Шаг 5. Настройка доступа к операционным службам

Взаимодействие всех служб и клиента является ключом к бесперебойной работе. В этой статье описываются рекомендации по настройке доступа к таким службам, как SharePoint, OneDrive, Exchange Online и Teams, а также развертывание административных единиц. Эти административные единицы являются облачной версией локальных подразделений организации и помогают организовать учащихся и ресурсы организации.

Роли и обязанности.

  • ИТ-Администратор
  • Администратор удостоверений

Блокировка группы Microsoft 365, сайта SharePoint и создания команды для учащихся

Корпорация Майкрософт рекомендует блокировать создание групп для учащихся в организациях K12, чтобы предотвратить неуправляемое и неуправляемое взаимодействие и совместную работу между учащимися. Для этого сначала создайте группу, в которой указываются все пользователи, которые должны иметь возможность создавать группы, например сотрудники и преподаватели. Затем вы запустите скрипт по этой ссылке. Кроме того, администраторы также могут отключить возможность создания сайтов пользователями, отключив параметр создания сайтов в Центре Администратор SharePoint Online. Узнайте больше об управлении тем, кто может создавать группы Microsoft 365.

Примечание.

Учащиеся часто не требуют этого разрешения, и ограничить его подмножеством преподавателей часто достаточно. После блокировки этого разрешения ИТ-администраторы могут убедиться, что их стратегия управления данными и хранилищем может быть эффективной, а непредвиденные затраты, связанные с хранилищем, не будут неожиданно затронуты созданием новой группы, команды и сайта. Это также гарантирует, что учащиеся всегда работают в этих пространствах общения и совместной работы с преподавателем, сотрудником или преподавателем, чтобы обеспечить надлежащий контроль и защиту, предотвращая вектор кибер-издевательств и других потенциальных вреда.

Ограничение доступа к центру Microsoft Entra Администратор

Корпорация Майкрософт рекомендует включить этот параметр для клиентов K12 и высших учебных заведений, чтобы запретить конечным пользователям доступ к центру Microsoft Entra Администратор и упростить просмотр каталога. Этот параметр находится в центре Microsoft Entra Администратор в разделе Удостоверения пользователи >> Параметры пользователя. Дополнительные сведения.

Примечание.

Учащимся и преподавателям обычно не требуется доступ к центру Администратор, а некоторые учебные заведения рассматривают широкий доступ к каталогам как нарушение конфиденциальности. Ограничение доступа к Центру Администратор Entra — это простой способ внедрения и поддержания принципа наименьших привилегий и соблюдения требований к конфиденциальности данных учащихся в M365.

Развертывание административных единиц

Административные единицы — это особый тип группы или контейнера в Microsoft 365, который может содержать пользователей, группы или устройства. После настройки можно назначить определенные роли администратора только область административной единицы, а не предоставлять разрешение администратора для всего клиента и каталога. Это полезно и рекомендуется для средних и крупных клиентов K12 и высшего образования Microsoft 365, чтобы сократить предоставляемые административные разрешения и обеспечить администраторам только необходимые разрешения для конкретных область. Эта общая концепция и принцип безопасности называется доступом с наименьшими привилегиями. Для K12 корпорация Майкрософт рекомендует развернуть административную единицу для каждого учебного заведения и уровня класса. Для высшего образования корпорация Майкрософт рекомендует как минимум развернуть административную единицу для каждого курса, кампуса или колледжа в более широкой университетской системе. Дополнительные сведения.

Примечание.

Административные единицы имеют постоянно расширяющийся набор вариантов использования, что позволяет ИТ-администраторам защищать подмножества своих часто больших групп учащихся и преподавателей и каталогов, а также управлять ими. Они позволяют детализировать распределение разрешений среди преподавателей и позволяют делегировать административные задачи более низкого уровня до уровня учебного заведения, а не обрабатывать все задачи администрирования и операций на центральном уровне ИТ. Многие образовательные организации сталкиваются с ограниченным бюджетом, поэтому разгрузка некоторых из этого времени и усилий может быть полезной, что позволит ИТ-Администратор EDU сосредоточиться на более крупных и наиболее стратегических административных задачах.

Развертывание атрибутов образования, таких как роль пользователя, оценка и идентификатор учебного заведения

Корпорация Майкрософт рекомендует всем клиентам образовательных учреждений развертывать для пользователей основные атрибуты расширения, которые предоставляют контекст образования в каталоге. Основные атрибуты включают роль пользователя, оценку и идентификатор учебного заведения. Эти атрибуты могут быть полезны для таких задач, как развертывание динамических групп безопасности и общее управление операциями Microsoft 365 с помощью PowerShell. Поэтому часто командлеты PowerShell должны быть ориентированы на подмножества пользователей, и возможность фильтровать командлеты на основе предопределенного атрибута может сэкономить администраторам много времени в процессе управления клиентами Microsoft 365. Эти атрибуты можно задать непосредственно с помощью school data Sync (SDS) или ЧЕРЕЗ API-интерфейсы MS Graph.

Примечание.

Этот шаг помогает образовательным организациям создавать группы безопасности, административные подразделения, группы Microsoft 365 и команды, необходимые для успешного выполнения. Эти атрибуты также помогают выполнять запросы и отчеты на основе PowerShell, предоставляя контекстные сведения о пользователях, чтобы сосредоточить запрос при их выполнении в крупных организациях и каталогах, экономя время ИТ-администраторов и предоставляя более простой способ управления средой в большом масштабе.

Дальнейшие действия

Теперь вы готовы к просмотру процесса жизненного цикла.

Далее: Настройка жизненного цикла удостоверения>

  • Last updated on