网络技术精讲（从入门到精通）第8篇：Microsoft 365 与企业协作

摘要

本文将带你深入了解 Microsoft 365 企业协作平台的配置与管理。你将学到 Microsoft 365 的订阅与许可管理、Entra ID（原 Azure AD）的架构与配置、Exchange Online 的邮件服务管理、Teams 协作平台的部署与配置，以及 Microsoft 365 的安全与合规功能。通过本文，你将掌握云生产力平台的运维技能，能够为企业规划和管理完整的 Microsoft 365 环境。

学习目标

阅读完本文后，你将能够：

能力1：理解 Microsoft 365 的订阅类型和许可模型，能够为企业选择合适的订阅
能力2：掌握 Entra ID 的核心功能，能够配置用户身份和访问管理
能力3：能够管理 Exchange Online 邮件服务，配置邮件流和安全策略
能力4：掌握 Microsoft Teams 的管理，能够配置团队和协作策略
能力5：了解 Microsoft 365 的安全与合规功能，能够配置数据保护策略

引言：生产力上云的趋势

企业协作正在从本地部署的 Exchange、SharePoint、Skype for Business 迁移到云端的 Microsoft 365。这种迁移不仅是技术架构的转变，更是工作方式的变革。员工可以在任何设备、任何地点访问企业的邮件、文档和协作工具，实现真正的移动办公。

Microsoft 365（原名 Office 365）是微软的云生产力平台，整合了 Office 应用、企业移动性+安全性（EMS）、Windows 10/11 企业版等多种服务。对于 IT 管理员来说，理解 Microsoft 365 的架构和管理方法，是支持现代数字化办公的基础。

51学通信认为：“Microsoft 365 的价值不仅在于将邮件和文档放到云端，更在于它改变了协作的方式。Teams、SharePoint、OneDrive 构成了现代协作的核心三要素，员工可以实时沟通、共同编辑、安全共享。掌握 Microsoft 365 的管理，是 IT 管理员面向未来的关键技能。“

一、Microsoft 365 概述

1.1 Microsoft 365 组成

Microsoft 365 是一套完整的云服务组合，根据目标用户的不同分为多个版本。

flowchart TD
    subgraph Microsoft_365[Microsoft 365 组成]
        subgraph 应用服务
            Office[Office Apps<br>Word/Excel/PPT]
            Outlook[Outlook<br>邮件与日历]
            Teams[Teams<br>协作平台]
            OneDrive[OneDrive<br>云存储]
            SharePoint[SharePoint<br>协作站点]
        end

        subgraph 安全与合规
            Entra[Entra ID<br>身份管理]
            Intune[Intune<br>设备管理]
            Defender[Defender<br>安全防护]
            Compliance[合规中心<br>数据治理]
        end

        sub部分域管理与工具
            Admin[管理中心<br>统一管理界面]
            PowerShell[PowerShell<br>命令行管理]
        end
    end

    Office --> Admin
    Teams --> Entra
    OneDrive --> SharePoint
    Outlook --> Compliance

    style Office fill:#ffcdd2
    style Teams fill:#fff9c4
    style Entra fill:#c8e6c9
    style Admin fill:#ff9800

图表讲解：Microsoft 365 的主要组成部分。

段落1：图中展示了 Microsoft 365 的三大类组件：应用服务、安全与合规、管理工具。应用服务是最终用户直接使用的生产力工具，包括桌面版 Office（Word、Excel、PowerPoint、Outlook 等）、Web 版 Office（通过浏览器使用）、移动版 Office（iOS、Android 应用）、Teams（协作和通信平台）、OneDrive（个人云存储）、SharePoint（团队协作站点）。

段落2：安全与合规组件是 Microsoft 365 的安全基石。Entra ID（原名 Azure Active Directory）是身份和访问管理服务，负责用户身份验证和授权。Microsoft Intune 是移动设备管理（MDM）和移动应用管理（MAM）解决方案，用于管理企业移动设备和应用。Microsoft Defender 提供端点防护、身份防护、Office 365 防护等安全功能。合规中心提供数据治理、审计、电子发现等合规工具。

