Udostępnianie plików w Microsoft Teams: przewodnik konfiguracji

Udostępnianie plików w Microsoft Teams odbywa się przez SharePoint pod spodem — każdy Team ma powiązaną witrynę SharePoint, a każdy kanał ma dedykowaną bibliotekę dokumentów. Pliki przesłane do kanału trafiają do tej biblioteki; pliki w czatach trafiają do OneDrive nadawcy. Konfiguracja przebiega przez centrum administracyjne Teams i centrum administracyjne SharePoint razem, z warstwami zewnętrznego udostępniania, etykiet czułości, DLP i polityk retencji. Dla plików przekraczających limit 250 GB na plik SharePoint lub dla zewnętrznych dostaw objętych NDA, narzędzie do transferu z szyfrowaniem po stronie klienta wypełnia lukę. Ten przewodnik obejmuje konfigurację, która ma znaczenie.

Kręgosłup SharePoint

Każdy Team = Grupa Microsoft 365 + witryna SharePoint team + skrzynka pocztowa + Planner. Kanały wewnątrz Teamu mapują się na foldery wewnątrz biblioteki Documents witryny SharePoint. Kanały prywatne dostają własną osobną witrynę SharePoint (nie folder), co ma implikacje uprawnień i compliance.

Co to oznacza w praktyce:

Pliki przesłane do zakładki kanału to pliki SharePoint, w pełni indeksowane, kontrolowane wersjonowaniem, podlegające DLP i retencji SharePoint.
Pliki przesłane na czat jeden-na-jeden lub grupowy to pliki OneDrive należące do nadawcy. Gdy nadawca opuszcza organizację, te pliki wymagają migracji, albo znikają.
Udostępnianie linków wewnątrz Teams generuje linki udostępniania SharePoint z uprawnieniami ustawionymi w polityce udostępniania Twojego tenanta.

Traktuj Teams jako interfejs, a SharePoint jako magazyn. Twoja strategia plików to strategia SharePoint.

Model uprawnień

Cztery poziomy uprawnień mają zastosowanie:

Właściciele Teamu: pełna kontrola nad Teamem i jego witryną SharePoint. Mogą dodawać/usuwać członków, zmieniać ustawienia.
Członkowie Teamu: mogą tworzyć kanały (jeśli dozwolone przez ustawienia Teamu), przesyłać pliki, edytować, usuwać.
Goście: użytkownicy zewnętrzni dodani przez Azure AD B2B. Mogą mieć pełny lub ograniczony dostęp.
Uczestnicy kanałów współdzielonych: kanały współdzielone Teams pozwalają zewnętrznym użytkownikom współpracować bez bycia pełnymi gośćmi.

Ustaw podstawę na poziomie tenanta (centrum administracyjne Teams → Polityki Teams) i nadpisuj per Team, gdy konkretne przypadki wymagają. Nie pozwalaj indywidualnym właścicielom Teamu ustawiać dowolnych polityk; odchylenie staje się niemożliwe do audytowania.

Konfiguracja zewnętrznego udostępniania

Zewnętrzne udostępnianie to miejsce, gdzie tenancy mają problemy. Centrum administracyjne SharePoint → Polityki → Udostępnianie kontroluje sufit na poziomie całego tenanta:

Każdy: link działa dla każdego, bez logowania. Maksymalna wygoda, maksymalne ryzyko.
Nowi i istniejący goście: odbiorca musi się uwierzytelnić, albo jako istniejący gość, albo przez nowy przepływ tworzenia gościa.
Istniejący goście: tylko bieżący goście w Twoim katalogu mogą uzyskać dostęp.
Tylko osoby z Twojej organizacji: brak zewnętrznego udostępniania.

Większość przedsiębiorstw ustawia „Istniejący goście" lub „Nowi i istniejący goście" jako sufit tenanta. Indywidualne witryny mogą być bardziej restrykcyjne. Dla jednorazowych zewnętrznych dostaw, które nie uzasadniają tworzenia konta gościa, narzędzie do transferu z krótkotrwałym linkiem chronionym hasłem jest często czystsze niż gościowanie kogoś w Twoim tenancie.

