Administracja Microsoft 365. Co obejmuje
stała opieka nad tenantem?

Microsoft 365 działa w chmurze, więc serwerów nie trzeba aktualizować, wymieniać dysków ani pilnować macierzy. Czy to oznacza, że środowisko nie wymaga administracji?

Nie.

Microsoft odpowiada za działanie swojej platformy. Firma nadal odpowiada za to, kto ma dostęp do danych, jakie posiada uprawnienia, czy włączone jest MFA, jak skonfigurowana jest poczta, kto może udostępniać dokumenty na zewnątrz i czy były pracownik nadal posiada aktywne konto.

Do tego dochodzą licencje, Exchange Online, Teams, SharePoint, OneDrive, Entra ID, urządzenia, alerty bezpieczeństwa i polityki dostępu.

Dlatego Microsoft 365 nie powinien być traktowany jako usługa, którą konfigurujemy raz i zostawiamy na kilka lat. Dobrze zarządzany tenant wymaga stałej opieki.

Czym jest tenant Microsoft 365?

Tenant to wydzielone środowisko Microsoft przypisane do konkretnej organizacji. Znajdują się w nim między innymi:

Można powiedzieć, że jest to cyfrowe środowisko firmy działające w usługach Microsoft. Problem polega na tym, że wraz z rozwojem organizacji tenant również się zmienia.

Przychodzą nowi pracownicy. Inni odchodzą. Powstają nowe zespoły. Tworzone są kolejne witryny SharePoint. Dodawane są aplikacje. Zmieniają się licencje. Pojawiają się goście. Administratorzy tworzą wyjątki.

Po kilku latach konfiguracja może wyglądać zupełnie inaczej niż w dniu wdrożenia.

Microsoft 365 nie administruje się sam

To jeden z najczęstszych błędów w podejściu do usług chmurowych. Automatycznie aktualizowana infrastruktura nie oznacza automatycznie bezpiecznej konfiguracji. Microsoft nie zdecyduje za firmę:

To są decyzje organizacyjne i administracyjne. Ktoś musi nad nimi panować.

Co obejmuje stała administracja Microsoft 365?

Zakres powinien być dopasowany do firmy, ale w praktyce opieka obejmuje kilka głównych obszarów.

1. Microsoft Entra ID i zarządzanie tożsamością

Tożsamość jest dziś jednym z najważniejszych elementów bezpieczeństwa. Jeżeli atakujący przejmie konto użytkownika, może nie potrzebować żadnego malware - może po prostu zalogować się do poczty, Teams, OneDrive, SharePoint i innych usług powiązanych z kontem.

Dlatego stała administracja obejmuje między innymi:

Szczególnie ważny jest proces odejścia pracownika. Nie powinien polegać tylko na usunięciu licencji - trzeba również przeanalizować aktywne sesje, urządzenia, MFA, dostęp do SharePoint, członkostwo w grupach, skrzynkę pocztową, OneDrive i aplikacje zewnętrzne.

2. MFA

MFA powinno być jednym z pierwszych zabezpieczeń wdrażanych w Microsoft 365. Dotyczy to nie tylko administratorów - każde konto może stać się punktem wejścia do środowiska. Stała opieka obejmuje między innymi sprawdzanie pokrycia MFA, konfigurację metod uwierzytelniania, eliminowanie niepotrzebnych wyjątków, pomoc przy zmianie telefonu użytkownika oraz kontrolę kont uprzywilejowanych.

Samo włączenie MFA kilka lat temu nie oznacza jeszcze, że konfiguracja jest dziś optymalna.

3. Conditional Access

W bardziej rozbudowanych środowiskach bardzo ważną warstwą jest Conditional Access. Pozwala definiować zasady dostępu zależnie od użytkownika, aplikacji, lokalizacji, urządzenia, poziomu ryzyka i sposobu uwierzytelnienia. Przykładowo możemy wymagać MFA dla logowań spoza biura albo zablokować określone scenariusze dostępu.

Stała administracja obejmuje utrzymanie polityk, analizę wyjątków, testowanie zmian i przegląd ich skuteczności. Zbyt agresywna polityka może zablokować pracę użytkowników. Zbyt łagodna nie daje oczekiwanej ochrony. Więcej o tym mechanizmie piszemy w artykule Conditional Access w Microsoft 365.

4. Role administracyjne

Jednym z częściej spotykanych problemów jest zbyt duża liczba kont z wysokimi uprawnieniami.

Dobrą praktyką jest ograniczanie uprawnień zgodnie z zasadą least privilege. Administrator powinien posiadać tylko te uprawnienia, które są rzeczywiście potrzebne. Warto również stosować osobne konto do codziennej pracy i osobne konto administracyjne.

5. Exchange Online

Poczta jest zwykle jednym z najbardziej krytycznych systemów firmy. Administracja Exchange Online obejmuje między innymi:

Szczególnie istotne jest monitorowanie automatycznych przekierowań wiadomości. Atakujący po przejęciu skrzynki często tworzą reguły ukrywające lub przekazujące interesującą ich korespondencję.