段落3：管理工具包括管理中心（统一的 Web 管理界面，包含 Exchange 管理中心、Teams 管理中心、安全与合规中心等）和 PowerShell（命令行管理工具，适合批量操作和自动化）。管理员需要熟悉这两种管理方式。

1.2 订阅与许可

Microsoft 365 提供多种订阅计划，针对不同规模的企业和不同需求。

订阅计划	目标用户	包含服务
F1/F3	前线工作者	Web 版 Office、Teams、OneDrive、邮箱
E3/E5	企业员工	桌面版 Office、安全与合规、高级分析
G3/G5	政府机构	与 E3/E5 类似，针对政府定价
A1/A3/A5	教育机构	与 E3/E5 类似，针对教育定价
Business Basic/Standard/Premium	小企业	精简版服务，适合小型企业

51学通信提示：选择订阅计划时需要考虑多个因素：用户需要桌面版 Office 还是 Web 版就够了？是否需要高级安全功能（如威胁防护、数据丢失预防）？是否需要合规功能（如审计、电子发现）？是否需要语音功能（如 Teams 电话系统）？对于大多数企业，E3 是平衡的选择；对于安全要求高的企业，E5 提供完整的安全与合规功能；对于只需要基本协作的小企业，Business Basic 或 Premium 更经济。

二、Entra ID 身份管理

2.1 Entra ID 概述

Entra ID（原名 Azure Active Directory）是 Microsoft 的云端身份和访问管理（IAM）服务，是 Microsoft 365 的身份基础。

flowchart TD
    subgraph Entra_ID架构
        subgraph 身份源
            Cloud[云端用户<br>只在 Entra ID 中]
            Sync[同步用户<br>从本地 AD 同步]
            Guest[来宾用户<br>外部协作者]
            B2B[B2B 用户<br>合作伙伴用户]
        end

        subgraph 身份验证
            Password[密码认证]
            MFA[多因素认证<br>短信/应用/硬件密钥]
            SSO[单一登录<br>联邦认证]
        end

        subgraph 访问控制
            RBAC[基于角色的访问控制]
            Conditional[条件访问<br>基于规则]
            PIM[特权身份管理<br>临时特权提升]
        end
    end

    Cloud --> Password
    Sync --> Password
    Guest --> MFA
    B2B --> MFA

    Password --> RBAC
    MFA --> Conditional
    SSO --> Conditional

    RBAC --> PIM

    style Cloud fill:#ffcdd2
    style Sync fill:#fff9c4
    style Guest fill:#c8e6c9
    style MFA fill:#ff9800
    style Conditional fill:#2196f3

图表讲解：Entra ID 的身份源、身份验证和访问控制机制。

段落1：图中展示了 Entra ID 的三种主要身份源。云端用户是直接在 Entra ID 中创建的用户，仅存在于云端，适合纯云环境。同步用户是从本地 Active Directory 通过 Azure AD Connect 同步到云端的用户，适合混合云环境（本地 AD 和 Microsoft 365 共存）。来宾用户是外部用户（如合作伙伴、客户），通过 B2B 协作邀请加入企业的 Entra ID 目录。

段落2：身份验证方式包括传统的密码认证、多因素认证（MFA）和单一登录（SSO）。MFA 要求用户提供两种或多种验证方式，大大提高了账户安全性。SSO 允许用户使用一套凭据访问多个应用，提高了用户体验和安全性（因为用户不需要记住多个密码）。

段落3：访问控制机制包括基于角色的访问控制（RBAC）、条件访问（Conditional Access）和特权身份管理（PIM）。RBAC 将权限分配给角色，角色分配给用户，简化了权限管理。条件访问基于信号（如用户位置、设备状态、风险级别）动态决定访问权限，是零信任安全的核心。PIM 对高权限角色实施临时访问（Just-In-Time 权限），减少永久特权的攻击面。

