Trả lời nhanh: Thêm địa chỉ email của họ vào nhóm là xong, họ nhận thư mời và tham gia được. Điều quan trọng cần biết: khách vào một nhóm Teams thấy luôn toàn bộ tài liệu trên site SharePoint của nhóm đó, không chỉ phần trò chuyện. Vì thế cần cân nhắc mời vào nhóm nào.
Mời khách rất tiện cho việc làm việc với đối tác, và cũng là cửa mở dữ liệu ra ngoài nếu không kiểm soát. Bài này nói rõ khách thấy được gì và cách giới hạn.
- Khách vào nhóm thấy cả tài liệu trên site của nhóm đó.
- Nên tạo nhóm riêng cho hợp tác bên ngoài thay vì mời vào nhóm nội bộ.
- Khách không tốn giấy phép trong giới hạn của Microsoft.
- Phân biệt khách trong nhóm với khách chỉ tham gia cuộc họp.
- Rà danh sách khách định kỳ, nó chỉ dài ra chứ không tự ngắn.
Khách thấy được gì
Đây là phần quan trọng nhất và hay bị hiểu nhầm.
Khi bạn thêm một người ngoài vào một nhóm Teams, họ thành thành viên của nhóm đó. Nghĩa là họ thấy:
- Toàn bộ trò chuyện trong các kênh chuẩn của nhóm, gồm cả tin nhắn cũ trước khi họ vào.
- Toàn bộ tệp trên site SharePoint của nhóm, vì tab tệp chính là site đó.
- Danh sách thành viên nhóm.
- Lịch và các ứng dụng gắn trong nhóm.
Điểm thứ hai là chỗ gây rủi ro. Nhiều người nghĩ mời khách vào để trao đổi vài câu, không nhận ra họ vừa mở cả kho tài liệu của phòng ban.
Vì thế nguyên tắc quan trọng nhất: tạo một nhóm riêng cho việc hợp tác với bên ngoài, chỉ chứa những gì cần chia sẻ. Đừng mời khách vào nhóm nội bộ của phòng ban.
Có thể dùng kênh riêng để giới hạn, nhưng cách tạo nhóm riêng vẫn rõ ràng và dễ quản lý hơn.
Cách mời và các mức khách
Mời vào nhóm: trong nhóm, chọn thêm thành viên, gõ địa chỉ email của họ. Hệ thống nhận ra đây là địa chỉ ngoài tổ chức và thêm họ với tư cách khách.
Họ nhận thư mời, bấm chấp nhận, và truy cập được. Nếu họ đã có tài khoản Microsoft thì đăng nhập bằng tài khoản đó, nếu chưa thì được hướng dẫn tạo.
Ba mức tham gia từ bên ngoài, khác nhau về quyền:
- Khách trong nhóm. Là thành viên nhóm, thấy mọi thứ trong nhóm như mô tả ở trên. Đây là mức sâu nhất.
- Liên lạc giữa hai tổ chức. Cho phép chat và họp giữa nhân viên hai công ty mà không cần thêm ai vào nhóm nào. Nhẹ nhàng hơn và phù hợp khi chỉ cần trao đổi.
- Chỉ tham gia cuộc họp. Họ vào họp qua liên kết, không có quyền gì khác. Đây là mức nhẹ nhất và đủ cho phần lớn cuộc gặp với đối tác.
Chọn mức nhẹ nhất đủ dùng. Rất nhiều trường hợp chỉ cần mức ba mà người ta lại mời hẳn vào nhóm.
Kiểm soát ở cấp tổ chức
Người quản trị đặt được nhiều giới hạn, và nên đặt trước khi việc mời khách trở nên phổ biến.
Trong trang Entra, phần cài đặt cộng tác bên ngoài:
- Ai được mời khách. Mặc định thường là mọi người dùng. Cân nhắc giới hạn cho một nhóm nhỏ, hoặc chỉ cho phép quản trị viên.
- Khách thấy được gì trong danh bạ tổ chức. Nên giới hạn để họ không xem được toàn bộ danh sách nhân viên.
- Chặn hoặc chỉ cho phép một số tên miền. Chẳng hạn chỉ cho mời khách từ tên miền của các đối tác đã biết.
Trong trang quản trị Teams, phần truy cập của khách: bật hoặc tắt hẳn, và đặt khách được làm gì như gọi thoại, chia sẻ màn hình, xóa tin nhắn của mình.
Trong trang quản trị SharePoint: mức chia sẻ ra ngoài, vì nó quyết định khách truy cập tệp được tới đâu.
Ba nơi này phối hợp với nhau. Chặt ở một nơi mà lỏng ở nơi khác thì kết quả vẫn là lỏng, nên cần rà cả ba.
Rà soát và gỡ khách
Danh sách khách chỉ dài ra nếu không ai dọn. Sau hai năm, một công ty có thể có hàng chục tài khoản khách từ các dự án đã kết thúc.
Cách rà: trong trang Entra, lọc người dùng theo loại khách. Với mỗi người, ba câu hỏi:
- Còn hợp tác với họ không?
- Họ đang ở trong nhóm nào và thấy được gì?
- Lần cuối họ đăng nhập là khi nào?
Câu cuối trả lời được bằng nhật ký đăng nhập. Khách không đăng nhập cả năm gần như chắc chắn là nên gỡ.
Ba thói quen tốt:
- Gỡ khách khi dự án kết thúc, đưa việc này vào danh sách đóng dự án.
