Microsoft 365 中的隔離與存取控制

Microsoft Entra ID 和 Microsoft 365 使用高度複雜的資料模型，其中包含數十個服務、數百個實體、數千個關聯性，以及數萬個屬性。 概括而言，Microsoft Entra ID 和服務目錄是租用戶和收件者使用狀態型複寫通訊協定保持同步的容器。 除了保留在 Microsoft Entra ID 內的目錄資訊之外，每個服務工作負載都有自己的目錄服務基礎結構。

在此模型中，沒有單一目錄資料來源。 特定系統擁有個別的資料片段，但沒有任何單一系統會保存所有資料。 Microsoft 365 服務與此資料模型中的 Microsoft Entra ID 合作。 Microsoft Entra ID 是共用資料的「事實系統」，通常是每個服務所使用的小型和靜態資料。 Microsoft 365 和 Microsoft Entra ID 中使用的同盟模型會提供資料的共用檢視。

Microsoft 365 同時使用實體儲存體和 Azure 雲端儲存體。 Exchange Online (包括 Exchange Online Protection) 和 商務用 Skype 針對客戶數據使用自己的記憶體。 SharePoint 同時使用 SQL Server 記憶體和 Azure 記憶體，因此需要在記憶體層級額外隔離客戶數據。

Exchange Online

Exchange Online 將客戶數據儲存在信箱內。 信箱裝載於稱為信箱資料庫 (ESE) 資料庫的可延伸儲存引擎內。 這包括使用者信箱、連結的信箱、共用信箱和公用資料夾信箱。 使用者信箱包含已儲存 商務用 Skype 內容，例如交談歷程記錄。

使用者信箱內容包括：

• 電子郵件和電子郵件附件
• 行事曆和空閒/忙碌資訊
• 聯絡人
• 工作
• 附註
• 群組
• 推斷數據

Exchange Online內的每個信箱資料庫都包含來自多個租使用者的信箱。 授權碼可保護每個信箱，包括租用內。 根據預設，只有指派的使用者可以存取信箱。 保護信箱 (ACL) 的存取控制清單包含 Microsoft Entra ID 在租使用者層級驗證的身分識別。 每個租使用者的信箱僅限於針對租用戶的驗證提供者驗證的身分識別，其中只包含該租用戶的使用者。 租使用者 A 中的內容無法由租使用者 B 中的使用者以任何方式取得，除非租使用者 A 明確核准。

商務用 Skype

商務用 Skype 會將資料儲存在不同位置：

• 使用者和帳戶資訊，包括連線端點、租使用者標識碼、撥號對應表、漫遊設定、目前狀態、聯繫人清單等，會儲存在 商務用 Skype Active Directory 伺服器中，以及各種 商務用 Skype 資料庫伺服器中。 如果使用者同時啟用這兩項產品，聯繫人清單會儲存在使用者的 Exchange Online 信箱中;如果使用者未啟用，則會儲存在 商務用 Skype 伺服器上。 商務用 Skype 資料庫伺服器不會依每個租使用者分割，而是透過角色型訪問控制 (RBAC) 來強制執行數據的多租用戶隔離。
• 會議內容和上傳的數據會儲存在分散式文件系統 (DFS) 共用上。 如果啟用此內容，也可以在 Exchange Online 中封存。 每個租使用者不會分割 DFS 共用。 內容會受到 ACL 保護，而且會透過 RBAC 強制執行多租使用者。
• 呼叫詳細數據記錄，例如通話記錄、IM 會話、應用程式共用、IM 歷程記錄等，也可以儲存在 Exchange Online 中，但大部分的通話詳細數據記錄會暫時儲存在 CDR) 伺服器的通話詳細數據記錄 (。 內容不會針對每個租用戶進行分割，但會透過 RBAC 強制執行多租使用者。

SharePoint

SharePoint 有數個提供數據隔離的獨立機制。 它會將物件儲存為應用程式資料庫內的抽象程式代碼。 例如，當使用者將檔案上傳至 SharePoint 時，檔案會反組譯、轉譯成應用程式程式代碼，並儲存在多個資料庫的多個數據表中。

如果使用者可以直接存取包含數據的記憶體，則無法將內容解譯為人類或SharePoint以外的任何系統。 這些機制包括安全性訪問控制和屬性。 所有 SharePoint 資源都受到授權碼和 RBAC 原則保護，包括在租用內。 保護資源 (ACL) 的訪問控制清單包含在租用戶層級驗證的身分識別。 租使用者的 SharePoint 數據僅限於由租用戶的驗證提供者所驗證的身分識別。

除了 ACL 之外，指定驗證提供者 (這是租使用者特定 Microsoft Entra ID) 的租用戶層級屬性會寫入一次，一旦設定后就無法變更。 一旦為租使用者設定驗證提供者租使用者屬性之後，就無法使用對租用戶公開的任何 API 來變更它。