2.2 配置用户和组

创建用户：

登录 Microsoft Entra 管理中心
导航到”用户” → “所有用户”
点击”新建用户”
填写用户信息（姓名、用户名、域名）
创建临时密码或让用户自行设置密码
分配许可（可选）
添加用户到组（可选）

PowerShell 创建用户：

# 连接到 MS Online 服务
Connect-MsolService
 
# 创建新用户
New-MsolUser -UserPrincipalName "[email protected]" `
    -DisplayName "张三" `
    -FirstName "三" `
    -LastName "张" `
    -Department "销售部" `
    -UsageLocation "CN" `
    -LicenseAssignment "corp:ENTERPRISEPACK"
 
# 强制用户下次登录时更改密码
Set-MsolUserPassword -UserPrincipalName "[email protected]" `
    -ForceChangePassword $true

创建组：

# 创建安全组
New-MsolGroup -DisplayName "Sales-Users" -Description "销售部门用户"
 
# 添加成员到组
Add-MsolGroupMember -GroupObjectId <GroupObjectId> `
    -GroupMemberType User -GroupMemberObjectId <UserObjectId>

2.3 配置条件访问

条件访问是 Microsoft 365 安全的核心功能，基于信号动态控制访问。

flowchart TD
    subgraph 条件访问策略
        Signal[访问信号<br>用户/设备/位置/应用/风险]
        Decision[访问决策<br>允许/拒绝/限制]
        Action[访问动作<br>授予访问、阻止访问<br>要求 MFA、限制设备]
    end

    subgraph 典型策略示例
        MFA_Policy[高风险用户要求 MFA<br>当用户风险等级为高时<br>要求多因素认证]
        Location_Policy[信任位置例外<br>从公司网络访问时<br>跳过某些要求]
        Device_Policy[合规设备要求<br>设备必须符合<br>Intune 合规策略]
        App_Policy[敏感应用保护<br>访问 SharePoint 管理员<br>需要合规设备 + MFA]
    end

    Signal --> Decision
    Decision --> Action

    Signal --> MFA_Policy
    Signal --> Location_Policy
    Signal --> Device_Policy
    Signal --> App_Policy

    style Signal fill:#ffcdd2
    style Decision fill:#fff9c4
    style Action fill:#c8e6c9
    style MFA_Policy fill:#ff9800
    style Device_Policy fill:#2196f3

图表讲解：条件访问的工作原理和典型策略。

段落1：图中展示了条件访问策略的核心要素。当用户尝试访问 Microsoft 365 服务时，系统会收集多种访问信号，包括用户身份（谁）、设备类型（什么设备）、设备状态（是否受管理、是否合规）、位置（IP 地址、国家/地区）、应用程序（访问什么服务）、风险级别（用户风险、登录风险）等。基于这些信号，条件访问策略会做出访问决策：允许访问、拒绝访问、或允许但有条件（如要求 MFA）。

段落2：典型策略包括高风险用户要求 MFA（当 Microsoft Defender for Identity 检测到用户账户可能受损时，自动要求 MFA）、信任位置例外（从公司网络访问时跳过 MFA，从外部访问时要求 MFA）、合规设备要求（设备必须由 Intune 管理、安装最新更新、未越狱或 root）、敏感应用保护（访问敏感数据（如财务信息）时，需要合规设备 + MFA）。

段落3：配置条件访问策略的最佳实践：从低风险策略开始（如要求管理员使用 MFA），逐步推广到所有用户；使用”报告仅”模式测试策略，确认无意外影响后再启用；使用”条件访问模板”快速部署常见策略；定期审查策略，移除过时的策略；使用”条件访问命名位置”定义受信任的网络位置。

