Microsoft 365 Tenant Landing Zone：从零搭建企业级租户架构设计指南

〇、为什么需要 Tenant Landing Zone很多 Microsoft 365 项目在上线后第 180 天开始出现管理空白Message Center 通知没人看 → 服务变更没人响应Service Health 没人订阅 → 中断事件被业务先于 IT 知道License 大量浪费 → Guest / Service Account / Cross-assigned E5 长期占用席位来宾账号无清理 → 合作伙伴离职后人还在租户里管理员账号没设 Break Glass → 真出事故时连自己都登录不上5 年后新管理员接手发现为什么这么设计无人能答。根因只有一个租户初始化阶段没有按 Landing Zone 方法论分层。本文沿用Microsoft Cloud Adoption FrameworkCAF的设计哲学对应到 Azure Landing Zone 的 Identity / Security / Governance / Management 四层把 Microsoft 365 租户分成Build Phase Run Phase共六层能力Microsoft 365 Tenant Landing Zone │ │── Build Phase ──────────────────────────────── │ ├── 1. Identity Foundation身份地基 │ ├── Microsoft Entra Tenant │ ├── Custom Domain │ └── AuthenticationMFA / Passkey / Conditional Access │ ├── 2. Subscription License Governance订阅与许可治理 │ ├── Billing Relationship │ ├── Product SKU │ └── Service Plans含 Copilot │ ├── 3. Security Baseline安全基线 │ ├── Defender XDRIdentity / Endpoint / Office 365 / Cloud Apps │ ├── Microsoft Purview │ └── Unified Audit Logging │ ├── 4. Collaboration Governance协作治理 │ ├── Teams / Groups Naming │ ├── SharePoint / OneDrive Sharing │ └── External Collaboration (B2B) │ │── Run Phase ────────────────────────────────── │ ├── 5. Lifecycle Management生命周期 │ ├── License / Guest / Group 过期治理 │ ├── Access Review │ └── Privileged Access GovernancePIM Audit │ └── 6. Operational Excellence运营卓越 ├── Service Health / Message Center ├── Change Management ├── Monitoring └── AutomationMicrosoft Graph API Log Analytics Power BI后续每个章节都是这张地图上的一块拼图。一、Identity FoundationTenant 是身份根1. 真实流程企业注册 Microsoft 企业账号 / 通过 CSP 创建 ↓ 创建 Microsoft Entra tenant ↓ 获得 initial domainxxx.onmicrosoft.com ↓ 购买 Microsoft 365 订阅E3 / E5 / Business ... ↓ 订阅绑定到该 Tenant澄清Microsoft 账户企业场景下创建的是Work Account / Organizational Account也叫工作或学校账户不是 Microsoft AccountMSA个人账户。后者是xxxhotmail.com、xxxoutlook.com这类个人账户企业租户不应让员工用 MSA 登录业务系统参见后续 Conditional Access Baseline 章节。关键事实Tenant 是身份根可以先于任何订阅存在一个 Tenant 可以挂多个订阅E3 Project Visio Audio Conferencing Copilot ...同一组织可以有多个 Tenant多子公司、海外业务隔离现代企业常见路径先创建 Entra Tenant → 购买 Entra ID P2 Defender Purview → 再叠加 M365 Productivity 套件。2. Subscription ≠ License更精确的关系Subscription ├── Billing Relationship计费关系 ├── Product SKU产品授权如 M365 E5 └── Service Plans每个 SKU 包含的可分配服务如 Exchange Online Plan 2、Teams、Defender、P2...也就是说Subscription 是计费和产品授权边界License 是分配给用户的使用权Service Plan 的实例一个 E5 订阅可能含 30 Service Plan但用户拿到的License是 E5 SKU 中的子集。这就是为什么我买了 E5Copilot 还是用不了——Copilot 是独立 SKU必须额外分配。3. .onmicrosoft.com 域名的渗入效应https://company.onmicrosoft.com是不可删除的根域会渗入到部分 Microsoft 365 工作负载如 SharePoint、OneDrive、Power Platform、Power BI 等的 URL 体系中。强烈建议注册 Tenant 时不要用companyname123.onmicrosoft.com这种占位名。5 年后客户看到的abc123.sharepoint.com是品牌灾难而修改成本极高。4. 