Cẩm nang Quản trị Microsoft 365
cho Doanh nghiệp

Mục tiêu: Khởi tạo tài khoản nhân viên mới; tạm khóa (block sign-in) khi nghỉ phép/điều tra; mở khóa lại; hoặc xóa khi nghỉ việc.

1. Tạo mới: Users → Active users → Add a user. Nhập Họ tên, Username (ten@domain.com), đặt mật khẩu (nên bật “yêu cầu đổi khi đăng nhập lần đầu”).
2. Gán license (ví dụ Microsoft 365 Business Standard) và vai trò (mặc định User). Finish.
3. Khóa tạm (block): chọn user → Block sign-in → bật “Block this user from signing in”. Tài khoản còn tồn tại nhưng không đăng nhập được.
4. Mở khóa: chọn user → Block sign-in → tắt tùy chọn.
5. Xóa: chọn user → Delete user. Tài khoản chuyển vào Deleted users, khôi phục được trong 30 ngày.

Mục tiêu: Phân quyền theo phòng ban bằng nhóm bảo mật / nhóm Microsoft 365, áp dụng nguyên tắc tối thiểu quyền (Least Privilege) — gán quyền cho nhóm thay vì từng người.

1. Tạo nhóm theo phòng ban (ví dụ GRP-KeToan, GRP-KinhDoanh). Chọn loại Security (gán quyền tài nguyên) hoặc Microsoft 365 (kèm mailbox nhóm, Teams, SharePoint).
2. Thêm thành viên vào nhóm; gán quyền SharePoint/Teams/ứng dụng cho nhóm, không gán lẻ cho user.
3. Có thể gán license theo nhóm (Group-based licensing) trong Entra → Groups → chọn nhóm → Licenses để tự động cấp license khi thêm thành viên.
4. Rà soát định kỳ: ai thừa quyền thì gỡ khỏi nhóm.

Mục tiêu: Reset mật khẩu nhanh khi nhân viên quên/khóa; đồng thời khuyến khích bật SSPR để người dùng tự đặt lại.

1. Chọn user → Reset password → tạo tự động hoặc tự nhập; nên bật “require change on first sign-in”.
2. Gửi mật khẩu tạm qua kênh an toàn (Zalo cá nhân/điện thoại), tuyệt đối không gửi kèm trong email chính tài khoản đó.
3. Nếu tài khoản bị khóa do đăng nhập sai nhiều lần: kiểm tra trong Entra → Users; sau khi reset + revoke session, hướng dẫn đăng nhập lại.
4. Bật SSPR (giảm tải): Entra → Protection → Password reset → chọn nhóm áp dụng → bắt buộc đăng ký phương thức xác thực.

Mục tiêu: Theo dõi số license đã mua / đã dùng / còn trống, gán và thu hồi hợp lý để tránh lãng phí chi phí.

1. Vào Billing → Licenses để xem tổng quan từng loại license: đã mua / đã gán / còn trống.
2. Gán: mở một sản phẩm → tab Users → Assign licenses → chọn nhân viên.
3. Thu hồi: chọn nhân viên nghỉ việc → bỏ chọn license (hoặc gỡ trong profile user). License trống có thể tái sử dụng.
4. Tối ưu hàng tháng: đối chiếu số license trống với kế hoạch tuyển dụng; cân nhắc hạ số lượng ở kỳ gia hạn nếu dư nhiều.

Mục tiêu: Chuẩn hóa quy trình onboarding/offboarding để bảo mật thông tin công ty và chuyển giao dữ liệu an toàn.

Checklist nghỉ việc (offboarding) — thực hiện theo thứ tự:

1. Block sign-in tài khoản (1.1) để chặn truy cập ngay.
2. Reset password + Revoke sessions (Entra → user → Revoke sessions) để kết thúc mọi phiên.
3. Chuyển tiếp email: đặt forwarding về quản lý/người kế nhiệm (xem 2.3).
4. Chuyển mailbox thành Shared mailbox (EAC → mailbox → Convert) để lưu lại thư từ mà không tốn license.
5. Chuyển giao OneDrive/SharePoint: cấp quyền cho quản lý truy cập OneDrive của người nghỉ (admin.microsoft.com → user → OneDrive → Create link to files).
6. Gỡ license (1.4) và gỡ khỏi các nhóm/Teams.
7. Xóa/wipe thiết bị công ty nếu quản lý qua Intune.
8. Sau 30–90 ngày không còn nhu cầu → Delete user.

Mục tiêu: Cấp hộp thư ten@congty.com. Điều kiện tiên quyết: tên miền đã được thêm & xác thực trong tổ chức.