三、Exchange Online 邮件服务

3.1 Exchange Online 概述

Exchange Online 是微软的企业级邮件服务，提供电子邮件、日历、联系人和任务管理功能。

flowchart TD
    subgraph Exchange_Online[Exchange Online 架构]
        subgraph 访问协议
            OWA[OWA<br>Web 浏览器]
            Outlook[Outlook 桌面版<br>Exchange 协议]
            ActiveSync[ActiveSync<br>移动设备]
            POP_IMAP[POP/IMAP<br>传统协议]
        end

        sub部分据存储
            Mailbox[邮箱<br>主要数据]
            Archive[存档邮箱<br>长期存储]
        end

        sub部分输保护
            DLP[数据丢失预防]
            Encryption[加密<br>Office 365 邮件加密]
            Journal[日志记录]
        end
    end

    OWA --> Mailbox
    Outlook --> Mailbox
    ActiveSync --> Mailbox
    POP_IMAP --> Mailbox

    Mailbox --> Archive
    Mailbox --> DLP
    Mailbox --> Encryption
    Mailbox --> Journal

    style Mailbox fill:#4caf50
    style Archive fill:#8bc34a
    style DLP fill:#ff9800
    style Encryption fill:#2196f3

图表讲解：Exchange Online 的访问协议、存储和数据保护功能。

段落1：图中展示了用户访问 Exchange Online 邮箱的多种协议。OWA（Outlook Web App，现称 Outlook on the Web）允许用户通过 Web 浏览器访问邮件、日历和联系人，无需安装客户端，适合移动办公和临时访问。Outlook 桌面版是最常用的邮件客户端，通过 Exchange 协议（MAPI over HTTP）提供完整的邮件和协作功能。ActiveSync 是移动设备的同步协议，支持 iOS、Android 等，提供邮件、日历、联系人和任务的同步。POP/IMAP 是传统协议，IMAP 支持多设备同步，POP 只能在单台设备上访问邮件。

段落2：每个用户邮箱有容量限制（根据订阅计划不同，从 50GB 到 100GB 不等）。当邮箱接近容量限制时，可以启用存档邮箱，将旧邮件自动移动到存档邮箱。存档邮箱可以设置为无限容量（需要 E5 或 Archive 加载项），适合有长期保留要求的场景（如法律、合规）。

段落3：Exchange Online 提供丰富的数据保护功能。数据丢失预防（DLP）策略可以识别敏感信息（如信用卡号、身份证号）并防止泄露（如阻止发送到外部邮箱）。Office 365 邮件加密（OME）允许用户发送加密邮件，收件人可以通过 OneTimePasscode 或 Microsoft 账户解密。日志记录记录所有邮件的发送、接收和交付事件，用于审计和合规。

3.2 邮件流配置

配置 Exchange Online 邮件流的关键任务包括：配置域名、添加 MX 记录、配置连接器。

配置域名和 MX 记录：

1. 在 Microsoft 365 管理中心添加自定义域名（如 corp.contoso.com）
2. 验证域名所有权（添加 TXT 记录或 MX 记录）
3. DNS 提供商处添加 MX 记录：
   corp.contoso.com.  IN  MX  10  corp-contoso-com.mail.protection.outlook.com.
4. 添加 SPF 记录防止邮件伪造：
   corp.contoso.com.  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
5. 可选：添加 DKIM 和 DMARC 记录

配置邮件连接器：

# 连接到 Exchange Online
Connect-ExchangeOnline
 
# 创建入站连接器（从本地邮件网关到 Exchange Online）
New-InboundConnector -Name "On-Premises to Exchange Online" `
    -ConnectorType OnPremises `
    -SenderDomains *.contoso.com `
    -SenderIPRanges 192.0.2.0/24
 
# 创建出站连接器（从 Exchange Online 到本地邮件网关）
New-OutboundConnector -Name "Exchange Online to On-Premises" `
    -RecipientDomains contoso.com `
    -SmartHosts mail.contoso.com `
    -TlsSettings CertificateValidation

