไทม์ไลน์การลบเริ่มต้นที่นี่
Microsoft จะส่งการแจ้งเตือนในระหว่างกระบวนการลบ OneDrive เพื่อให้ลิงก์สำหรับผู้ใช้ที่กำหนดในการเข้าถึงเนื้อหา OneDrive และเตือนพวกเขาว่าการลบจะเกิดขึ้น อย่างไรก็ตาม หากบัญชีผู้ใช้ไม่มีผู้จัดการหรือไม่มีใครได้รับมอบหมายให้เข้าถึงบัญชี OneDrive ในระหว่างกระบวนการลบบัญชี จะไม่มีใครได้รับการแจ้งเตือนจาก Microsoft ในระหว่างขั้นตอนการลบ ซึ่งอาจทำให้เนื้อหาใน OneDrive for Business ถูกลบโดยไม่ต้องแจ้งให้ทราบล่วงหน้า คุณสามารถมอบหมายผู้ใช้ได้เพียงรายเดียวผ่านเครื่องมือการเลือกหรือพิมพ์ UPN ในกล่องข้อความดังแสดงในรูปที่ 3 เพื่อเข้าถึง OneDrive for Business ของผู้ใช้ที่ถูกลบในฐานะเจ้าของรอง เจ้าของคนที่สองที่ได้รับมอบหมายจะไม่เพียงแต่ได้รับการแจ้งเตือนเท่านั้น แต่ยังจะได้รับสิทธิ์การเข้าถึง OneDrive หากไม่พบผู้จัดการโดยกระบวนการลบ OneDrive
หากคุณต้องการมอบหมายให้กับสมาชิกในทีม IT การปฏิบัติตามกฎระเบียบ หรือ HR เพื่อให้สามารถเข้าถึงไฟล์ได้ คุณอาจต้องกำหนดเจ้าของรองให้กับบัญชี OneDrive ของผู้ใช้ใน SharePoint Admin Center ดังแสดงในรูปที่ 4
รูปที่ 5 แสดงตัวอย่างการแจ้งเตือนที่ Microsoft 365 ส่งไปยังผู้จัดการและผู้ใช้ที่ได้รับมอบหมายซึ่งได้มอบสิทธิ์การเข้าถึง OneDrive for Business
นโยบายการเก็บรักษาและการลบผู้ใช้
สิ่งหนึ่งที่คุณต้องเข้าใจคือผลกระทบของนโยบายการเก็บรักษาต่อกระบวนการลบผู้ใช้ นโยบายการเก็บรักษาจะกำหนดระยะเวลา (สูงสุดและต่ำสุด) ข้อมูลที่ต้องถูกเก็บไว้ในผู้เช่า ในกรณีที่ลบผู้ใช้ หากกล่องจดหมายของผู้ใช้และ OneDrive for Business มีการนำนโยบายการเก็บรักษามาใช้และยังอยู่ภายในระยะเวลาการเก็บรักษาขั้นต่ำที่กำหนดไว้ กล่องจดหมายและเนื้อหาของ OneDrive for Business จะไม่ถูกลบออกอย่างถาวร ที่เก็บข้อมูลถูกซ่อนไว้ แต่ทีมปฏิบัติตามกฎระเบียบสามารถเข้าถึงเนื้อหาได้โดยใช้ eDiscovery
ผลกระทบต่อรายการที่เข้ารหัส
ด้วยการนำป้ายความลับมาใช้ในวงกว้าง ปัญหาอื่นๆ อาจเกิดขึ้นสำหรับรายการ (เช่น อีเมลหรือเอกสาร) ที่จัดเก็บไว้ใน Microsoft 365 หนึ่งในฟังก์ชันของป้ายความลับคือการใช้ข้อจำกัดการเข้าถึงและ/หรือการเข้ารหัสกับรายการเหล่านี้ จะเกิดอะไรขึ้นหากป้ายกำกับจำกัดการเข้าถึงเพื่อให้ผู้ใช้เพียงรายเดียวเป็นเจ้าของเอกสาร และผู้ใช้รายนั้นคือผู้ถูกปล่อยไป ไม่มีวิธีง่ายๆ ในการระบุว่าเอกสารหรือรายการใดบ้างที่ได้รับผลกระทบจากการลบบัญชีผู้ใช้เป้าหมาย ฉันมักจะใช้แนวทางเชิงรับมากกว่า