安全套件订阅的特殊性EMS E5、Entra ID P2、Defender、Purview 等安全类订阅通常依附已有 Microsoft Entra Tenant 使用不一定是独立业务租户入口。企业完全可以从安全先行路径起步再叠加 Productivity 套件。5. Tenant Region ≠ Azure Subscription Region两个体系经常被混淆Azure Subscription └── Resource Location资源物理位置 Microsoft 365 Tenant └── Data Residency默认数据中心区域M365 的区域概念与 Azure 完全不同跨 Azure Region 与跨 M365 Tenant 之间没有直接对应关系。二、Subscription License Governance1. 主流 SKU 与定位产品定位关键能力Microsoft 365 Business Basic / Standard / Premium≤ 300 用户轻量、云为主、不含完整企业合规Microsoft 365 F3Frontline Worker按月计费、面向一线员工精简版Microsoft 365 E3Enterprise baseline全套生产力 中等安全合规Microsoft 365 E5Enterprise Security ComplianceE3 Defender for M365 P2 Purview 高级 电话系统Copilot for Microsoft 365AI productivity add-on按席位叠加依赖 E3 / E5Copilot 已经是 2025 年企业 M365 讨论的默认话题规划 License 时必须把它作为独立项纳入不是 E5 默认包含。2. License 规划经验完整规划至少包含Current users当前正式员工Growth forecast未来 12–24 个月新增Contract minimum commitment合同承诺底线Shared mailbox共享邮箱数Service accounts服务账号 / 应用账号Temporary workers / contractors外包、实习生Copilot 等按席位计费的特殊席位来宾用户是否触发 Service Plan通常不会但需要确认 Cross-Tenant Access 策略3. Copilot Governance2025 真正的新风险Copilot 本身不会突破权限——它只能访问它有合法权限的内容。但 Copilot 会把过去隐藏的权限问题显性化Copilot Governance ├── SharePoint Oversharing Review用 SAM 识别全公司可见的站点 ├── Sensitivity Labels核心文档强制打机密标签 ├── Purview DLP防止 Copilot 总结时泄露敏感字段 ├── Restricted SharePoint Search限制 Copilot 可检索的范围 ├── Copilot Usage Analytics识别异常大量查询的用户行为 └── AI Access Review季度复核 Copilot 可访问的数据源这是企业架构师最关心的部分——Copilot 的安全 数据访问边界的治理。4. 基于组的许可证Group-based Licensing推荐# 需要 Microsoft Graph PowerShell SDK # 模块Microsoft.Graph.Identity.DirectoryManagement # 权限LicenseAssignment.ReadWrite.All应用权限 管理员同意 $sku Get-MgSubscribedSku | Where-Object SkuPartNumber -eq ENTERPRISE_E5 Set-MgGroupLicense -GroupId groupId -AddLicenses ({SkuId $sku.SkuId}) -RemoveLicenses ()好处用户入职 / 调岗自动生效与 Lifecycle Workflow 联动可实现全自动。三、Organization Profile上线前定终身1. 国家/区域Tenant 创建时选择的 Country/Region 决定Billing Location与Data Location但二者不完全等价Tenant Country → Billing / Legal entity计费、法人 Data Residency → Exchange / SharePoint / Teams / Copilot 的数据物理位置 Multi-Geo → 解决数据位置的多区域分布需求也就是说Tenant 区域修改成本极高应在创建前确认法人主体的注册地数据驻留的需求应优先用 Microsoft 365 Multi-Geo 解决而不是反复重建 Tenant部分 Billing 属性可以调整但 Tenant 区域本身通常无法在管理后台直接修改跨区域迁移需要走 Microsoft Support。2. 主题Theme / BrandingMicrosoft Entra branding 能力持续演进旧版 Azure AD branding 限制已经不再适合作为当前设计依据。企业可以参考 Microsoft Learn 当前文档设计组织品牌包括登录页 Logo、背景图、品牌色等。新版 Outlook for Windows 的外观主要受Outlook 客户端设置 Exchange Online 邮箱策略控制组织主题不会强制影响其 UI。3. 技术联系人 / 隐私联系人Technical Contact接收 Microsoft 服务级通知TLS 变更、服务中断预警Privacy Contact接收 Microsoft 与组织之间的数据保护相关通知。⚠️重要边界Microsoft 365 中的Privacy Contact是 Microsoft 与企业间的官方沟通接口并不等同于企业法律意义上的数据保护官DPO。GDPR / 中国 PIPL 适用主体仍应独立任命 DPO。