51学通信站长爱卫生的经验：“邮件流配置是 Microsoft 365 迁移中最关键的环节。配置错误会导致邮件丢失或延迟。建议在切换 MX 记录前，先验证连接器配置是否正确，使用 Test-MailFlow 工具测试邮件流。MX 记录切换后，持续监控邮件队列和投递报告，确保邮件正常流动。另外，不要忘记配置 SPF、DKIM 和 DMARC，这些是防止域名被仿冒的重要机制。“

四、Microsoft Teams 管理

4.1 Teams 概述

Microsoft Teams 是微软的企业协作平台，整合了聊天、会议、文件协作和应用集成。

flowchart TD
    subgraph Teams[Teams 核心组件]
        subgraph 沟通
            Chat[聊天<br>一对一/群组]
            Channel[频道<br>持久化对话]
            Meeting[会议<br>音视频/屏幕共享]
            Call[通话<br>PSTN 整合]
        end

        sub分协作
            Files[文件<br>SharePoint/OneDrive]
            Wiki[Wiki<br>知识库]
            Tab[选项卡<br>应用嵌入]
            App[应用<br>第三方集成]
        end

        sub分安全
        - Membership[成员身份]
        - Guest[来宾访问]
        - Private[私有频道]
        end
    end

    Chat --> Channel
    Channel --> Files
    Meeting --> Files
    Call --> Files

    Files --> Wiki
    Files --> Tab
    Tab --> App

    Channel --> Membership
    Channel --> Guest
    Channel --> Private

    style Chat fill:#ffcdd2
    style Channel fill:#fff9c4
    style Files fill:#c8e6c9
    style App fill:#bbdefb

图表讲解：Teams 的核心功能模块。

段落1：图中展示了 Teams 的四大功能类别。沟通功能包括一对一和群组聊天、频道（持久化的对话线程，组织在团队中）、会议（音视频会议、屏幕共享、录制、转录）、通话（与传统电话系统的整合，需要 Teams Phone 许可）。沟通功能支持实时和异步沟通，适合不同场景。

段落2：协作功能围绕文件展开。Teams 中的每个文件实际存储在 SharePoint（团队文件）或 OneDrive（私人文件）中，提供强大的协作编辑能力（多人同时编辑、版本控制、自动保存）。Wiki 是团队知识库，可以记录重要信息、流程文档。选项卡允许将应用、网站、文档嵌入频道，提供定制化的工作空间。应用集成支持第三方应用（如 Trello、Asana、GitHub）和自定义应用。

段落3：安全功能控制谁可以访问什么。成员身份控制谁可以加入团队（公开团队任何人都可以加入，私有团队需要所有者批准）。来宾访问允许外部用户（合作伙伴、客户）参与 Teams 协作。私有频道提供更严格的访问控制，只有特定成员才能看到频道内容和成员列表。

4.2 Teams 管理任务

创建团队：

# 连接到 Teams PowerShell
Connect-MicrosoftTeams
 
# 创建团队
New-Team -DisplayName "销售部" `
    -Description "销售部门协作空间" `
    -Owner "[email protected]" `
    -Visibility Private
 
# 添加成员
Add-TeamUser -GroupId <GroupId> `
    -User "[email protected]" `
    -Role Member

管理团队策略：

# 允许来宾访问
Set-CsTeamsClientConfiguration -AllowGuest $true
 
# 配置会议策略
New-CsTeamsMeetingPolicy -Name "SalesMeetingPolicy" `
    -AllowIPVideo $true `
    -AllowScreenSharing $true
 
# 分配策略给用户
Grant-CsTeamsMeetingPolicy -PolicyName "SalesMeetingPolicy" `
    -Identity "[email protected]"

五、安全与合规

5.1 数据保护策略

Microsoft 365 提供多层次的数据保护机制。

flowchart TD
    subgraph 数据保护
        subgraph 身份保护
            MFA[多因素认证<br>降低账户入侵风险]
            CAS[条件访问<br>动态访问控制]
            PIM[PIM<br>特权访问管理]
        end

        sub分信息保护
            MIP[MIP 标签<br>分类、标记、保护]
            DLP[DLP 策略<br>防止数据泄露]
            Encryption[加密<br>传输和存储加密]
        end

        sub部分署治理
        Audit[审计日志<br>记录所有活动]
        eDiscovery[电子发现<br>法律调查]
        Retention[保留策略<br>自动保留/删除]
        end
    end