Etykiety czułości i DLP

Microsoft Purview (dawniej centrum compliance Microsoft 365) to miejsce konfiguracji etykiet czułości i polityk DLP.

Etykiety czułości stosują się do dokumentów: Publiczne, Wewnętrzne, Poufne, Wysoce Poufne. Etykiety niosą ustawienia — szyfrowanie, watermarkowanie, ograniczenia dostępu — które podróżują z plikiem gdziekolwiek on trafi.

Przykład: dokument oznaczony „Poufne — Partnerzy Zewnętrzni" szyfruje się automatycznie, pozwala na przeglądanie/edycję przez nazwaną domenę partnera, uniemożliwia pobieranie przez kogokolwiek innego i wygasa dostęp po 90 dniach.

Polityki DLP skanują zawartość pliku pod kątem wzorców (numery kart kredytowych, numery PESEL, dokumentacja medyczna) i egzekwują działania: ostrzeżenie, blokadę lub wymóg uzasadnienia menedżera dla zewnętrznego udostępnienia. Gotowe szablony obejmują HIPAA, PCI DSS 4.0, RODO, GLBA.

Wdrażaj etykiety w trzech etapach: publikuj z szkoleniem, monitoruj w trybie audytu przez 30–60 dni, potem egzekwuj.

Retencja i legal hold

Polityki retencji SharePoint (Purview → Zarządzanie cyklem życia danych) ustawiają, jak długo pliki są przechowywane po usunięciu lub modyfikacji. Typowe ustawienia:

Przechowuj wszystkie wersje przez 365 dni.
Przechowuj pliki przez 7 lat od utworzenia (typowe dla SOX, HIPAA).
Automatyczne usunięcie po 3 latach od ostatniej modyfikacji (minimalizacja danych RODO — wymóg egzekwowany przez UODO).

Legal hold zachowuje konkretne pliki lub witryny przed usunięciem, gdy przewidywany jest spór sądowy. Konfiguruj przez eDiscovery Purview.

Witryny Teamu dziedziczą domyślną retencję, chyba że zastosowana jest konkretna etykieta. Przeglądaj pokrycie retencją co kwartał; luki tutaj to miejsca, gdzie audytorzy znajdują problemy.

Historia wersji pliku

SharePoint przechowuje domyślnie do 500 wersji. Główne i poboczne wersjonowanie może być włączone per biblioteka dla bardziej granularnej kontroli. Dla każdej biblioteki zawierającej umowy, polityki lub dokumenty regulowane, włącz wersjonowanie jawnie i ustaw retencję pasującą do okna compliance dokumentu.

Użytkownicy przywracają poprzednie wersje przez historię wersji pliku w Teams lub SharePoint. Administratorzy mogą odzyskać usunięte pliki z kosza (domyślnie 93 dni).

Limity rozmiarów i co jest poza nimi

Limit SharePoint na plik to 250 GB. Upload przez klienta Teams ogranicza się do 250 GB na plik. Limit uploadu jest hojny; praktyczne problemy pojawiają się gdzie indziej:

Prędkości uploadu na połączeniach konsumenckich oznaczają, że 250 GB zajmuje wiele godzin.
Konflikty synchronizacji na dużych plikach z aktywnymi edytorami.
Limity indeksowania wyszukiwania dla bardzo dużych plików.
Okna tworzenia kopii zapasowych i przywracania znacznie się wydłużają.

Dla plików bliskich lub przekraczających limit — lub dla jednorazowych zewnętrznych dostaw, gdzie plik nie powinien mieszkać w SharePoint — narzędzie do transferu jest właściwym wyborem. Model szyfrowania AES-256-GCM po stronie klienta HexaTransfer utrzymuje zawartość nieprzezroczystą dla każdej usługi pośredniej, odpowiednie dla plików, które nie powinny siedzieć w zachowanej historii SharePoint.