1. Thêm tên miền: Settings → Domains → Add domain → nhập congty.com → xác thực bằng bản ghi TXT tại nhà cung cấp DNS.
2. Mailbox người dùng được tạo tự động khi bạn gán license có Exchange Online cho tài khoản (1.1).
3. Đặt địa chỉ chính đúng tên miền công ty; kiểm tra trong EAC → Recipients → Mailboxes.
4. Thiết lập đầy đủ thuộc tính: chức danh, phòng ban, số điện thoại (hiển thị trong danh bạ GAL).

Mục tiêu: Tạo hộp thư dùng chung (info@, hotro@) và nhóm phân phối để gửi một địa chỉ tới nhiều người — tiết kiệm license.

1. Shared mailbox: Recipients → Mailboxes → Add a shared mailbox → đặt tên & email (ví dụ info@congty.com).
2. Thêm thành viên có quyền truy cập: tab Delegation → Read and manage (Full Access) & Send As.
3. Distribution group (Mailing list): Recipients → Groups → Add a group → chọn Distribution list → thêm thành viên. Thư gửi tới địa chỉ nhóm sẽ phân phối cho tất cả.
4. Tùy chọn: giới hạn ai được gửi vào nhóm (Delivery management) để chống spam nội bộ.

Mục tiêu: Thêm địa chỉ phụ (alias), chuyển tiếp email và cấp quyền Full Access / Send As hợp lệ.

1. Alias: chọn user → tab Mail → Manage email aliases → thêm địa chỉ phụ (vd sales@ trỏ về user).
2. Forwarding: cùng tab Mail → Email forwarding → bật và nhập địa chỉ nhận; chọn có giữ bản sao trong hộp gốc hay không.
3. Phân quyền: trong EAC → Mailboxes → chọn mailbox → Delegation → thêm người với quyền Read and manage (Full Access), Send as, hoặc Send on behalf.
4. Kiểm tra lại người được cấp quyền đã thấy hộp thư trong Outlook (có thể cần vài phút đồng bộ).

Mục tiêu: Điều tra nguyên nhân thư không tới nơi bằng Message Trace; giải phóng thư bị cách ly (quarantine).

1. Mail flow → Message trace → Start a trace: nhập người gửi/nhận, khoảng thời gian → Search.
2. Mở một kết quả để xem chi tiết đường đi và trạng thái: Delivered / Failed / Pending / Quarantined, kèm lý do & mã lỗi.
3. Thư bị quarantine: vào Defender security.microsoft.com → Email & collaboration → Review → Quarantine → chọn thư → Release & report.
4. Bounce (NDR): đọc mã trong thư trả về (vd 550 5.4.1) để biết nguyên nhân (địa chỉ sai, bị chặn, vượt dung lượng…).
5. Nếu do uy tín tên miền → kiểm tra SPF/DKIM/DMARC (2.5).

Mục tiêu: Đảm bảo uy tín tên miền & chống giả mạo — 4 bản ghi cốt lõi phải đúng và đầy đủ.

1. MX: trỏ về congty-com.mail.protection.outlook.com (lấy giá trị chính xác trong trang DNS records của domain).
2. SPF (TXT): v=spf1 include:spf.protection.outlook.com -all — chỉ một bản ghi SPF duy nhất.
3. DKIM: bật tại Defender → Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM → chọn domain → Enable (tạo sẵn 2 CNAME selector1/selector2 trong DNS).
4. DMARC (TXT): host _dmarc, giá trị khởi đầu v=DMARC1; p=none; rua=mailto:dmarc@congty.com; sau khi theo dõi báo cáo, siết dần lên p=quarantine rồi p=reject.
5. Hàng tháng: dùng công cụ kiểm tra (MXToolbox) đối chiếu, đảm bảo không bị thay đổi/thiếu.

Mục tiêu: Bật Teams cho nhân viên và kiểm soát việc cài ứng dụng bên ngoài để bảo mật.

1. Quyền dùng Teams đi kèm license — kiểm tra license đã gán (1.4).
2. Kiểm soát app: Teams apps → Manage apps để cho phép/chặn từng ứng dụng toàn tổ chức.
3. Permission policies: giới hạn loại app người dùng được cài (Microsoft / bên thứ ba / tùy chỉnh).
4. Setup policies: ghim sẵn các app cần thiết lên thanh Teams cho từng nhóm người dùng.

Mục tiêu: Tạo/sắp xếp nhóm – kênh, phân vai trò Owner / Member / Guest đúng.

1. Teams → Manage teams → xem toàn bộ team, số thành viên, trạng thái.
2. Mở một team để thêm/bớt thành viên, đặt lại Owner (nên có tối thiểu 2 owner mỗi team).
3. Quản lý kênh: kênh chuẩn (Standard), riêng tư (Private), chia sẻ (Shared).
4. Kiểm soát Guest: bật/tắt quyền khách toàn tổ chức tại Teams → Users → Guest access.