    MFA --> CAS
    CAS --> PIM

    MIP --> DLP
    DLP --> Encryption

    Audit --> eDiscovery
    eDiscovery --> Retention

    style MFA fill:#ffcdd2
    style MIP fill:#fff9c4
    style Audit fill:#c8e6c9

图表讲解：Microsoft 365 的数据保护框架。

段落1：身份保护是第一道防线。多因素认证要求用户提供多种验证方式，大大降低了密码泄露导致的账户入侵风险。条件访问基于信号动态控制访问，实现零信任安全模型（永不信任，始终验证）。特权身份管理（PIM）对管理员权限实施临时访问，减少永久特权的暴露时间。

段落2：信息保护确保数据无论在何处（Exchange、SharePoint、OneDrive、Teams）都受到保护。Microsoft 信息保护（MIP）标签允许对文档和电子邮件进行分类、标记和保护。标签可以配置加密、水印、限制访问等保护措施。数据丢失预防（DLP）策略检测敏感数据（如信用卡号、身份证号）的泄露行为（如发送到外部邮箱、复制到 USB），并可以阻止、记录或通知。

段落3：部署治理功能满足合规要求。审计日志记录 Microsoft 365 中的所有活动（用户登录、文件访问、策略更改等），保留至少 90 天（最长可保留 10 年）。电子发现（eDiscovery）允许法律和安全团队搜索、保留和导出相关数据（用于诉讼或调查）。保留策略自动保留或删除数据，满足法规要求（如 GDPR、SOX）。

六、总结

本文系统介绍了 Microsoft 365 企业协作平台的核心管理功能，主要内容包括：

Microsoft 365 概述：理解订阅计划和许可模型，选择合适的订阅
Entra ID：掌握身份和访问管理的核心功能，配置用户、组和条件访问
Exchange Online：能够管理邮件服务，配置邮件流和安全策略
Microsoft Teams：掌握 Teams 的管理和策略配置
安全与合规：了解数据保护、审计、电子发现等合规功能

Microsoft 365 代表了企业生产力上云的趋势。理解 Microsoft 365 的管理，对于支持现代数字化办公至关重要。无论是纯云环境还是混合云环境，Microsoft 365 都提供了完整的协作和安全解决方案。

51学通信认为：“Microsoft 365 的价值不仅在于将邮件和文档放到云端，更在于它改变了协作的方式。Teams、SharePoint、OneDrive 构成了现代协作的核心三要素，员工可以实时沟通、共同编辑、安全共享。掌握 Microsoft 365 的管理，是 IT 管理员面向未来的关键技能。”

下一篇将深入探讨 Linux 服务器网络配置，帮助你掌握开源平台的运维技能，构建混合云环境下的全面技术能力。

常见问题解答

Q1：应该选择纯云环境还是混合环境（本地 AD + Entra ID）？

答：纯云环境还是混合环境的选择取决于企业的现有 IT 投资、合规要求和迁移策略。纯云环境（所有身份都在 Entra ID 中）的优势包括：管理简单（无需维护本地 AD 服务器）、快速部署（几分钟即可创建新用户）、自动更新（微软负责安全和功能更新）、降低成本（无需本地服务器硬件和软件）。纯云环境适合新公司、没有本地 AD 依赖的公司、完全拥抱云的公司。

