信任中心： Office 365 和 Microsoft Dynamics CRM Online 的安全、隐私和合规性信息
管理访问权限
我们使您能够了解是否有人访问过您的数据。我们知道，在云中，数据访问权限是您最关心的问题之一。这意味着，您既要了解您能够在需要时访问您的数据，还要了解是否有他人访问过您的数据。
Office 365 和 Microsoft Dynamics CRM Online 在数据访问权限方面采取的定位是怎样的？
我们对数据访问权限的定位如下：
• 我们始终授予您访问您的客户数据的权限。
• 对客户数据的访问是有严格控制和记录的，并且会由 Microsoft 和第三方共同执行抽样审核，以证明访问是纯粹出于合理的业务目的而进行的。
• 我们承认，我们客户的内容1 （如 Exchange Online 电子邮件正文数据和 SharePoint Online 团队网站内容）具有特别高的重要性。如果有人（Microsoft 员工、合作伙伴2 或您自己的管理员）访问过您在服务中托管的内容，您可以运行非所有者邮箱访问报告* 或外部管理员审核日志来获得有关访问情况的报告。这两种报告让您可以了解您的内容可能曾在何时被他人访问过。
• Exchange 管理中心 (EAC) 内的非所有者邮箱访问报告将列出曾被邮箱所有者以外的人员访问过的邮箱。在非所有者访问邮箱时，Microsoft Exchange 会在邮箱审核记录中记录下此次操作的信息，邮箱审核记录将以电子邮件的形式存储在所审核邮箱的隐藏文件夹内。默认情况下，邮箱审核日志中的条目保留 90 天。
*您必须为希望运行非所有者邮箱访问报告的每个邮箱分别启用邮箱审核日志。如果未启用邮箱审核日志，您在运行报告时无法获得任何结果。
进一步了解 运行非所有者邮箱访问报告 。
• 管理员审核日志中记录管理员和已分配管理特权的用户所执行的特定操作。您可以使用 EAC 搜索和查看管理员审核日志中表示 Microsoft 管理员和委托管理员所执行的操作的条目。
进一步了解 查看外部管理员审核日志 。
• Azure Active Directory Premium 是 Office 365 的身份平台，提供身份管理和访问控制功能。Azure Active Directory 功能包含基于云的目录数据存储以及一组核心身份服务，其中包括用户登录流程、身份验证服务和联合身份验证服务。
若要了解如何使用访问和使用情况报告了解贵组织 Azure Active Directory (AD) 租户的完整性和安全性， 请参阅这篇文章 。
我如何查看对数据的管理访问权限？
服务 | 跟踪的活动 | 说明 |
Office 365 和 Dynamics CRM Online | 用户的门户创建，密码重置 | |
Exchange Online | Exchange 邮箱访问 3 | 访问 Exchange 控制面板（ Office 365 Online 门户 的“管理员概述”页面中提供了相应链接 ；需要登录） |
SharePoint Online | SharePoint 站点，存储访问权限 | |
Microsoft Dynamics CRM Online | CRM 内容访问权限 |
1 内容是指客户对其有较高的保密期望，并且在正常使用服务时会通过 Internet 加密传输的数据。具体包括：Exchange Online 电子邮件正文及附件、SharePoint Online 网站内容和文件正文、即时消息和语音对话，以及有关最终客户交互的 CRM 业务数据。
2 报告反映您的合作伙伴对您在服务中存储的内容的管理访问权限。并非所有合作伙伴方案都包括在内。例如，不提供关于经销商（向客户出售服务并进行结算的经销商）、高级通信服务 VOIP 合作伙伴的报告以及关于 Research in Motion（针对 Hosted BlackBerry® 服务）等关联服务的报告，这是由于这些合作伙伴在通常使用服务的过程中对数据的访问操作的性质导致的。
3 对于已经启用 Exchange Online Protection 管理中心的企业客户，排在管理中心的队列中的管理访问是不可报告的。
谁对 Office 365 或 Microsoft Dynamics CRM Online 具有管理权限？
从定义上来看，Microsoft 数据库管理员可以访问数据库中的所有资源，包括客户数据。
我们使用客户数据只是为了提供服务；因此，Microsoft 严禁出于任何其他目的访问客户数据。为了提供服务，数据库管理员可以访问客户数据以执行活动，例如对数据库进行性能优化或将客户从一个数据库迁移到另一个数据库。
下表详细介绍了不同管理员和数据类型的不同访问权限级别：
管理员 | 客户数据（不包括内容） | 内容 |
操作响应团队（仅限于关键人员） | 可以访问，视需要而定。 | 可以访问，但仅限特殊情况。 |
支持组织 | 可以访问，仅在响应支持询问需要时可以。 | 不可以访问。 |
工程团队 | 不可以直接访问。可以在故障排除期间传输。 | 不可以访问。 |
合作伙伴 | 获得客户允许后可以访问。请联系合作伙伴了解更多信息。 | 获得客户允许后可以访问。请联系合作伙伴了解更多信息。 |
Microsoft 的其他人员 | 不可以访问。1 | 不可以访问。 |
1 Microsoft 的其他人员可能会利用 Office 365 商业版、商业协作版和商业高级版客户目录中由最终用户指定的联系信息向这些最终用户发送促销通信材料。
