Office 365中的外部共享规划

在Office 365中，我把“共享”这个行为定义为如下的操作：
1.通过邮件内容或者附件的形式将信息和数据传递给组织内外的成员
2.邀请内外部成员到组织内，对特定的文件有指定访问权限

Office 365中本身无法禁用内部共享，只能用权限将人/组隔离开来，本文侧重于外部共享的规划。
注：暂且先不讨论通过邮件发送文件的分享情况。

外部共享，又或者叫邀请访客严格上是利用了Azure B2B这个机制。（在我另一篇文章中有提到–https://blog.csdn.net/weixin_44669829/article/details/99698057）

Office 365中几乎所有的软件都是可以做分享的：
1.SharePoint Online
2.OneDrive for Business
3.Microsoft Teams
4.Yammer
5.Power BI
6.OneNote
7.Office ProPlus(基于邮件或者OneDrive的共享)
8.Stream(这个暂不支持外部共享)
等等其他

但是呢，在Office 365里他们没有自己统一设置的地方(这里指所有的共享设置都在一个图形化界面中)。我们假设管理员设置了不允许Power BI做外部共享，但是没有限制其他的软件，用户可以导出元数据，或者仪表盘中的任何一张图表的数据然后通过邮件，或者SharePoint等其他软件分享给外部用户。这个会造成一些小问题。

比如Teams设置域名黑名单/白名单的方式是通过PowerShell，而SharePoint的话可以直接在图形化界面设置。但是很多企业管理员会忽视这一点，也就是统一外部共享策略：
1.统计所有的黑白名单域名，确定些服务需要设置外部共享
2.定义数据放丢失保护策略并部署Azure信息保护策略
3.对已邀请的访客账户设置相应的认证机制–比如多重身份验证
4.使用Cloud App Security来监视/禁止共享行为
5.培训最终用户关于公司的IT策略

Azure Active Directory中的确有设置针对外部访客的策略：

以上的策略有些可以横跨所有的Office 365服务，有些不行。主要是针对的情况不一样，比如发邮件Pin码来确认身份的这条设置，SharePoint就会受到影响，但是Teams不会。

现在看一下最下面一项的域的黑白名单设置，虽然我已经设置了不允许邀请qq.com，但是我在SharePoint里仍然可以邀请使用qq邮箱的用户。因为这个域名并不在SharePoint的黑名单里。

这里注意，SharePoint的共享策略最为复杂，其他软件基本只有开关配合限制域两个功能，但是SharePoint分了好几个级别。具体可参考我另一篇讲SharePoint规划的博客–https://blog.csdn.net/weixin_44669829/article/details/99118129

所以如果你已经部署或者将要部署Office 365的话，一定先要把这个黑白名单统一设置好。
至于哪些软件需要启用外部共享，这个不同的企业要求不一样，但是我建议如果不去使用某个软件，可以吊销这个软件的许可证，比如不适用Power BI，直接不分配Power BI的许可就好，这样就无需担忧管理问题。

后面的四点：
2.定义数据放丢失保护策略并部署Azure信息保护策略
3.对已邀请的访客账户设置相应的认证机制–比如多重身份验证
4.使用Cloud App Security来监视/禁止共享行为
5.培训最终用户关于公司的IT策略

这个已经或者会在其他的博文中提到具体的操作。