混合环境（保留本地 AD，通过 Azure AD Connect 同步到 Entra ID）的优势包括：保留现有投资、支持依赖本地 AD 的应用（如某些旧系统）、满足数据驻留要求（某些数据必须保留在本地）、逐步迁移（可以按节奏将工作负载迁移到云端）。混合环境适合有成熟本地 AD 环境、有合规要求、希望逐步云迁移的企业。

选择建议：对于新成立的公司或没有复杂本地 IT 环境的公司，直接选择纯云环境，避免混合环境的复杂性和成本。对于有成熟本地 AD 环境的大型企业，混合环境是现实选择，可以逐步迁移。无论哪种环境，最终用户都可以无缝使用 Microsoft 365 服务（通过联邦身份验证）。长期来看，随着云原生应用的增多，纯云环境会越来越成为主流。

Q2：如何有效管理 Microsoft 365 的许可？避免浪费又不影响用户？

答：Microsoft 365 许可管理是企业 IT 成本的重要组成部分，有效管理可以避免浪费。首先，定期审查许可使用情况，使用 Microsoft 365 管理中心的”许可”页面查看每个许可的分配情况，识别未使用的许可（分配给已离职员工或测试账户）。其次，使用基于组的许可授权（License Assignment via Groups），将许可分配给安全组，通过管理组成员来间接管理许可，这样可以避免手动管理单个用户。

第三，对于临时用户（如实习生、承包商），考虑使用按需付费或访客许可，而不是长期分配完整许可。第四，对于不需要完整功能的用户（如只需要邮件的前线员工），考虑 F1/F3 许可而不是 E3/E5，F1/F3 成本更低且满足基本需求。第五，使用”许可试用”功能让用户试用高级功能（如 E5 的高级安全功能），确认有真实需求后再购买。

51学通信提示：许可管理的核心是”按需分配”。不要给所有用户分配最昂贵的许可，而是根据实际工作需求分配。定期（每季度）审查许可分配情况，移除不再需要的许可。考虑使用 Microsoft 365 的”动态许可”功能（基于用户属性自动分配许可），可以进一步简化管理。最后，保留少量（5-10%）的缓冲许可，应对临时需求和用户增长。

Q3：Teams 使用中常见的问题是什么？如何优化 Teams 性能？

答：Teams 使用中的常见问题包括性能问题（卡顿、延迟）、音频/视频质量问题、网络带宽问题、Teams 与 Outlook 集成问题、用户采用问题（用户不愿从 Skype for Business 迁移）。性能优化包括客户端优化（确保客户端是最新版本，禁用不必要的 GPU 加速）、网络优化（确保足够的带宽、优化 QoS 策略）、Teams 管理优化（优化团队和频道数量，避免过多的活跃通知）。

网络带宽规划：语音通话需要约 100 Kbps，视频通话（标清）需要约 500 Kbps，视频通话（高清）需要约 2 Mbps，屏幕共享需要约 2-4 Mbps。计算并发用户数和峰值使用场景，确保企业网络带宽足够。配置 QoS 策略，优先保障 Teams 流量。对于远程用户，建议使用 VPN 分离（Split Tunneling），Teams 流量直接访问互联网，不通过 VPN，减少延迟和 VPN 网关负载。

音频/视频质量问题通常由网络问题（延迟、丢包、抖动）或设备问题（麦克风、摄像头）引起。使用 Teams 的网络评估工具（https://www.microsoft.com/zh-cn/microsoft-365/comm/network/）评估网络就绪性。使用 Teams 管理中心的呼叫质量分析仪表板查看通话质量数据（网络延迟、包丢失、设备质量），定位问题根源。建议用户使用有线网络而非 Wi-Fi 进行重要会议，使用认证的音频和视频设备（如 Teams Rooms 设备）而非自带设备。

用户采用问题需要通过培训和沟通解决。强调 Teams 的优势（与 Office 文档的集成、频道对话比邮件更适合持久化协作）、提供使用指南和最佳实践、识别并培养内部倡导者（power users）。考虑运行”试用计划”或”冠军计划”，让早期用户帮助推广。