Mục tiêu: Thiết lập bảo mật cuộc họp (phòng chờ, ai được trình bày, ghi hình) và chia sẻ tệp.

1. Meetings → Meeting policies: bật Lobby (phòng chờ) để khách phải chờ admin cho vào.
2. Giới hạn ai được trình bày (Presenter), ai được ghi hình/transcript.
3. Calling policies (Voice → Calling policies): bật/tắt gọi ra ngoài, chuyển cuộc gọi.
4. Chia sẻ tệp: file Teams nằm trên SharePoint — kiểm soát chia sẻ ra ngoài ở SharePoint admin (xem 5.3).

Mục tiêu: Khắc phục nhanh sự cố client/web Teams của người dùng.

1. Kiểm tra license & Teams được bật cho user (1.4, 3.1).
2. Hướng dẫn người dùng đăng xuất → xóa cache Teams → đăng nhập lại (hoặc dùng bản web teams.microsoft.com để khoanh vùng lỗi client).
3. Kiểm tra Conditional Access có chặn thiết bị/địa điểm không (4.4).
4. Xem Service Health xem có sự cố Microsoft toàn cầu không (6.1).
5. Nếu lỗi quyền truy cập team/kênh → kiểm tra vai trò thành viên (3.2).

Mục tiêu: Bắt buộc 100% người dùng dùng Microsoft Authenticator — biện pháp quan trọng nhất chống chiếm tài khoản.

1. Cách khuyến nghị: Protection → Conditional Access → New policy. Users: All users (loại trừ 1 tài khoản break-glass). Target: All cloud apps. Grant: Require multifactor authentication.
2. Bật ở chế độ Report-only trước để kiểm tra tác động, sau đó chuyển On.
3. Cấu hình phương thức tại Protection → Authentication methods: ưu tiên Microsoft Authenticator (số khớp - number matching); hạn chế SMS.
4. Hướng dẫn người dùng đăng ký tại aka.ms/mfasetup.
5. Định kỳ rà soát ai chưa đăng ký MFA và nhắc hoàn tất.

Mục tiêu: Phát hiện đăng nhập từ IP lạ / quốc gia lạ và xử lý sớm.

1. Identity → Monitoring & health → Sign-in logs: lọc theo Location, IP, trạng thái Success/Failure, Conditional Access.
2. Chú ý dấu hiệu: đăng nhập từ quốc gia bất thường, nhiều lần thất bại rồi thành công, “impossible travel”.
3. Nếu có Entra ID P2: Protection → Risky users / Risky sign-ins để xem điểm rủi ro do Identity Protection chấm.
4. Tài khoản nghi ngờ → xử lý theo quy trình 4.5.

Mục tiêu: Giới hạn số Global Admin, gán vai trò chuyên biệt, kích hoạt PIM để cấp quyền tạm thời (just-in-time).

1. Identity → Roles & admins: xem ai đang giữ vai trò gì; gỡ các quyền thừa.
2. Giữ số Global Administrator tối thiểu (khuyến nghị 2–4), còn lại dùng vai trò chuyên biệt (User/Exchange/Teams/Security Admin).
3. Bật PIM (cần Entra ID P2): Identity Governance → Privileged Identity Management → đặt vai trò nhạy cảm thành eligible thay vì active; yêu cầu MFA + lý do khi kích hoạt.
4. Bật Access reviews định kỳ cho các vai trò admin.

Mục tiêu: Chỉ cho thiết bị/điều kiện hợp chuẩn truy cập dữ liệu công ty.

1. Protection → Conditional Access → Policies: rà soát toàn bộ chính sách đang bật, đối tượng, điều kiện và kết quả.
2. Các chính sách nền tảng nên có: Require MFA (4.1), Block legacy authentication, chặn/điều kiện theo địa điểm.
3. Yêu cầu thiết bị hợp chuẩn (compliant) hoặc Hybrid joined (cần Intune) cho ứng dụng nhạy cảm.
4. Dùng What If (trong Conditional Access) để mô phỏng chính sách áp lên một user trước khi bật.

Mục tiêu: Ngăn chặn ngay khi phát hiện tài khoản bị chiếm: khóa, hủy phiên, thu hồi truy cập.