Więcej o zabezpieczaniu poczty piszemy w artykule jak zabezpieczyć firmową pocztę przed przejęciem.

6. SPF, DKIM i DMARC

Stała administracja pocztą powinna obejmować również ochronę domeny przed podszywaniem się. Podstawowe mechanizmy to:

Sama konfiguracja rekordów to nie wszystko. Trzeba również uważać na systemy zewnętrzne wysyłające pocztę w imieniu firmy, na przykład ERP, CRM, newsletter, system faktur, helpdesk czy urządzenia wielofunkcyjne.

7. Teams

Microsoft Teams z czasem potrafi wygenerować spory bałagan. Powstają zespoły projektowe, kanały, zespoły tymczasowe, grupy testowe i zespoły byłych pracowników. Po kilku latach część z nich nie ma właściciela, część nie jest używana, a część posiada nieaktualne uprawnienia.

Administracja może obejmować tworzenie zespołów, zarządzanie właścicielami, konta gości, polityki spotkań, dostęp do aplikacji oraz porządkowanie nieaktywnych zespołów.

8. SharePoint i OneDrive

Tutaj często znajduje się ogromna część firmowych danych. Największe ryzyko dotyczy zwykle nie samego przechowywania danych, ale dostępu do nich. Warto kontrolować:

W praktyce po kilku latach może istnieć znacznie więcej udostępnień niż ktokolwiek w firmie pamięta.

9. Użytkownicy zewnętrzni i goście

Microsoft 365 bardzo ułatwia współpracę z kontrahentami. To duża zaleta. Ale konto gościa dodane na potrzeby trzymiesięcznego projektu może pozostać aktywne przez kilka kolejnych lat. Dlatego warto okresowo sprawdzać aktywnych gości, ostatnie logowania, przynależność do zespołów, dostęp do SharePoint i właścicieli zaproszeń.

Dostęp zewnętrzny powinien mieć swój cykl życia.

10. Licencje Microsoft 365

Licencje są jednym z obszarów, w których bardzo łatwo tracić pieniądze. Typowe problemy to licencja przypisana do byłego pracownika, zbyt wysoki plan dla użytkownika, funkcje kupione, ale niewykorzystywane, oraz licencje dodawane bez okresowego przeglądu.

Przy kilkunastu osobach straty mogą być niewielkie. Przy 100 użytkownikach kilka źle dobranych licencji potrafi już generować zauważalne koszty każdego miesiąca. Stała administracja powinna obejmować okresowy przegląd wykorzystania licencji - nie chodzi o wybieranie zawsze najtańszego planu, tylko o dopasowanie licencji do rzeczywistych potrzeb.

11. Intune i zarządzanie urządzeniami

Jeżeli organizacja wykorzystuje Microsoft Intune, zakres administracji rozszerza się o urządzenia: komputery Windows, urządzenia mobilne, zgodność urządzeń, BitLocker, konfigurację systemu, instalację aplikacji i polityki bezpieczeństwa.

Daje to szczególnie dużą wartość w środowiskach hybrydowych, zdalnych i wykorzystujących laptopy poza biurem. Użytkownik może pracować z domu, ale firma nadal zachowuje kontrolę nad bezpieczeństwem urządzenia.

12. Bezpieczeństwo i alerty

Microsoft 365 generuje ogromną ilość informacji dotyczących bezpieczeństwa. Problemem nie jest więc brak danych - problemem jest ustalenie, które z nich są ważne. Warto obserwować między innymi:

Samo posiadanie portalu bezpieczeństwa nie daje ochrony. Ktoś musi sprawdzać, co się w nim dzieje.

13. Microsoft Defender

W zależności od posiadanych licencji środowisko może korzystać z różnych elementów rodziny Microsoft Defender, obejmujących ochronę poczty, tożsamości, endpointów i aplikacji chmurowych.

Stała administracja może obejmować konfigurację polityk, analizę alertów, reakcję na incydenty, dostrajanie ustawień oraz okresowy przegląd stanu zabezpieczeń. Zakres zawsze zależy od posiadanych licencji - nie wszystkie funkcje Microsoft 365 są dostępne w każdym planie.

14. Compliance, retencja i Microsoft Purview

W niektórych organizacjach konieczne jest również zarządzanie politykami dotyczącymi danych: retencją, etykietami, DLP, eDiscovery, audytem i klasyfikacją informacji.

Zakres powinien wynikać z wymagań prawnych, kontraktowych i biznesowych organizacji. Nie ma sensu wdrażać kilkudziesięciu skomplikowanych polityk tylko dlatego, że są dostępne.

Microsoft 365 i backup

To osobny temat, ale niezwykle ważny. Microsoft 365 posiada wiele mechanizmów retencji, kosza, wersjonowania i odzyskiwania. Nie należy jednak automatycznie traktować ich jako kompletnej strategii backupowej.

Jeżeli firma wymaga niezależnych punktów przywracania, dłuższej retencji albo możliwości odzyskania danych niezależnie od podstawowego tenanta, warto rozważyć osobne rozwiązanie backupowe obejmujące Exchange Online, OneDrive, SharePoint i wybrane elementy Teams.