每個租用戶都會使用唯一的 SubscriptionId 。 所有客戶網站都由租用戶擁有，並指派租使用者唯一的 SubscriptionId 。 站臺上的 SubscriptionId 屬性會寫入一次，而且是永久的。 指派給租用戶之後，就無法將網站移至不同的租使用者。 SubscriptionId 是用來建立驗證提供者安全性範圍的密鑰，並系結至租使用者。

SharePoint 會使用 SQL Server 和 Azure 記憶體來儲存內容元數據。 內容存放區的分割區索引鍵是 SQL 中的 SiteId 。 執行 SQL 查詢時，SharePoint 會使用已驗證為租用戶層級 SubscriptionId 檢查一部分的 SiteId 。

SharePoint 會將加密的檔案內容儲存在 Microsoft Azure Blob 中。 每個 SharePoint 伺服器陣列都有自己的 Microsoft Azure 帳戶，而儲存在 Azure 中的所有 Blob 都會使用儲存在 SQL 內容存放區中的金鑰個別加密。 授權層在程式代碼中保護的加密金鑰，不會直接向用戶公開。 SharePoint 具有即時監視，可偵測 HTTP 要求何時讀取或寫入多個租用戶的數據。 系統會根據所存取資源的 SubscriptionId 追蹤要求身分識別 SubscriptionId。 使用者不應要求存取多個租用戶的資源。 多租用戶環境中的服務要求是唯一的例外狀況。 例如，搜尋編目程式會一次提取整個資料庫的內容變更。 這通常牽涉到在單一服務要求中查詢多個租用戶的網站，這是基於效率考慮而完成。

Teams

Teams 資料的儲存方式不同，視內容類型而定。

如需深入討論，請參閱 Microsoft Teams 架構上的 Ignite 分組討論。

核心 Teams 客戶數據

如果您的租使用者布建於澳洲、加拿大、歐盟、法國、德國、印度、日本、南非、南韓、瑞士 (包括列支敦斯登) 、阿拉伯聯合大公國、英國或 美國，Microsoft 只會將下列待用客戶數據儲存在該位置內：

• Teams 聊天、小組和頻道交談、影像、語音信箱訊息和聯繫人。
• SharePoint 網站內容和儲存在該網站內的檔案。
• 上傳至 OneDrive 以供公司或學校使用的檔案。

聊天， 頻道訊息， 小組結構

Teams 中的每個小組都受到 Microsoft 365 群組及其 SharePoint 網站和 Exchange 信箱的支援。 私人聊天 (包括群組聊天) 、在頻道中交談時傳送的訊息，以及小組和頻道的結構，都會儲存在 Azure 中執行的聊天服務中。 數據也會儲存在使用者和群組信箱中的隱藏資料夾中，以啟用 資訊保護 功能。

語音信箱和聯繫人

語音信箱會儲存在 Exchange 中。 聯繫人會儲存在 Exchange 型雲端數據存放區中。 Exchange 和 Exchange 型雲端存放區已在全球每個資料中心地理位置提供數據落地。 針對所有小組，語音信箱和聯繫人會儲存於澳洲、加拿大、法國、德國、印度、日本、阿拉伯聯合大公國、英國、南非、南韓、瑞士 (，其中包括列支敦斯登) ，以及 美國。 對於所有其他國家/地區，檔案會根據租用戶親和性儲存在美國、歐洲或 Asia-Pacific 位置。

影像和媒體

聊天中使用的媒體 (除了未儲存但為原始 Giphy 服務 URL 參考連結的 Giphy GIF 以外，Giphy 是非 Microsoft 服務) 儲存在部署至與聊天服務相同位置的 Azure 媒體服務中。

檔案

檔案 (包括 OneNote 和 Wiki) ，頻道中有人共用這些檔案會儲存在小組的 SharePoint 網站中。 在會議或通話期間於私人聊天或聊天中共用的檔案會上傳，並儲存在共用檔案之使用者的公司或學校帳戶 OneDrive 中。 Exchange、SharePoint 和 OneDrive 已在每個全球數據中心地理位置提供數據落地。 因此，對於現有客戶而言，屬於 Teams 體驗一部分的所有檔案、OneNote 筆記本、Teams Wiki 內容和信箱，都已根據您的租用戶親和性儲存在位置中。 檔案儲存於澳洲、加拿大、法國、德國、印度、日本、阿拉伯聯合大公國、英國、南非、南韓和瑞士 (，其中包括列支敦斯登) 。 對於所有其他國家/地區，檔案會根據租用戶親和性儲存在美國、歐洲或亞太地區位置。