Power BI 實作規劃：租用戶層級安全性規劃

此租用戶層級安全性規劃文章的主要目標讀者為：

• Fabric 管理員：負責監督組織中 Power BI 的管理員。
• 卓越中心、IT 和 BI 團隊：同時負責監督 Power BI 的團隊。 他們可能需要與 Power BI 管理員、資訊安全團隊和其他相關團隊共同作業。

本文也可能與建立、發佈和管理工作區中內容的自助 Power BI 建立者相關。

此系列文章旨在擴充 Power BI 安全性白皮書中的內容。 Power BI 安全性白皮書著重於驗證、資料落地和網路隔離等重要技術主題。 實作規劃系列文章則提供有助於規劃安全性和隱私權的考量和決策。

由於 Power BI 內容的使用和保護方式因人而異，因此內容建立者會制定許多策略性決策。 不過，租用戶層級也有一些策略性規劃決策。 這些策略性規劃決策是本文的重點。

建議盡早做出租用戶層級安全性決策，因為此類決策會影響其他所有項目。 此外，當您清楚了解整體安全性目標和目的時，更容易做出其他安全性決策。

Power BI 系統管理

Fabric 管理員屬於高級特殊權限角色，對 Power BI 有相當大的控制權。 建議仔細考量要指派擔任此角色的人員，因為 Fabric 管理員能夠執行許多高階功能，包括：

• 租用戶設定管理：管理員可以在管理入口網站中管理租用戶設定。 他們可以啟用或停用設定，以及允許或不允許設定中的特定使用者或群組。 請務必了解您的租用戶設定對使用者體驗有重大影響。
• 工作區角色管理：管理員可以在管理入口網站中更新工作區角色。 他們可能會更新工作區安全性以存取任何資料，或授權其他使用者存取 Power BI 服務中的任何資料。
• 個人工作區存取：管理員可以存取任何使用者的內容，並控管任何使用者的個人工作區。
• 租用戶中繼資料的存取：管理員可以存取整個租用戶的中繼資料，包括透過 Power BI 管理員 API 擷取的 Power BI 活動記錄和活動事件。

Power BI 管理員至少被指派擔任了其中一個內建角色：

• Fabric 管理員
• Power Platform 系統管理員
• 全域管理員 – 這是高級特殊權限角色，其成員資格應加以限制。

指派管理員角色時，建議遵循最佳做法。

檢查清單 – 規劃誰將成為 Fabric 管理員時，關鍵決策和行動包括：

安全性和隱私權策略

您必須做出一些與安全性和隱私權相關的租用戶層級決策。 您所採取的策略及所做的決策取決於：

• 您的資料文化。 目標是鼓勵一種資料文化，了解資料安全性和保護人人有責。
• 您的內容擁有權和管理策略。 集中式和分散式內容管理層級會大幅影響安全性的處理方式。
• 您的內容傳遞範圍策略。 檢視內容的人數會影響內容的安全性處理方式。
• 您符合全球、國家/地區和產業法規的需求。

以下是一些高階安全性策略範例。 您可以選擇做出影響整個組織的決策。

• 資料列層級安全性需求：您可以使用資料列層級安全性 (RLS) 來限制特定使用者的資料存取。 這表示存取相同報表時，不同使用者會看到不同資料。 Power BI 語意模型或數據源（使用單一登錄時）可以強制執行 RLS。 如需詳細資訊，請參閱報表取用者安全性規劃一文中的＜根據取用者身分識別強制執行資料安全性＞一節。
• 資料可探索性：確定在 Power BI 中建議探索資料的程度。 可探索性會影響誰可以在資料中樞內尋找語意模型或資料超市，以及是否允許內容作者使用 [要求存取] 工作流程來要求存取這些項目。 如需詳細資訊，請參閱<可自訂的受控自助式 BI>使用案例。
• 允許儲存在 Power BI 中的資料：確定是否有不應該儲存在 Power BI 中的特定資料類型。 例如，您可以指定不允許將特定敏感性資訊類型 (例如銀行帳戶號碼或社會安全號碼) 儲存在語意模型中。 如需詳細資訊，請參閱資訊保護和資料外洩防護一文。
• 輸入私人網路：確定是否有使用私人端點存取 Power BI 以隔離網路的需求。 當您使用 Azure Private Link 時，會使用 Microsoft 私人網路網骨幹傳送資料流量，而不是透過網際網路傳送。
• 輸出私人網路：確定連線到資料來源時是否需要更多安全性。 虛擬網路 (VNet) 資料閘道可讓您安全地從 Power BI 輸出連線到 VNet 中的資料來源。 當內容儲存在 Premium 工作區時，您可以使用 Azure VNet 資料閘道。