四、Security Baseline1. Defender XDR企业安全不再是单 Defender for M365现代企业 M365 安全架构是Defender XDR统一编排Defender XDR统一调查与响应 ├── Defender for IdentityEntra ID 行为异常、横向移动检测 ├── Defender for EndpointWin/Mac/Linux 端点 ├── Defender for Office 365邮件 / Teams / SharePoint 钓鱼与恶意软件 ├── Defender for Cloud AppsCASB影子 IT 与 OAuth App 风险 └── Defender for CloudAzure 资源安全Identity Foundation 必须与Defender for Identity联动——前者管谁能进后者管进来后做了什么。2. 第三方应用治理Enterprise Applications App Governance对 M365 管理员而言真正的第三方应用治理入口是Microsoft Entra App Gallery ↓ Enterprise Applications应用注册 服务主体 ↓ Consent Governance用户同意范围、风险等级 ↓ App GovernanceDefender for Cloud Apps 提供企业实际治理 OAuth App 风险——尤其是 Consent Phishing——是在Entra ID → Enterprise Applications → Consent Permissions这一层完成的而不是 Azure Marketplace。3. SharePoint / OneDrive 出域治理不同 Tenant 类型商业、GCC、GCC High、新建 vs 继承默认策略不同生产环境不应依赖默认值。推荐分层层级设置位置推荐组织级M365 管理中心 → SharePoint → External sharingNew and existing guests站点级SharePoint 管理中心 → Active sites默认继承OneDriveM365 管理中心 → OneDrive≤ SharePoint 设置Anyone 链接高级设置 → Anyone with the link通常关闭文件夹链接默认链接类型Specific people冲突原则站点级与组织级设置不一致时取最严格值。4. SharePoint Advanced ManagementSAMSAM 是SharePoint Online 高级管理能力需要额外许可核心能力包括Restricted Access Control限制特定 SharePoint 站点仅允许指定安全组访问Site Access Review周期性审查访问权限Data Access Governance reports识别过度共享的站点Site Lifecycle Management站点生命周期管理。SAM不是 Conditional Access——不要把 CA 与 SAM 混为一谈。5. Microsoft 365 Backup 的位置Microsoft 365 Backup 是 Microsoft 365 数据保护方向的重要能力提供 Exchange / OneDrive / SharePoint 的企业级备份与恢复。与 SharePoint Advanced Management 属于不同能力体系二者并列采购与计费独立。6. Microsoft Purview Audit Logging根据 Microsoft Purview Audit 当前许可模型许可证默认保留高级保留Audit Standard大多数 M365 订阅默认包含180 天—Audit PremiumMicrosoft 365 E5 Compliance / G5 等包含1 年默认可升级到10 年长期保留启用与告警在 Microsoft Purview 合规中心打开审核开关后跨服务活动写入审计日志通过Alert Policy创建基于事件的告警管理员角色提升、外部共享变化、高风险登录、Permanent Delete 等Alert Policy 的具体条目数量没有标准应根据企业风险模型动态调整。五、Collaboration Governance子能力治理工具Teams / Groups 命名Microsoft 365 Group Naming Policy Blocked WordsSharePoint / OneDrive Sharing组织级 站点级双重设置External CollaborationMicrosoft Entra B2B Cross-Tenant Access Settings组生命周期Group Expiration Policy敏感组权限提升Access PackagesEntra ID Governance具体配置见本系列后续文章Groups / B2B。六、External Collaboration B2B租户级默认新建商业租户默认允许外部共享但生产环境必须显式策略化Cross-Tenant Access Settings应根据业务伙伴关系显式配置控制 Inbound Trust / Outbound Access / MFA Trust 等否则租户无法精细控制跨组织访问策略来宾默认权限 Limited远低于 Member通过 External Identities 设置调整Access Review每 90 天复核来宾与权限组。七、Lifecycle Management对象治理机制推荐周期LicenseGroup-based Access Review季度来宾Access Review 自动禁用90 天GroupExpiration Policy180–730 天按部门Service Account单独清单 定期密码轮换半年关键点Group Expiration Policy 的365 天不是标准项目型组建议 180 天长期治理型组建议 730 天固定参考资源型组应关闭过期、改用 Access Package。Privileged Access Governance高级权限治理需要三层组合Privileged Access Governance ├── PIMEligible Role 激活审批 时间盒 ├── Access Review季度复核 Eligible 与激活记录 └── Audit谁、何时、为何激活了哪个角色 → 不可篡改这是企业 M365 治理的高端配置。