在信息屏障中使用多段支持

  • 项目

重要

仅当组织不处于 旧模式 时，才支持将用户分配到多个段。 若要确定组织是否处于旧模式，请参阅检查组织的 IB 模式并检查 属性的值InformationBarrierMode。

对于 处于旧模式 的组织，用户只能分配到一个细分市场。 处于旧模式的组织将来将有资格升级到最新版本的信息屏障。 有关详细信息，请参阅 信息屏障路线图。

多段模式使你能够将组织中的用户分配到信息屏障中最多 10 个段，而不是仅限于一个段。 这允许支持个人和组之间更多样化的通信规则，以支持更复杂的组织和操作方案。 对于使用多段支持的组织，必须使用允许列表定义所有信息屏障策略。

配置为多段支持时，用户的兼容性取决于每个用户对共享段的分配。 如果用户共享同一段的分配，则它们是兼容的。 例如，下表显示用户 A 和用户 B 不兼容，因为它们不共享分配的段。 但是，用户 A 与用户 C 兼容，用户 B 与用户 C 兼容，因为它们各自都有一个共同点。

用户 分配的段
用户 A 段 1、段 2
用户 B 第 3 段，第 4 段
用户 C 第 2 段，第 4 段

多段示例：北学区的学校、分区和策略

北学区有两所学校，1所学校和第2学校。 地区政策是允许学生和教师只有在同一所学校时才能相互交流。 例如，学校 1 中的学生和教师可以通信，但学校 1 的学生不能与学校 2 中的教师通信。 对于此方案，将多个段配置为支持以下区域策略方案：

北学区的学校和计划

北学区有两所学校：

段 允许的通信 阻止的通信
学校 1 1 所学校的学生和教师 学生和教师在学校 2
学校 2 学生和教师在学校 2 1 所学校的学生和教师

对于此结构，北学区的计划包括三项 IB 政策：

  1. IB 策略旨在使 1 所学校的学生和教师能够相互通信。
  2. 另一项 IB 政策，使 2 所学校的学生和教师能够相互交流。
  3. 另一项 IB 政策旨在允许学校 1 和 2 学校的教师相互沟通。

北学区定义的区段

北学区将使用 Microsoft Entra ID 中的 Department 属性来定义区段，如下所示：

段 用户群定义
School1 New-OrganizationSegment -Name "School1" -UserGroupFilter "Department -eq 'School1'"
School2 New-OrganizationSegment -Name "School2" -UserGroupFilter "Department -eq 'School2'"
AllTeachers New-OrganizationSegment -Name "AllTeachers" -UserGroupFilter "MemberOfGroup -eq 'AllTeachersgroup@northschoolsdistrict.com'"

定义段后，Contoso 继续定义 IB 策略。

北学区的 IB 政策

北学区定义了三个 IB 策略，如下表所述：

Policy 策略定义
策略 1：学校 1 中的学生和教师可以相互沟通 New-InformationBarrierPolicy -Name School1Policy -SegmentsAllowed 'School1' -AssignedSegment 'School1' -State Active

在此示例中，IB 策略称为 School1Policy。 当此策略处于活动状态并应用时，它将使第 1 所学校的学生和教师能够相互通信。 此策略是单向策略;它不会阻止第 1 所学校的学生和教师与第 2 所学校通信。 因此，需要策略 2。
策略 2：学校 2 的学生和教师可以相互沟通 New-InformationBarrierPolicy -Name School2Policy -SegmentsAllowed 'School2' -AssignedSegment 'School2' -State Active

在此示例中，IB 策略称为 School2Policy。 当此策略处于活动状态并应用时，它将使学校 2 中的学生和教师能够相互通信。
策略 3：不同学校的教师可以相互沟通 New-InformationBarrierPolicy -Name AllTeachersPolicy -SegmentsAllowed 'AllTeachers' -AssignedSegment 'AllTeachers' -State Active