Microsoft 采取了哪些措施来支持其客户在访问数据方面的权限？客户是否始终都可以访问他们的数据？
客户能够通过标准协议以及服务描述中定义的访问机制访问并控制他们的数据。
在客户对服务的订阅或使用即将结束时，客户始终可以导出他们的数据。“联机服务使用权限”（有关此主题的信息的权威来源）中包含了完整的详细信息（企业协议客户应查阅“产品使用权限”）。但为方便起见，我们在此处列出了截至 Office 365 最新发布时的“联机服务使用权限”的规定：
联机服务过期或被终止。 当您的联机服务订阅过期或被终止后，您必须与 Microsoft 联系，告知我们采取以下哪种措施：
•(1) 禁用您的帐户，然后删除客户数据；或者
•(2) 在您的订阅过期或被终止后使用一个功能有限的帐户将您的客户数据至少保留 90 天（以下简称"保留期"），以便您可以提取数据。
•如果您指示我们采取措施 (1)，您将无法从您的帐户中提取客户数据。如果您既没有指示我们采取措施 (1)，也没有指示我们采取措施 (2)，我们将根据措施 (2) 保留客户数据。
• 当保留期到期后，我们将禁用您的帐户，然后删除您的客户数据。我们将在保留期结束后的 30 天内清除缓存或备份的副本。
Microsoft 在删除客户数据之前会发出多项通知，以便告知并提醒客户如果他们不在规定的时间范围内采取行动，Microsoft 就会删除数据。
如果客户在按照法律要求满足隐私请求时需要帮助，则依据多项协议，客户可以联系 Microsoft 客户支持 以便获得关于访问、更改、删除或阻止他们的客户数据方面的帮助。对于无法通过标准工具和流程实现的请求，将收取额外的费用。
我如何确定只向授权用户授予了管理访问权限来方便他们履行工作职责？
所有 Office 365 和 Microsoft Dynamics CRM Online 人员都需要为他们对客户数据的处理负责，因为对 Office 365 和 Microsoft Dynamics CRM Online 数据的访问权限是以可以跟踪到唯一用户的方式授予的。
换句话说，责任是通过一系列系统控制措施履行的，包括使用唯一的用户名称、数据访问控制和审核。与"来宾"或"管理员"等通用用户名不同，唯一用户名用于通过确定针对特定人员的用户操作（称为"绑定"）来履行责任。还会使用双因素身份验证（如使用数字证书或 RSA 令牌的智能卡登录）来进一步强化此绑定。
Microsoft 对将向哪些人员角色和人员授予访问客户数据的权限进行严格控制。人员 对存储客户数据的 IT 系统的访问通过 基于角色的访问控制 (RBAC) 和锁箱流程 [英语] 严格加以控制。访问控制是一个自动化流程，遵守职责分离原则和授予最低权限原则。此流程确保请求访问这些 IT 系统的工程师满足资格要求，例如背景检查、指纹验证、要求的安全培训、访问批准等 。 此外，还会定期审查访问级别，以确保只有拥有合理业务理由的用户具有对系统的访问权限。
用户对数据的访问权限还受用户角色的限制。例如，不会向系统管理员提供数据库管理访问权限。
Microsoft 采取了哪些控制措施来限制对我的数据的物理访问？
所有 Office 365 和 Microsoft Dynamics CRM Online 数据中心都拥有生物特征访问控制，其中用于提供 Office 365 和 Microsoft Dynamics CRM Online 的大多数数据中心都要求提供手掌印才能对数据中心进行物理访问。
对 Office 365 和 Microsoft Dynamics CRM Online 数据中心的物理访问由两层身份验证控制，这两层身份验证包括代理卡访问读取器（需要卡访问徽章）和掌形生物特征读取器。
每季度，Microsoft 安全官都会向有权批准数据中心访问权限的授权人员发送报告。报告包含当前拥有数据中心的访问权限的人员的名单。授权人员对该名单进行审核，以确保所有人仍都需要访问权限并且拥有执行其职责所需的最低特权访问级别。
有关 Office 365 和/或 Microsoft Dynamics CRM Online 获得客户数据的方法的其他信息，请参阅“Microsoft 开发产品和服务隐私指南”、“Office 365 安全白皮书”、“Microsoft Dynamics CRM Online 安全性和服务持续性指南”和“Microsoft Online 隐私白皮书”。
Microsoft 会对获得了管理权限的人员执行哪些类型的背景调查？
在美国工作的所有 Microsoft 员工都需要在招聘过程中成功完成标准背景检查。
背景检查包括审查与候选人的教育、就业和犯罪历史记录有关的信息。除了适用于所有 Microsoft 新员工的标准背景检查外，对于拥有客户数据访问权限或掌管关键物理和逻辑访问控制的新员工和现有员工，都必须接受根据出口管制清单进行的检查。（出口管制清单包括美国海外资产控制办公室 (OFAC) 清单、美国工业安全局 (BIS) 清单和美国国防贸易管制办公室 (DDTC) 公布的禁止人员名单。）
如果与我们向客户提供的服务相关的访问权限请求与特定要求有关（如美国联邦政府），则还会执行其他信息和背景检查，如国籍检查和指纹验证。
为了保护员工的隐私，Microsoft 不会与客户共享背景检查的结果。
其他资源
•Microsoft Dynamics CRM Online 安全性和服务持续性指南 [英语]
•Office 365 安全性（白皮书 ） [英语]