ซึ่งหมายความว่าฉันจะช่วยให้ผู้ใช้แก้ไขสิทธิ์ได้ก็ต่อเมื่อพวกเขาตระหนักว่าไม่สามารถเข้าถึงหรือแก้ไขรายการได้ คุณอาจสงสัยว่าฉันสามารถเข้าถึงเอกสารได้อย่างไรในเมื่อไม่มีใครมีสิทธิ์ในการเป็นเจ้าของ มีการกำหนดค่าที่เรียกว่า Super User ใน Azure Rights Management Service (RMS) ซึ่งเป็นเทคโนโลยีที่ใช้โดยป้ายกำกับความลับเพื่อใช้การเข้ารหัสและ/หรือการควบคุมการเข้าถึง
ผู้ใช้ขั้นสูงคือบัญชีผู้ดูแลระบบพิเศษที่มีสิทธิ์การเป็นเจ้าของรายการใดๆ ที่ได้รับการคุ้มครองโดย Azure RMS คุณสามารถเรียนรู้เพิ่มเติมเกี่ยวกับการกำหนดค่า Super User ได้โดยไปที่นี่ ฉันใช้บัญชีนี้ด้วยความระมัดระวังเสมอ เนื่องจากสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนสูงได้ ฉันขอแนะนำให้ใช้บัญชีผู้ใช้ขั้นสูงโดยเฉพาะที่ได้รับการปกป้อง ควบคุมอย่างเข้มงวด และไม่ได้ใช้เป็นประจำทุกวัน
รายการอื่นๆ ที่ควรทราบ
เมื่อมีการปรับใช้บริการกับ Microsoft 365 มากขึ้น เราจึงสะสมข้อมูลในผู้เช่ามากขึ้น สิ่งนี้อาจทำให้เราต้องเพิ่มเข้าไปในรายการตรวจสอบหรืองานเมื่อเราจำเป็นต้องเลิกจ้างพนักงาน มีข้อควรพิจารณาเพิ่มเติมที่ต้องแก้ไขเมื่อลบบัญชีผู้ใช้ ให้ฉันระบุบางส่วนที่นี่:
- การบันทึกการประชุม - หากการประชุมจัดโดยผู้ใช้เป้าหมาย การบันทึกจะถูกจัดเก็บไว้ใน OneDrive ของพวกเขา คุณอาจต้องการพิจารณาย้ายไฟล์หลังจากที่บัญชีผู้ใช้ถูกปิดใช้งาน
- ข้อความแชทของทีม - ข้อความทั้งหมดจะถูกจัดเก็บไว้ในเซิร์ฟเวอร์ของ Microsoft Teams อย่างไรก็ตาม คุณอาจต้องการมีสำเนาสำหรับใครก็ตามที่รับช่วงต่องานของผู้ใช้เป้าหมาย ในปัจจุบัน ทางออกที่ดีที่สุดคือการใช้การค้นหา eDiscovery เพื่อส่งออกสำเนาของข้อความที่เกี่ยวข้องเพื่อใช้อ้างอิง
บทสรุป
โดยส่วนใหญ่แล้ว ผู้ดูแลระบบ Microsoft 365 จำเป็นต้องตอบสนองต่อคำขอให้ลบบัญชีสำหรับผู้ใช้ที่ถูกยกเลิก อย่างไรก็ตาม ผู้ที่ใช้บริการขั้นสูงบางอย่าง เช่น นโยบายการตรวจจับการดาวน์โหลดจำนวนมากของ Defender for Cloud Apps จะต้องเตรียมพร้อมก่อนที่จะยุติการใช้งาน ฉันขอแนะนำให้คุณกำหนดขั้นตอนการแจ้งเตือนในองค์กรของคุณ เพื่อให้ทีมของคุณจะได้รับแจ้งเมื่อจำเป็นต้องดำเนินการ ฉันรู้ว่านี่อาจเป็นเรื่องละเอียดอ่อน ดังนั้นคุณจึงสามารถพิจารณาทำให้กระบวนการเป็นอัตโนมัติโดยใช้โฟลว์ระบบคลาวด์ PowerAutomate นี่อาจเป็นทางออก เนื่องจากฝ่ายทรัพยากรบุคคลหรือผู้บริหารระดับสูงอาจไม่ต้องการให้คนจำนวนมากเกินไปทราบสถานการณ์เมื่อเกิดเหตุการณ์เช่นนี้