在这种情况下，IB 策略称为 AllTeachersPolicy。 当此策略处于活动状态并应用时，学校 1 和学校 2 中的教师可以相互通信。

定义段和策略后，北学区通过运行 Start-InformationBarrierPoliciesApplication cmdlet 来应用策略。 cmdlet 完成后，北学区已实施学生和教师沟通政策。

检查组织的 IB 模式

如果要支持将用户分配到多个细分市场，则需要验证 IB 组织是否支持多个细分市场。 运行以下 cmdlet 以验证 IB 模式：

Get-PolicyConfig

如果 属性的 InformationBarrierMode 值为 SingleSegment，则可以按照本文为 用户启用多段支持部分中的指导启用多段支持 。 如果 属性的 InformationBarrierMode 值为 MultiSegment，则可以跳过启用对多段的支持，即它已为组织启用。

如果 属性的 InformationBarrierMode 值为 旧版，则组织不支持启用多段。 旧版 组织将来将有资格升级到最新版本的信息屏障。 有关详细信息，请参阅 信息屏障路线图

为用户启用多段支持

若要在 SingleSegment 模式下为组织启用多段支持，当前不得为组织定义任何 IB 段或策略。 运行以下 cmdlet 以在组织中启用多段支持：

Set-PolicyConfig -InformationBarrierMode 'MultiSegment'

重要

如果启用多个细分并在组织中配置了 IB，则不应还原单段支持。

OneDrive 中对用户的多段支持

如果你的 IB 组织未处于 LegacyMode 模式，并且你已为 OneDrive 配置了多段支持的信息屏障，则 OneDrive 用户体验如下所示：

  • OneDrive IB 策略：多段用户的 OneDrive ia 默认自动设置为 “所有者审查 ”模式。

  • 多段用户访问 OneDrive 网站：

    • 显式 或 混合 模式：如果多段用户至少有一个段作为 OneDrive 的段，并且具有网站访问权限，则向其授予访问权限。
    • 所有其他模式：用户具有与单段支持相同的站点访问体验。

  • 多段用户共享 OneDrive：多段用户可以根据为 OneDrive 配置的 IB 模式共享 OneDrive 网站和包含的内容。

    • 显式 模式：用户可以与与 OneDrive 具有相同细分的其他用户共享 OneDrive 内容。
    • 打开 或 所有者审查 模式：用户可按 IB 策略与其他兼容用户共享内容。

有关管理适用于 OneDrive 的 IB 的详细信息，请参阅 将信息屏障用于 OneDrive。

SharePoint Online 中用户的多段支持

如果你的 IB 组织未处于 LegacyMode 模式，并且你已为 SharePoint 配置了多段支持的信息屏障，则 SharePoint 用户体验如下所示：

  • 网站创建：当多段用户 (Microsoft 365 组连接或非组网站) 创建 SharePoint 网站时，该网站会自动设置为 所有者审查 模式。

  • 多段用户访问 SharePoint 网站：

    • 显式模式：如果用户至少有一个段作为网站的段，并且具有网站访问权限，则授予用户访问权限。
    • 所有其他模式：用户具有与单段支持相同的站点访问体验。

  • 多段用户共享 SharePoint 网站：多段用户可以按网站 IB 模式共享网站及其内容。

    • 显式 模式：可以与与网站段匹配的用户共享内容。
    • 隐式 或 所有者审查 模式：可以与连接到网站的 Microsoft 365 组的其他成员共享内容。
    • 开放 模式：可以与符合 IB 策略的其他用户共享内容。

有关管理 IB for SharePoint 的详细信息，请参阅 将信息屏障与 SharePoint 配合使用。

对 Microsoft Teams 中用户的多段支持

如果你的 IB 组织未处于 LegacyMode 模式，并且你已为 Teams 配置了多段支持的信息屏障，则 Microsoft Teams 用户体验如下所示：

  • 团队创建：多细分用户创建团队时，默认情况下，团队会自动设置为 “隐式 ”模式。
  • 添加团队成员：团队中的所有用户都必须有一个与所有其他用户兼容的细分。

有关管理 IB for Microsoft Teams 的详细信息，请参阅 将信息屏障与 Microsoft Teams 配合使用。