- Rà toàn bộ mỗi sáu tháng.
- Cân nhắc bật rà soát truy cập nếu gói của bạn có. Tính năng này tự động hỏi chủ sở hữu nhóm định kỳ rằng khách này còn cần không, và tự gỡ nếu không ai xác nhận.
Gỡ khách khỏi nhóm khác với xóa tài khoản khách. Muốn cắt hẳn quyền truy cập thì phải xóa tài khoản khách trong Entra, chứ chỉ gỡ khỏi một nhóm thì họ vẫn còn trong tổ chức và có thể còn quyền ở nơi khác.
Giải pháp thay thế khi không muốn mời khách
Bốn cách chia sẻ với bên ngoài mà không cần thêm ai vào tổ chức.
- Chia sẻ liên kết tệp cho người cụ thể. Họ mở được đúng tệp đó, không thấy gì khác. Đây là cách gọn nhất cho việc trao đổi tài liệu.
- Mời họp qua liên kết. Đủ cho các cuộc gặp định kỳ với đối tác.
- Bật liên lạc giữa hai tổ chức nếu bên kia cũng dùng Teams. Nhân viên hai bên chat và họp trực tiếp mà không ai thành khách của ai.
- Dùng email cho những trao đổi không cần thời gian thực.
Nguyên tắc chung: chỉ mời khách vào nhóm khi họ thật sự cần làm việc chung trong thời gian dài với nhiều tài liệu. Với các nhu cầu nhẹ hơn, bốn cách trên vừa đủ vừa ít rủi ro hơn.
Khách thấy gì và không thấy gì
| Nội dung | Khách được mời vào nhóm có thấy không |
|---|---|
| Tin nhắn trong các kênh của nhóm đó | Có, gồm cả tin cũ trước khi họ vào |
| Tệp trong thư viện của nhóm đó | Có |
| Các nhóm khác trong công ty | Không |
| Danh bạ toàn công ty | Tùy cấu hình, mặc định thường có ở mức hạn chế |
| Lịch của nhân viên | Không |
| Thư điện tử nội bộ | Không |
Điểm quan trọng nhất nằm ở dòng đầu: khách mới mời vào đọc được toàn bộ lịch sử trò chuyện của kênh, kể cả phần trao đổi nội bộ trước đó. Vì thế nguyên tắc là tạo một nhóm riêng cho việc làm với khách, đừng mời khách vào nhóm nội bộ đang dùng.
Xem và siết chính sách bằng dòng lệnh
Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization","Directory.Read.All"
# Xem chinh sach voi nguoi dung khach hien tai
Get-MgPolicyAuthorizationPolicy | Select GuestUserRoleId, AllowInvitesFrom
# Liet ke toan bo khach dang co trong to chuc
Get-MgUser -Filter "userType eq 'Guest'" -All |
Select DisplayName, Mail, CreatedDateTime | Sort CreatedDateTime
# Khach lau khong dang nhap, ung vien go bo
Get-MgUser -Filter "userType eq 'Guest'" -All -Property DisplayName,Mail,SignInActivity |
Select DisplayName, Mail, @{n="LanCuoi";e={$_.SignInActivity.LastSignInDateTime}} |
Sort LanCuoiDanh sách khách tích tụ nếu không ai dọn
- Rà mỗi quý bằng lệnh ở trên. Danh sách khách tích tụ rất nhanh và không ai tự dọn.
- Gỡ khách khi dự án kết thúc, và đưa việc này vào danh sách việc khi đóng dự án.
- Đặt hạn cho quyền truy cập của khách nếu gói của bạn hỗ trợ đánh giá truy cập định kỳ.
- Trước khi gỡ, kiểm khách đó có sở hữu tệp nào không, để không mất tài liệu khi họ rời đi.
Khi không muốn mời khách
- Chia sẻ tệp bằng liên kết có hạn sử dụng và yêu cầu xác minh danh tính. Đủ cho phần lớn tình huống trao đổi tài liệu.
- Mời họp mà không mời vào nhóm: khách vào được cuộc họp nhưng không thấy nội dung nhóm.
- Dùng một nơi lưu trữ riêng cho tài liệu chia sẻ với đối tác, tách hẳn khỏi kho nội bộ.
Câu hỏi thường gặp
Khách có tốn giấy phép không
Trong giới hạn mà Microsoft cho phép thì không tốn giấy phép riêng. Nhưng họ chiếm dung lượng khi tải tệp lên, và họ là một tài khoản cần quản lý, nên đừng coi là hoàn toàn miễn phí về mặt vận hành.
Khách xem được tin nhắn cũ trước khi họ vào không
Có, với kênh chuẩn thì họ thấy toàn bộ lịch sử của kênh. Đây là điểm cần cân nhắc kỹ trước khi mời vào một nhóm đã hoạt động lâu.
Gỡ khách khỏi nhóm thì họ còn truy cập gì không
Họ mất quyền vào nhóm đó nhưng tài khoản khách vẫn còn trong tổ chức, và có thể còn quyền ở nơi khác nếu từng được cấp. Muốn cắt hẳn thì xóa tài khoản khách trong Entra.
Khách dùng Gmail có vào được không
Được. Họ đăng nhập bằng tài khoản Microsoft tạo từ địa chỉ Gmail đó, hoặc dùng cơ chế xác minh qua mã gửi tới email. Trải nghiệm hơi rườm hơn so với người đã có tài khoản Microsoft.