Stała administracja powinna więc obejmować również monitoring backupu, retencję, testy restore i kontrolę zakresu ochrony. Szerzej piszemy o tym w artykule Microsoft 365 to nie backup - dlaczego sam OneDrive nie wystarczy.

Onboarding użytkownika

Jednym z najlepszych przykładów wartości uporządkowanej administracji jest przyjęcie nowego pracownika. Zamiast ręcznie konfigurować wszystko za każdym razem, można posiadać procedurę. Przykładowo:

1. 1 Tworzymy konto.
2. 2 Przypisujemy odpowiednią licencję.
3. 3 Dodajemy użytkownika do grup.
4. 4 Konfigurujemy MFA.
5. 5 Przydzielamy dostęp do Teams i SharePoint.
6. 6 Konfigurujemy urządzenie.
7. 7 Weryfikujemy wymagane aplikacje.

Dzięki temu każdy użytkownik otrzymuje odpowiedni zestaw dostępów.

Offboarding jest jeszcze ważniejszy

Odejście pracownika powinno uruchamiać równie dobrze zdefiniowany proces. Może obejmować:

Brak dobrego offboardingu jest jednym z najczęstszych powodów pozostawiania niepotrzebnych dostępów. Kompletną checklistę znajdziesz w artykule co zrobić po odejściu pracownika z firmy.

Konta administratorów powinny wyglądać inaczej niż zwykłe konta

Administrator nie powinien przez cały dzień czytać poczty, przeglądać Internetu i otwierać dokumentów z konta posiadającego najwyższe uprawnienia w tenant.

Do tego dochodzi MFA, minimalny zakres uprawnień, monitoring i ograniczenie liczby administratorów.

Dokumentacja Microsoft 365

Tenant powinien być również udokumentowany. Dokumentacja może obejmować:

Dlaczego to ważne? Bo po kilku latach nawet osoba, która wdrażała środowisko, może nie pamiętać, dlaczego dana polityka istnieje.

Monitorowanie zmian Microsoft

Microsoft regularnie zmienia usługi. Pojawiają się nowe funkcje, wycofywane mechanizmy, zmiany bezpieczeństwa, nowe ustawienia domyślne i zmiany licencjonowania. Dlatego jednym z elementów administracji powinno być śledzenie komunikatów dotyczących środowiska.

Nie każda zmiana wymaga działania. Ale niektóre mogą wpływać bezpośrednio na użytkowników lub bezpieczeństwo.

Co powinno być wykonywane regularnie?

Zakres zależy od wielkości firmy, ale można przyjąć kilka obszarów.

Kiedy stała administracja Microsoft 365 ma sens?

Nie każda firma potrzebuje osobnego specjalisty M365. Przy pięciu użytkownikach i bardzo prostym środowisku okresowe wsparcie może być wystarczające. Stała opieka zaczyna mieć szczególnie dużo sensu, gdy:

Jak wygląda przejęcie Microsoft 365 pod stałą opiekę?

Nie zaczynamy od zmiany wszystkiego pierwszego dnia. Najpierw wykonujemy przegląd obecnego środowiska. Sprawdzamy między innymi licencje, administratorów, MFA, Conditional Access, domeny, Exchange Online, SharePoint, Teams, OneDrive, użytkowników zewnętrznych, backup, alerty bezpieczeństwa i dokumentację.

Następnie dzielimy znalezione problemy według priorytetów.

Dzięki temu nie przebudowujemy środowiska dla samego przebudowywania. Najpierw usuwamy największe ryzyka.

Jak wygląda administracja Microsoft 365 w PRO-Admin?

Nie traktujemy Microsoft 365 jako oddzielnej wyspy. W wielu firmach tenant jest powiązany z lokalnym Active Directory, VPN, siecią, komputerami użytkowników, serwerami, aplikacjami biznesowymi i backupem.

Dlatego możemy połączyć administrację Microsoft 365 z obsługą całej infrastruktury. Przykładowo nowy użytkownik może otrzymać jednocześnie:

A przy odejściu pracownika wszystkie te dostępy mogą zostać odebrane w ramach jednej procedury. To szczególnie ważne w firmach korzystających z infrastruktury hybrydowej. Jeżeli dopiero planujesz wdrożenie tożsamości Microsoft, zobacz też artykuł wdrożenie Microsoft Entra ID dla firm.

FAQ - administracja Microsoft 365

Podsumowanie

Microsoft 365 znacząco upraszcza utrzymanie infrastruktury. Nie oznacza jednak, że usuwa potrzebę administracji. Po prostu zmienia jej charakter.

Zamiast wymieniać dyski i aktualizować serwer pocztowy, administrator zajmuje się:

Dobrze zarządzany tenant może być jednym z najbezpieczniejszych i najbardziej przewidywalnych elementów infrastruktury firmy. Źle zarządzany może przez lata gromadzić wyjątki, stare konta i nadmiarowe uprawnienia, aż do pierwszego poważnego incydentu.

Microsoft utrzymuje Microsoft 365. Ktoś nadal musi utrzymywać Microsoft 365 Twojej firmy.