某些組織層級決策會產生公司治理原則，特別是當這些決策與合規性相關時。 其他組織層級決策則可能會產生指導方針，您可以將這些指導方針提供給負責管理和保護自己內容的內容建立者。 產生的原則和指導方針應包含在您的集中式入口網站、訓練教材及通訊計劃中。

檢查清單 - 規劃高階安全性策略時，關鍵決策和行動包括：

與 Microsoft Entra ID 整合

Power BI 安全性是以 Microsoft Entra 租用戶為基礎。 下列 Microsoft Entra 概念與 Power BI 租用戶的安全性相關。

• 使用者存取：若要存取 Power BI 服務，除了需要使用者帳戶，還需要 Power BI 授權 (免費、Power BI Pro 或 Premium Per User - PPU)。 您可以將內部使用者和來賓使用者新增至 Microsoft Entra ID，這些使用者也可以與內部部署 Active Directory (AD) 同步。 如需來賓使用者的詳細資訊，請參閱外部使用者的策略。
• 安全性群組：在 Power BI 租用戶設定中提供特定功能時，需要Microsoft Entra 安全性群組。 您可能也需要群組，才能有效地保護 Power BI 工作區內容或發佈內容。 如需詳細資訊，請參閱使用群組的策略。
• 條件式存取原則：您可以設定 Power BI 服務和 Power BI 行動裝置應用程式的條件式存取。 Microsoft Entra 條件式存取可以在各種情況下限制驗證。 例如，您可以強制執行下列原則：
  • 部分或所有使用者需要多重要素驗證。
  • 只允許符合組織原則的裝置。
  • 允許來自特定網路或 IP 範圍的連線。
  • 封鎖來自未加入網域之電腦的連線。
  • 封鎖風險性登入的連線。
  • 只允許特定類型的裝置連線。
  • 有條件地允許或拒絕特定使用者存取 Power BI。
• 服務主體：您可能必須建立 Microsoft Entra 應用程式註冊，才能佈建服務主體。 當 Power BI 管理員想執行無人參與的排程指令碼，以使用 Power BI 管理員 API 擷取資料時，建議使用服務主體驗證。 在自訂應用程式中內嵌 Power BI 內容時，服務主體也很有用。
• 即時原則：您可以選擇設定即時工作階段控制或存取控制原則，過程會用到 Microsoft Entra ID 和 Microsoft Defender for Cloud Apps。 例如，您可以在 Power BI 服務中的報表具有特定敏感度標籤時，禁止下載該報表。 如需詳細資訊，請參閱資訊保護和資料外洩防護一文。

在不受限制的存取與過度限制的存取之間，可能很難找到正確的平衡點 (這讓使用者感到挫折)。 最佳策略是與您的 Microsoft Entra 管理員合作，以了解目前的設定。 試著對業務需求保持回應，同時留意必要的限制。

檢查清單 - 識別 Microsoft Entra 整合的需求時，關鍵決策和行動包括：

外部使用者的策略

Power BI 支援 Microsoft Entra 企業對企業 (B2B)。 例如，來自客戶或合作夥伴公司的外部使用者可受邀作為 Microsoft Entra ID 中的來賓使用者，以進行共同作業。 外部使用者可以使用 Power BI 以及許多其他 Azure 和 Microsoft 365 服務。

當來自另一個組織的外部使用者同時設定 Microsoft Entra ID 時，會有下列優勢。

• 主租用戶會管理認證：使用者的主租用戶保有其身分識別和認證管理的控制權。 您不需要同步身分識別。
• 主租用戶會管理使用者的狀態：當使用者離開該組織且帳戶遭到移除或停用時，使用者將立即無法再存取您的 Power BI 內容。 這是一個重要優勢，因為您可能不知道何時有人離開組織。
• 使用者授權的彈性：有符合成本效益的授權選項。 外部使用者可能已有 Power BI Pro 或 PPU 授權，在此情況下，您不需要為其指派授權。 您也可以將 Fabric (免費) 授權指派給外部使用者，授權他們存取 Premium 容量、Fabric F64 或更大容量工作區中的內容。