Kanały współdzielone kontra dostęp dla gości

Kanały współdzielone (wprowadzone szeroko w 2022 roku) pozwalają współpracować z zewnętrznymi organizacjami bez zapraszania ich jako gości do Twojego tenanta. Użytkownicy zewnętrznej organizacji pojawiają się w kanale z własną tożsamością tenanta. Zalety:

Mniejszy narzut licencji i provisioningu.
Zewnętrzni użytkownicy pozostają w swoim MFA, polityce haseł i reżimie compliance.
Czystsze wyjście po zakończeniu zaangażowania.

Wady:

Niedostępne dla każdej funkcji; niektóre aplikacje Teams jeszcze nie obsługują kanałów współdzielonych.
Modele uprawnień mogą wprowadzać zamieszanie — pliki w kanale współdzielonym mieszkają w witrynie SharePoint z dostępem obu organizacji.

Dla stałej współpracy wieloorganizacyjnej, kanały współdzielone biją dostęp dla gości. Dla jednorazowych zewnętrznych wysyłek — żadne z nich nie — użyj linku do transferu.

Integracja narzędzi spoza Microsoft

Katalog aplikacji Teams zawiera integracje dla Dropbox, Box, Google Drive, Adobe Acrobat, Figma i więcej. Instaluj je na poziomie tenanta, żeby użytkownicy mogli dołączać pliki z tych serwisów zamiast duplikować uploady.

Dla serwisów transferowych, większość nie ma dedykowanych aplikacji Teams, ale wklejanie URL działa. Wklejony link HexaTransfer wyświetla się w kanale jako podgląd; odbiorcy klikają, żeby pobrać. Połącz z przepływem Power Automate wyzwalanym na plikach wrzuconych do konkretnego folderu — auto-generuj link do transferu dla plików oznaczonych „wyślij zewnętrznie."

Dzienniki audytu i raporty compliance

Dzienniki audytu dla aktywności plików (przeglądanie, edycja, usuwanie, udostępnianie) żyją w Purview Audit. Retencja logów zależy od poziomu licencji:

Microsoft 365 Business: 90 dni.
E3: 180 dni.
E5: 1 rok standardowo, do 10 lat z dodatkami.

Dla reżimów compliance wymagających dłuższej retencji, eksportuj logi do SIEM (Sentinel, Splunk, Datadog) przez Microsoft Graph API.

Lista kontrolna konfiguracji

Przed wdrożeniem udostępniania plików Teams do całej organizacji:

Polityka zewnętrznego udostępniania na poziomie tenanta ustawiona na właściwy sufit.
Etykiety czułości opublikowane i przypisane z co najmniej jedną obowiązkową etykietą dla całej zawartości.
Polityki DLP na miejscu dla regulowanych typów danych applicable do Twojej org.
Polityki retencji skonfigurowane per witryna SharePoint / per etykieta czułości.
Uprawnienia synchronizacji przetestowane na próbce urządzeń osobistych.
Przepływ dostępu dla gości udokumentowany dla właścicieli Teamów.
Narzędzie do transferu zatwierdzone dla dużych plików lub wrażliwych jednorazowych przypadków, udokumentowane w polityce udostępniania plików.

Typowe pułapki

Pliki z czatu należące do odchodzących pracowników: znikają, chyba że retencja je wychwytuje. Ustaw retencję OneDrive dla odejść.
Wycieki linków „Każdy": audytuj raporty udostępniania co miesiąc i wyłączaj odziedziczone linki „Każdy" tam, gdzie nie są zamierzone.
Zamieszanie dziedziczenia uprawnień: złamanie dziedziczenia w podfolderze tworzy wyspy, o których właściciele Teamu zapominają.
Puchnące witryny prywatnych kanałów: każdy prywatny kanał to osobna witryna; nie pojawiają się w normalnym zarządzaniu Teamem.

Udostępnianie plików Teams jest sprawne, ale nagradza dyscyplinę konfiguracyjną. Skonfiguruj kontrole, przeszkól użytkowników, audytuj wyniki.

Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, max 10 GB.