Q4：如何保护 Microsoft 365 中的敏感数据？应该使用哪些安全功能？

答：保护 Microsoft 365 中的敏感数据需要多层次的安全策略。第一层是身份保护：启用多因素认证（MFA），特别是对管理员和高风险用户；配置条件访问策略，基于用户、设备、位置、风险级别动态控制访问；实施特权身份管理（PIM），对管理员角色实施临时访问。第二层是信息保护：使用 Microsoft 信息保护（MIP）标签对文档和电子邮件进行分类和保护；配置 DLP 策略，检测和防止敏感数据泄露；启用 Office 365 邮件加密（OME），保护发送到外部的敏感邮件。

第三层是威胁防护：启用 Microsoft Defender for Office 365，保护钓鱼邮件、恶意软件、垃圾邮件；配置安全链接（Safe Links），保护用户免受恶意 URL；配置安全附件（Safe Attachments），在虚拟环境中检查附件。第四层是合规监控：启用审计日志，记录所有活动；配置保留策略，确保数据按照法规要求保留；使用电子发现工具，支持法律调查和审计。

MIP 标签是信息保护的核心。建议创建符合业务需求的标签：个人（仅供个人使用）、内部（只能内部访问）、机密（包含敏感信息）、高度机密（最敏感数据，需要加密和保护）。为每个标签配置保护设置（加密、水印、权限限制）。培训用户识别和正确使用标签。配置自动标签策略（基于内容模式自动建议或应用标签），减轻用户负担。

51学通信建议：安全配置应该遵循”纵深防御”原则，没有任何单一安全措施是完美的。从身份、设备、数据、应用多个层面实施保护。定期进行安全评估（使用 Microsoft Secure Score 评估安全就绪程度），持续改进安全配置。对于安全要求高的行业（如金融、医疗），考虑使用 Microsoft 365 E5 许可，它包含完整的高级安全和合规功能。

Q5：如何从本地 Exchange 迁移到 Exchange Online？迁移过程中需要注意什么？

答：从本地 Exchange 迁移到 Exchange Online 是常见的企业上云场景。迁移方法主要有三种：直接转换迁移（Cutover，一次性迁移所有邮箱）、混合迁移（Hybrid，本地和云端共存一段时间）、IMAP 迁移（只迁移邮件，不迁移日历和联系人）。对于大多数企业，混合迁移是推荐的选择，因为可以逐步迁移用户，保持业务连续性，并在迁移期间保持本地和云端邮件系统的同步。

混合迁移的核心是部署混合配置向导（Hybrid Configuration Wizard），它配置本地 Exchange 和 Exchange Online 之间的信任关系、邮件流同步、日历忙碌信息共享等。混合部署后，可以在 Exchange 管理中心使用迁移批处理（Migration Batches）移动邮箱。迁移过程中，用户可以继续使用本地邮箱，迁移完成后自动切换到云端邮箱，用户几乎无感知。

迁移注意事项：评估本地 Exchange 版本（需要 Exchange 2010 或更高版本）、评估邮箱数量和总大小、评估网络带宽（特别是在多个并发迁移时）、规划迁移批处理（按部门或用户数量分批）、通知用户迁移时间和预期停机（虽然混合迁移的停机时间很短，但用户需要重新配置 Outlook）、迁移后验证（检查邮件、日历、联系人是否完整）。

迁移后任务：将 MX 记录切换到 Exchange Online（如果之前是指向本地邮件网关）、删除本地 Exchange 服务器（或保留用于特定应用）、配置 SPF、DKIM、DMARC 记录以指向 Exchange Online、通知用户更新移动设备上的邮件配置、清理旧的服务器资源。

本文由”51学通信”（公众号：51学通信，站长：爱卫生）原创分享。如需深入交流或获取更多通信技术资料，欢迎添加微信：gprshome201101。

51学通信

探索

08-Microsoft_365与企业协作