金鑰設定

啟用外部使用者存取及管理其運作方式有兩個層面：

• Microsoft Entra 設定，由 Microsoft Entra 管理員管理。 這些 Microsoft Entra 設定是必要條件。
• Power BI 租用戶設定，由 Power BI 管理員在管理入口網站中管理。 這些設定會控制 Power BI 服務中的使用者體驗。

來賓邀請程序

您可以透過兩種方式邀請來賓使用者加入您的租用戶。

• 計劃性邀請：您可以在 Microsoft Entra ID 中事先設定外部使用者。 如此一來，每當 Power BI 使用者需要指派權限時 (例如應用程式權限)，就能有來賓帳戶可供使用。 雖然需要一些預先規劃，但這是最一致的程序，因為所有 Power BI 安全性功能都受到支援。 系統管理員可以使用 PowerShell，有效率地新增大量外部使用者。
• 臨時邀請：當 Power BI 使用者與外部使用者共用內容或對其發佈內容時，可以在 Microsoft Entra ID 中自動產生來賓帳戶 (如果先前未設定外部使用者)。 當您事先不知道外部使用者是誰時，此方法會很有用。 不過，必須先在 Microsoft Entra ID 中啟用此功能。 臨時邀請方法適用於臨時個別項目權限和應用程式權限。

客戶用戶 ID

每個 Microsoft Entra 租用戶都有一個通用唯一識別碼 (GUID)，稱為「租用戶識別碼」。 在 Power BI 稱為「客戶租用戶識別碼 (CTID)」。 CTID 可讓 Power BI 服務從不同組織租用戶的觀點找出內容。 您必須在與外部使用者共用內容時，將 CTID 附加至 URL。

以下是將 CTID 附加至 URL 的範例：https://app.powerbi.com/Redirect?action=OpenApp&appId=abc123&ctid=def456

當您必須將貴組織的 CTID 提供給外部使用者時，您可以在 Power BI 服務中開啟 [關於 Power BI] 對話方塊視窗找到該識別碼。 此視窗位於 Power BI 服務右上方的 [說明與支援 (?)] 功能表中。 CTID 會附加至租用戶 URL 的結尾。

組織商標

當您的組織中經常發生外部來賓存取時，最好使用自訂商標。 這可協助使用者識別目前存取的組織租用戶。 自訂商標元素包括標誌、封面影像和佈景主題色彩。

下列螢幕擷取畫面顯示來賓帳戶存取 Power BI 服務時的外觀。 其中包括 [來賓內容] 選項，當 CTID 附加至 URL 後即可使用。

外部資料共用

有些組織除了與外部使用者共用報表之外，還必須執行更多工作。 他們想要與外部使用者 (例如合作夥伴、客戶或廠商) 共用語意模型。

就地語意模型共用 (也稱為「跨租用戶語意模型共用」) 的目標是允許外部使用者使用您建立、管理及提供的資料來建立自己的自訂報表與複合模型。 原始共用語意模型 (由您建立) 會保留在 Power BI 租用戶中。 相依報表和模型會儲存在外部使用者的 Power BI 租用戶中。

執行就地語意模型共用工作涉及數個安全性層面。

• 租用戶設定：[允許來賓使用者使用自己租用戶中的共用語意模型]：此設定會指定是否可以使用外部資料共用功能。 必須啟用以下顯示的其他兩個設定之一才會生效。 此設定是由 Power BI 管理員針對整個組織啟用或停用。
• 租用戶設定：[允許特定用戶開啟外部資料共用]：此設定會指定哪些使用者群組可以在外部共用資料。 這裡允許的使用者群組可以使用第三項設定 (如下所述)。 此設定是由 Power BI 管理員管理。
• 語意模型設定：[外部共用]：此設定會指定外部使用者是否可以使用該特定語意模型。 此設定是由每個特定語意模型的內容建立者和擁有者管理。
• 語意模型權限：[讀取] 和 [建置]：仍有支援內容建立者的標準語意模型權限。

如果為語意模型指定資料列層級安全性，則該安全性適用於外部使用者。 如需詳細資訊，請參閱報表取用者安全性規劃一文中的＜根據取用者身分識別強制執行資料安全性＞一節。

外部使用者訂閱

如前所述，外部使用者在 Microsoft Entra ID　中最常以來賓使用者身分進行管理。 除了這個常見的方法之外，Power BI 還提供其他功能，可將報表訂閱發佈給組織外部的使用者。