八、Operational Excellence第 180 天以后谁管理1. Service HealthM365 管理中心 →Service Health实时查看租户级服务事件必须配置Email 订阅 Webhook / Teams 频道推送推荐接入统一 ITSM / SIEM。2. Message CenterM365 管理中心 →Messages微软对租户的计划变更通知功能变更、弃用警告、配置变更要求必须订阅订阅人 变更评审委员会强烈建议用 Power Automate 把 Message Center 自动同步到内部 Change Management 系统Jira / ServiceNow。3. Change Management任何租户级变更DNS、订阅、Conditional Access 策略、SharePoint 设置必须走变更评审微软的 Message Center 通知就是变更评审的天然工单源。4. Monitoring Automation详见第十一节Tenant Health Automation。九、Tenant Initialization Checklist仅 Tenant 初始化不含实施上线下面这份 Checklist只覆盖租户级配置不包含完整 Go-Live 动作设备注册、用户迁移、Exchange 部署等属于 MS-102 后续阶段或 MD-102 / MD-100 范围。✅ Tenant Initialization ChecklistDay -14 ~ Day -1A. Identity Foundation法人主体、注册地、首选数据驻留区域已确认Microsoft Entra Tenant 已创建初始 .onmicrosoft.com 域名选择得当组织配置文件完整公司名、地址、电话、Technical Contact、Privacy Contact组织品牌Logo / 主题已配置Custom Domain 计划已制定实施在 Go-Live 阶段B. Subscription LicenseM365 订阅 附加订阅Project / Visio / Audio Conferencing / Copilot ...已规划License 数量已含 Service accounts、Shared mailboxes、Copilot 等特殊席位Copilot Governance 框架已规划Oversharing / Sensitivity Label / DLP / Usage AnalyticsGroup-based Licensing 已设计C. Security BaselineDefender XDR 各组件采购计划已确定Identity / Endpoint / Office 365 / Cloud AppsMicrosoft Purview Audit Logging 已开启基础 Alert Policy 已建立Conditional Access baseline 草案已设计Enterprise Applications Consent Governance 已规划SharePoint / OneDrive 组织级共享策略已决定Cross-Tenant Access Settings 已规划D. Collaboration GovernanceTeams / Groups 命名策略草案已设计B2B 与 Cross-Tenant Access Settings 草案已设计E. Lifecycle ManagementGroup Expiration Policy 默认值已确定Access Review 周期已确定Privileged Access GovernancePIM Audit已规划F. Operational ExcellenceService Health 订阅已配置Message Center 订阅与变更流程已对接Tenant Health Automation 脚本集已规划十、Day-0 Security ChecklistIdentity 基线必做Tenant 初始化当天的Identity 安全基线是大多数企业容易漏掉的一组动作。A. Break Glass Account紧急访问账户Break Glass 账户已创建至少 2 个全局管理员角色使用强密码 FIDO2 硬件安全密钥不依赖手机 MFA密码物理保管在保险箱通过 Conditional Access 排除策略避免被常规 CA 规则锁死加入Break Glass Account MonitoringAlert Policy任何人登录立即告警。⚠️常见误述Break Glass 不是说不分配 MFA而是采用不依赖常规 MFA 流程的强认证FIDO2 硬件密钥 强密码并通过 CA 排除策略防止被锁。B. Emergency Access PolicyEmergency Access Policy已设计定义紧急访问流程哪个事件触发谁有权使用使用后多久轮换凭证与 CISO / 法务 / HR 主管对齐形成文档化 SOP。C. Global Administrator 控制Global Administrator 通常保持 2–4 个永久账户其余通过 PIM Eligible 角色按需激活Microsoft 推荐区间为 2–4 个超过 4 个的应迁移到 PIM Eligible季度复核角色分配。D. Privileged Identity ManagementPIMPIM 已启用全局管理员、Exchange 管理员、SharePoint 管理员、用户管理员都应走 PIM 激活默认激活时长 1 小时需要审批与 Access Review 季度复核联动激活记录必须写入审计日志。E. Conditional Access Zero-Trust Baseline要求 MFA / Passkey全员阻止旧版认证Legacy Auth设备合规要求Intune Compliance Policy位置策略如不允许非业务国家登录管理员账号工作负载身份Service Principal的 CA 策略。十一、Tenant Health Automation把日常 Tenant 巡检自动化是 Operational Excellence 的核心实践。1. 