Microsoft 365 / 新员工帐户、许可证与组设置的顺序
Microsoft 365 新员工设置按照 创建帐户 → 确认使用位置和许可证 → 授予必要的组和角色 → 首次登录和安全检查 的顺序进行，可以减少遗漏。仅创建帐户并不能确保邮件和协作服务全部准备就绪。请先确认组织批准的权限标准，并验证实际用户的访问权限。
开始前需获取的信息
向人事·业务负责人确认新员工的显示名称、登录名和邮件地址、入职日期、所属部门、工作国家·地区、所需应用程序、团队·网站访问范围，以及是否需要管理员角色。还需检查是否有同名帐户或现有别名。在一次性创建多人帐户时，也不要统一复制权限和许可证，应根据岗位逐一确认。
许可证必须在组织有订阅并且有可用数量时才能分配。应用于用户的 使用位置 与服务是否可用相关，因此应根据实际工作信息进行指定。可以在 Microsoft 的 用户添加指南 和 许可证分配指南 中检查当前菜单和权限条件。
请求·批准·执行·验证职责分配
| 阶段 | 确定负责人及依据 | 视为完成的结果 |
|---|---|---|
| 入职请求 | 人事负责人确认入职日期及实际人员 | 确认是否为现有员工或再入职人员及命名规则 |
| 权限批准 | 部门·资料所有者按职务批准 | 确认所需团队、站点、共享邮箱列表 |
| 帐户·产品设置 | 具有适当的用户和许可管理权限的负责人 | 帐户和所需服务已无错误准备就绪 |
| 第一天确认 | 新入职员工与支持负责人 | 实际确认登录、认证及工作资料访问 |
“和旁边的员工一样”的请求不能替代已批准的权限列表。因为现有员工可能拥有临时项目或管理员权限。再入职员工在先创建新帐户之前，应先确认现有或已删除帐户的状态及资料交接要求。在同步组织中，应首先决定是否在原始目录中创建帐户。
新入职员工帐户及许可设置顺序
- 在 Microsoft 365 管理中心的 [用户] → [活动用户] 中搜索是否存在相同帐户，并确认可用许可数量。
- 在 [添加用户] 中输入姓名、用户名、域和使用位置。确认登录名和显示名是否符合组织的命名规范。
- 选择所需的产品许可证和服务计划。根据实际工作所需的功能（如邮件、Teams、桌面应用等）进行选择，不要出于惯性分配不必要的产品。
- 在创建帐户后，请在用户详细信息页面再次确认许可证和服务是否已保存。即便许可证已分配，邮箱等准备工作仍可能需要一些时间。
在创建帐户之前，确定初始密码的传递方式和用户身份验证方法。让用户本人在首次登录时执行密码更改和认证注册，不要要求用户向管理员提供新密码或身份验证代码。具体的输入路径和错误排查可在用户创建·许可证分配方法中查看。
如何授予组和访问权限？
安全组用于应用或资源访问及策略应用，Microsoft 365 组可连接到 Teams、SharePoint 等协作空间。在添加新人到团队时，请先向业务负责人确认其所属的团队和站点，然后将其添加到相应组中。如果使用基于组的许可证，还需确认不会与直接分配或其他组的策略冲突。可参考微软的基于组的许可证指南。
管理员角色与普通用户权限分开处理。只有在确实需要角色时，才授予对应工作所需的最小权限，并在可能情况下，将日常工作帐户与管理帐户分开。
团队可在Teams 管理中心 → 团队 → 管理团队 → 目标团队 → 成员中实际添加帐户，安全和 Microsoft 365 组可在团队和组 → 活动团队和组中添加实际帐户。仅需读取 SharePoint 资料的人员不要加入整个团队成员，以免授予不必要的编辑权限。共享邮箱需单独确认读取和发送委派权限，不随组参与自动配置。
使用基于组的许可证的组织确认顺序
- 首先确认与该职务相关的许可证组所连接的产品和应用。如果是动态组，还需确认新入职员工的部门等属性是否符合规则。
- 将用户加入获批准的组并重新读取成员列表。不假定仅加入组内其他组的嵌套结构会传递至许可证分配。
- 在计费 → 许可证的产品和用户详情中确认实际分配结果。组成员添加成功与产品分配成功是两个独立状态。
- 如果失败，请在错误和问题中检查许可证数量不足、使用位置、服务冲突，并在修正原因后重新处理。不为覆盖错误而额外直接分配其他产品。
同一用户可能拥有多个分配路径，因此请记录是直接分配还是从哪个组获得的。如果职位变更需要转到其他许可证组，请先确认新组的添加和新产品的应用，然后再从原组移除，以减少服务空档。但许可证转移与数据访问权限回收必须分别验证。
首次登录前需确认事项
- 确认初始密码及传递方式是否符合组织的安全流程，并指导用户在首次登录时更改密码。
- 告知多重身份验证(MFA)的注册方式及设备注册、条件访问要求，考虑让用户有时间准备注册手段。
- 与新员工或负责人一起确认邮件接收地址、必要的团队/站点访问权限及应用程序运行情况。
- 如果出现问题，请按照许可证分配结果、组成员身份、登录日志、服务状态的顺序缩小原因。
第一天的工作测试及交接记录
如果是销售岗位员工入职的案例，可以按以下顺序进行确认。测试在没有实际客户信息的文档和经过批准的邮件对象上进行。
- 入职者本人使用正确的公司帐户登录，并完成MFA注册和认证。如果公司PC注册是必需的，也要确认设备准备情况和条件访问结果。
- 在网页版Outlook中打开邮箱，确认内部和外部的测试收发情况。如果使用的是代表邮箱，还需确认本人帐户的委派访问权限和允许的发件显示。
- 在指定的团队或网站中打开测试文档，并执行符合岗位的阅读和编辑操作。仅能打开文件夹链接并不意味着所有资料权限都恰当。
- 安装并激活所需的桌面应用程序，并保存文档。区分权限、文件访问或设备策略中出现失败的环节。
- 将确认的事项和未完成的事项以及支持窗口移交给入职人员和部门负责人，并记录临时权限或测试资料整理责任人。
如果登录步骤失败，请查看 登录日志；如果只是应用无法打开，请检查许可证和服务准备情况；如果只是某个特定文件无法打开，请确认实际存储的权限。新员工第一天无法登录时，不要重复创建新帐号。错误授予的组或角色只回收该项，同时确认其他工作访问权限是否仍然存在。