Power BI 的 [允許將電子郵件訂閱傳送給外部使用者] 租用戶設定會指定是否允許使用者將電子郵件訂閱傳送給還不是Microsoft Entra 來賓使用者的外部使用者。 建議您設定此租用戶設定，以符合組織想要管理外部使用者帳戶的嚴格或靈活程度。

檢查清單 - 規劃如何處理外部來賓使用者時，關鍵決策和行動包括：

檔案位置的策略

檔案類型各式各樣，應該予以適當地儲存。 因此，請務必協助使用者了解檔案和資料預期應位於何處。

由於 Power BI Desktop 檔案和 Excel 活頁簿可能包含匯入的資料，因此具有相關風險。 此資料可能包括客戶資訊、個人識別資訊 (PII)、專屬資訊，或是受法規或合規性需求拘束的資料。

以下是 Power BI 實作中可能涉及的一些檔案類型。

• 來源檔案
  • Power BI Desktop 檔案：發佈至 Power BI 服務之內容的原始檔案 (.pbix)。 當檔案包含資料模型時，則可能包含匯入的資料。
  • Excel 活頁簿：Excel 活頁簿 (.xlsx) 可能會連接到 Power BI 服務中的語意模型， 因此還可能包含匯出的資料。 甚至可能是發佈至 Power BI 服務之內容的原始活頁簿 (作為工作區中的活頁簿項目)。
  • 編頁報告檔案：發佈至 Power BI 服務之內容的原始報表檔案 (.rdl)。
  • 來源資料檔案：一般檔案 (例如 .csv 或 .txt) 或是包含已匯入至 Power BI 模型之來源資料的 Excel 活頁簿。
• 匯出的檔案和其他檔案
  • Power BI Desktop 檔案：已從 Power BI 服務下載的 .pbix 檔案。
  • PowerPoint 和 PDF 檔案：從 Power BI 服務下載的 PowerPoint 簡報 (.pptx) 和 PDF 文件。
  • Excel 和 CSV 檔案：從 Power BI 服務中的報表匯出的資料。
  • 編頁報告檔案：從 Power BI 服務中的編頁報告匯出的檔案。 支援 Excel、PDF 和 PowerPoint。 編頁報告還有其他匯出檔案格式，包括 Word、XML 或網頁封存。 使用將檔案匯出至報表 API 時，也支援影像格式。
  • 電子郵件檔案：來自訂閱的電子郵件影像和附件。

您必須對使用者可以或不可以儲存檔案的位置做出一些決策。 一般而言，該程序涉及建立使用者可以參考的治理原則。 來源檔案和匯出的檔案位置應受到保護，以確保供授權使用者適當存取。

以下是使用檔案的一些建議。

• 將檔案儲存在共用文件庫中：使用 Teams 網站、SharePoint 文件庫，或是工作或學校用 OneDrive 共用文件庫。 避免使用個人文件庫和磁碟機。 確定備份儲存體位置。 也請確定儲存位置已啟用版本控制，以便復原至舊版。
• 盡可能多使用 Power BI 服務：盡可能使用 Power BI 服務來共用和發佈內容。 如此一來，就能一律確保完整稽核存取權。 在檔案系統上儲存和共用檔案的權限，應該保留給少數共同處理內容的使用者。
• 不要使用電子郵件：不建議使用電子郵件來共用檔案。 當有人以電子郵件傳送 Excel 活頁簿或 Power BI Desktop 檔案給 10 位使用者時，就會產生 10 份檔案。 肯定會有包含不正確 (內部或外部) 電子郵件地址的風險。 此外，將檔案轉寄給其他人的風險也會更高。 (若要將此風險降至最低，請與您的 Exchange Online 管理員合作，實作規則來根據檔案大小或副檔名類型等條件封鎖附件。如需 Power BI 中其他資料外洩防護策略的說明，請參閱資訊保護和資料外洩防護一文。)
• 使用範本檔案：有時會有與其他人共用 Power BI Desktop 檔案的合法需求。 在此情況下，請考慮建立和共用 Power BI Desktop 範本 (.pbit) 檔案。 範本檔案只會包含中繼資料，因此大小小於來源檔案。 這項技術需要收件者輸入資料來源認證，以重新整理模型資料。

管理入口網站中有租用戶設定，可控制從 Power BI 服務匯出時，允許使用者使用哪些匯出格式。 請務必檢閱並設定這些設定。 其他作業還包括規劃要用於匯出檔案的檔案位置。