推荐架构基于 Microsoft Graph APIMicrosoft Graph API │ ▼ Azure Automation / GitHub Actions / Azure DevOps Pipeline │ ▼ Log Analytics Workspace保留 1 年以上 │ ▼ Power BI DashboardTenant Health Service Health License Risk │ ▼ Teams 告警频道 ITSM 工单PowerShell Cmdlet 本质上是 Microsoft Graph 的封装面向未来自动化脚本直接调用 Graph API是更可控、更可扩展的路径。2. 核心 Graph API 巡检集# 租户级健康度 GET https://graph.microsoft.com/v1.0/organization GET https://graph.microsoft.com/v1.0/subscribedSkus GET https://graph.microsoft.com/v1.0/directoryRoles # 用户 / 组 / 来宾 GET https://graph.microsoft.com/v1.0/users?$filteruserType eq Guest GET https://graph.microsoft.com/v1.0/groups?$filtergroupTypes/any(c:c eq Unified) # 安全基线 GET https://graph.microsoft.com/v1.0/identityProtection/riskDetections GET https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies GET https://graph.microsoft.com/v1.0/auditLogs/signIns?$filterriskLevel ne none3. 巡检节奏MSP / CSP 运维模板频率检查项DailySign-in Risk / Risk Detections / 服务中断事件 / Service HealthWeeklyLicense 浪费未激活用户、重复分配 E5、未使用 Copilot 席位Monthly来宾账号审查、Consent Grant 异常、应用风险评分QuarterlyAccess Review、Conditional Access 策略审计、PIM 角色复核YearlyTenant 配置全量审计DNS / 域 / 订阅 / 备份恢复演练十二、Tenant Architecture Decision RecordADR高阶建议把为什么这么设计作为正式文档沉淀3 年后换管理员不会无人能答。ADR-001Single Tenant 统一身份Decision所有员工 来宾统一在单一 Microsoft 365 Tenant 中管理身份StatusAcceptedContext跨国业务但合规要求集中员工跨地区调动频繁Consequences优势身份单一Conditional Access 全局生效License 集中采购代价默认数据驻留在主区域海外员工体验延迟 → 通过 Multi-Geo 缓解风险单租户故障 全员故障 → 启用 Multi-Geo Backup 缓解。ADR-002Multi-Geo 数据驻留Decision在欧洲 / 亚太区域启用 Microsoft 365 Multi-GeoStatusAcceptedContext欧盟 GDPR / 部分国家数据本地化要求ConsequencesSAT 区域可独立配置但身份仍统一在主区域 Tenant 中。ADR-003Cross-Tenant B2B 供应链协作Decision通过 Microsoft Entra B2B Cross-Tenant Access Settings 与上游供应商建立受信连接StatusAcceptedContext供应链协同需要共享文档但不应全开外部共享Consequences每个合作伙伴租户单独配 CTA 策略季度复核。ADR-004Group-based Licensing 自动化Decision所有 License 通过安全组动态分配员工入职 / 调岗自动生效StatusAcceptedContext1000 用户规模手动分配不可持续ConsequencesHR 系统变化触发组员调整 → License 自动跟随与 Lifecycle Workflow 联动。ADR-005PIM Mandatory 最小权限Decision除 2–4 个 Break Glass / 永久全局管理员外所有特权角色必须通过 PIM Eligible 按需激活StatusAcceptedContext满足合规审计对最小权限 激活可追溯的要求Consequences管理员操作流程增加一个激活步骤需要培训覆盖。ADR-006Copilot 启用与治理DecisionCopilot for Microsoft 365 按部门分批启用先在文档治理已成熟的部门试点StatusAcceptedContext避免 Copilot 在 Oversharing 的环境中暴露敏感信息Consequences试点期间建立 Copilot Usage Analytics 基线扩展前完成 SharePoint Oversharing Review Sensitivity Label 覆盖度评估。ADR 模板可结合MADRMarkdown Any Decision Records格式纳入版本控制Git repo作为正式治理文档。十三、给企业架构师的最终总结Microsoft 365 看起来是买 License → 用服务但对企业来说Tenant 是身份根比订阅更早存在也更难替换Identity Foundation 是地基自上而下贯穿一切Subscription License Governance 决定计费与合规边界Security Baseline 不能等上线后再补否则你拿不到 180 天的取证窗口Collaboration Governance 是上限定晚了就要打补丁Lifecycle Management 是底线决定 6 个月后租户是不是一堆僵尸组Operational Excellence 决定 Day-180 后谁在管——这是大多数 M365 项目失分最多的地方ADR 决定 5 年后换管理员时谁还记得为什么这么设计。