檢查清單 - 規劃檔案位置時，關鍵決策和行動包括：

使用群組的策略

基於下列原因，建議使用 Microsoft Entra 安全性群組來保護 Power BI 內容。

• 降低維護需求：不需要修改 Power BI 內容的權限，即可修改安全性群組成員資格。 您可以新增使用者至群組，也可以從群組移除不必要的使用者。
• 改善正確性：由於群組成員資格變更進行一次，因此會產生更正確的權限指派。 如果偵測到錯誤，可以更輕鬆地更正錯誤。
• 委派：您可以將管理群組成員資格的責任委派給群組擁有者。

高階群組決策

關於如何使用群組，有一些策略性決策。

建立和管理群組的權限

建立和管理群組有兩個關鍵決策。

• 誰可以建立群組？ 通常只有 IT 人員可以建立安全性群組。 不過，您可以將使用者新增至 Microsoft Entra 內建「群組管理員」角色。 如此一來，特定受信任的使用者 (例如 Power BI 擁護者或 COE 的附屬成員) 就可以為其業務單位建立群組。
• 誰可以管理群組的成員？ 通常是由 IT 人員管理群組成員資格。 不過，您可以指定一或多個允許新增和移除群組成員的「群組擁有者」。 當允許分散式小組或 COE 的附屬成員管理 Power BI 特定群組的成員資格時，使用「自助群組管理」會很有幫助。

規劃 Power BI 群組

請務必建立高階策略，說明如何使用群組來保護 Power BI 內容及進行許多其他用途。

群組的各種使用案例

請考慮下列群組使用案例。

適用於 Power BI 租用戶設定的群組

根據現有的內部程序，您還需要其他群組。 管理租用戶設定時，這些群組會很有幫助。 以下列出一些範例。

• Power BI 工作區建立者：適用於需要限制誰可以建立工作區時。 可用來設定 [建立工作區] 租用戶設定。
• Power BI 認證主題專家：有助於指定誰可以對內容使用認證背書。 可用來設定 [認證] 租用戶設定。
• Power BI 核准的內容建立者：適用於需要核准、訓練或原則通知以安裝 Power BI Desktop 或是取得 Power BI Pro 或 PPU 授權時。 可供租用戶設定用來建議內容建立功能，例如 [允許 DirectQuery 連線至 Power BI 語意模型]、[將應用程式推送給終端使用者]、[允許 XMLA 端點] 等。
• Power BI 外部工具使用者：適用於允許特定使用者群組使用外部工具時。 可依群組原則使用，或在必須謹慎控制軟體安裝或要求時使用。
• Power BI 自訂開發人員：適用於需要控制誰可以內嵌 Power BI 外部其他應用程式中的內容時。 可用來設定 [在應用程式中內嵌內容] 租用戶設定。
• Power BI 公開發佈：適用於需要限制誰可以公開發佈資料時。 可用來設定 [發佈至 Web] 租用戶設定。
• Power BI 分享給整個組織：適用於需要限制誰可以與組織中每個人分享連結時。 可用來設定 [允許可共用的連結授與您組織中所有人員的存取權] 租用戶設定。
• Power BI 外部資料共用：適用於需要允許特定使用者與外部使用者共用語意模型時。 可用來設定 [允許特定使用者開啟外部資料共用] 租用戶設定。
• Power BI 來賓使用者存取已授權：適用於需要將組織授權的已核准外部使用者分組時。 可用來設定 [允許 Microsoft Entra 來賓使用者存取 Power BI] 租用戶設定。
• Power BI 來賓使用者存取 BYOL：適用於需要將從主要組織自備授權 (BYOL) 的已核准外部使用者分組時。 可用來設定 [允許 Microsoft Entra 來賓使用者存取 Power BI] 租用戶設定。

群組類型

您可以建立不同的群組類型。

• 安全性群組：當您的主要目標是授與資源的存取權時，安全性群組是最佳選擇。
• 擁有郵件功能的安全性群組：當您需要授與資源的存取權並透過電子郵件將訊息發佈給整個群組時，擁有郵件功能的安全性群組是不錯的選擇。
• Microsoft 365 群組：這種類型的群組具有 Teams 網站和電子郵件地址。 當主要目標是 Teams 網站中的通訊或共同作業時，這是最佳選擇。 Microsoft 365 群組只有成員和擁有者，沒有檢視者角色。 因此，其主要目的是共同作業。 這種類型的群組先前稱為 Office 365 群組、新式群組或整合群組。
• 通訊群組：您可以使用通訊群組將廣播通知傳送給使用者清單。 今天，它被認為是提供回溯相容性的舊版概念。 針對新的使用案例，建議您改為建立擁有郵件功能的安全性群組。

當您要求新群組或想要使用現有群組時，請務必注意其類型。 群組類型可以決定群組的使用和管理方式。

• Power BI 權限：並非所有群組類型都受到每個安全性作業類型的支援。 安全性群組 (包括擁有郵件功能的安全性群組) 在設定 Power BI 安全性選項方面提供最高的涵蓋範圍。 Microsoft 文件通常建議使用 Microsoft 365 群組。 不過，在 Power BI 的情況下，其功能不如安全性群組。 如需 Power BI 權限的詳細資訊，請參閱此系列中有關安全性規劃的後續文章。
• Power BI 租用戶設定：允許或不允許使用者群組使用 Power BI 租用戶設定時，您只能使用安全性群組 (包括擁有郵件功能的安全性群組)。
• 進階 Microsoft Entra 功能：某些類型的進階功能不支援所有群組類型。 例如，Microsoft 365 群組不支援一個群組內的群組巢狀結構。 雖然某些群組類型支援動態群組成員資格 (基於 Microsoft Entra ID 中的使用者屬性)，但 Power BI 不支援使用動態成員資格的群組。
• 管理方式不同：建立或管理群組的要求可能會根據群組類型路由傳送給不同的管理員 (擁有郵件功能的安全性群組和通訊群組是在 Exchange 中管理)。 因此，您的內部程序會因群組類型而有所差異。

群組命名慣例

您最終可能會在 Microsoft Entra ID 中擁有許多群組，以支援您的 Power BI 實作。 因此，對於如何命名群組有一致的模式非常重要。 良好的命名慣例有助於確定群組的用途並簡化其管理。

請考慮使用下列標準命名慣例：<前置詞><用途> - <主題/範圍/部門><[環境]>

下列清單描述命名慣例的每個部分。

• 前置詞：用來將所有 Power BI 群組分組在一起。 當群組用於多個分析工具時，您的前置詞可能只有 BI，而不是 Power BI。 在此情況下，描述用途的文字會更一般，使其與多個分析工具相關。
• 用途：用途會依情況而異。 可能是用於工作區角色、應用程式權限、項目層級權限、資料列層級安全性或其他用途。 有時候，單一群組可以滿足多個用途。
• 主題/範圍/部門：用來釐清群組的適用對象。 通常會描述群組成員資格。 也可指出管理群組的人員。 有時候，單一群組可用於多個用途。 例如，財務工作區集合可以使用單一群組來管理。
• 環境：選擇性。 有助於區分開發、測試和生產環境。

以下是套用標準命名慣例的一些範例群組名稱。

• Power BI 工作區管理員 - 財務 [開發]
• Power BI 工作區成員 - 財務 [開發]
• Power BI 工作區參與者 - 財務 [開發]
• Power BI 工作區檢視者 - 財務 [開發]
• Power BI 應用程式檢視者 - 財務
• Power BI 閘道器管理員 - 企業 BI
• Power BI 閘道管理員 - 財務

每個群組的決策

規劃您需要哪些群組時，有幾個決策必須制定。

當內容建立者或擁有者要求新群組時，理想情況下會使用表單來提供下列資訊。

• 名稱和用途：建議的群組名稱及其預定用途。 請考慮在群組名稱中包含 Power BI (當您有多個 BI 工具時則只包含 BI)，以清楚指出群組的範圍。
• 電子郵件地址：當群組成員也需要通訊時，請提供電子郵件地址。 並非所有群組類型都必須擁有郵件功能。
• 群組類型：選項包括安全性群組、擁有郵件功能的安全性群組、Microsoft 365 群組和通訊群組。
• 群組擁有者：誰可以擁有和管理群組的成員。
• 群組成員資格：預計將成為群組成員的使用者。 請考慮是否可以新增外部使用者和內部使用者，或是否有理由將外部使用者放入不同的群組。
• 使用 Just-In-Time 群組成員指派：您可以使用 Privileged Identity Management (PIM)，將有時間範圍的 Just-In-Time 存取權授與群組。 當使用者需要暫時存取時，這項服務會很有幫助。 PIM 對於需要偶爾存取的 Power BI 管理員也很有幫助。

檢查清單 - 制定如何使用群組的的策略時，關鍵決策和行動包括：

相關內容

在本系列的下一篇文章中，了解如何將內容安全地傳遞給唯讀報表取用者。