Quy trình phản ứng nhanh — theo thứ tự:

1. Block sign-in tài khoản ngay (Entra → user → Block sign-in).
2. Reset password bằng mật khẩu mạnh mới.
3. Revoke sessions (Entra → user → Revoke sessions) để chấm dứt mọi token/phiên hiện có.
4. Kiểm tra & gỡ forwarding/rule lạ trong mailbox (EAC → mailbox → Rules & forwarding) — dấu hiệu phổ biến của tấn công email.
5. Kiểm tra MFA method có bị kẻ tấn công thêm số điện thoại/app lạ không → xóa.
6. Rà soát Sign-in logs & Audit logs (4.2, 5.1) để đánh giá phạm vi ảnh hưởng.
7. Khôi phục: cấp lại quyền, hướng dẫn người dùng đổi mật khẩu các dịch vụ liên quan; lập báo cáo RCA (6.3).

Mục tiêu: Phát hiện thao tác bất thường: xóa dữ liệu, tải xuống hàng loạt, thay đổi quyền, tạo forwarding lạ.

1. Vào Audit → đặt khoảng thời gian, chọn Activities (vd: deleted, FileDownloaded, New-InboxRule), lọc theo người dùng → Search.
2. Xem kết quả, mở chi tiết từng sự kiện; Export CSV để lưu bằng chứng/báo cáo.
3. Tập trung các hoạt động nhạy cảm: xóa hàng loạt, tải xuống lớn, thay đổi quyền chia sẻ, tạo rule chuyển tiếp.
4. Nếu Audit chưa bật: Purview → Audit → Start recording user and admin activity.

Mục tiêu: Khôi phục email/tệp bị xóa trong phạm vi thời gian lưu giữ (Retention Policy).

1. Xác định loại dữ liệu & thời điểm xóa → chọn nơi khôi phục tương ứng ở bảng trên.
2. Với email xóa “cứng”: dùng Recover items deleted from this folder trong Outlook (Recoverable Items).
3. Quá thời hạn recycle bin nhưng trong hạn Retention: dùng eDiscovery/khôi phục qua Purview, hoặc mở ticket Microsoft (6.5).
4. Ghi nhận lại nguyên nhân & phạm vi cho báo cáo.

Mục tiêu: Thiết lập Retention, DLP và External sharing để chống rò rỉ dữ liệu.

1. Retention: Purview → Data Lifecycle Management → tạo retention policy cho Exchange/SharePoint/OneDrive/Teams (giữ dữ liệu tối thiểu theo quy định công ty).
2. DLP: Purview → Data Loss Prevention → tạo policy phát hiện/chặn chia sẻ thông tin nhạy cảm (CCCD, thẻ tín dụng, tài khoản ngân hàng) ra ngoài.
3. External sharing: SharePoint admin → Policies → Sharing → đặt mức chia sẻ (khuyến nghị “Existing guests” hoặc “Only people in your organization” tùy nhu cầu).
4. Rà soát định kỳ danh sách site/tệp đang chia sẻ ra ngoài; thu hồi link không còn cần.

Mục tiêu: Phát hiện sớm sự cố toàn cầu của Microsoft để chủ động thông báo nội bộ, tránh mất công debug nhầm.

1. Health → Service health: xem trạng thái các dịch vụ (Exchange, Teams, SharePoint, Identity…).
2. Mở sự cố đang hoạt động để đọc mô tả, phạm vi ảnh hưởng, thời gian dự kiến khắc phục.
3. Xem Message center (cùng mục Health) để nắm thay đổi/tính năng mới sắp triển khai.
4. Nếu xác nhận là sự cố phía Microsoft → thông báo nội bộ, không mất công sửa tại chỗ.

Mục tiêu: Đảm bảo Entra ID / Entra Connect hoạt động ổn định (nếu có đồng bộ với AD nội bộ).

1. Entra → Identity → Monitoring & health → Sign-in logs: rà soát lỗi đăng nhập hệ thống (không phải do người dùng).
2. Nếu có đồng bộ Hybrid: kiểm tra Entra Connect / Connect Health xem trạng thái đồng bộ, lỗi và lần sync gần nhất.
3. Kiểm tra Audit logs (Entra) cho các thay đổi phân quyền bất thường.
4. Ghi nhận & xử lý các lỗi lặp lại.

Mục tiêu: Tìm nguyên nhân gốc & lập báo cáo RCA với giải pháp khắc phục/phòng ngừa.

1. Khoanh vùng: sự cố toàn cục (Service Health – 6.1) hay cục bộ một người/nhóm?
2. Thu thập bằng chứng: Message Trace (email – 2.4), Sign-in logs (đăng nhập – 4.2), Audit logs (thao tác – 5.1).
3. Dựng lại dòng thời gian sự việc, xác định nguyên nhân gốc.
4. Áp dụng khắc phục; đề xuất biện pháp phòng ngừa tái diễn.
5. Lập báo cáo RCA: hiện tượng → ảnh hưởng → nguyên nhân → cách xử lý → phòng ngừa.

Mục tiêu: Cảnh báo sớm khi Mailbox/OneDrive gần đầy, license sắp hết, hoặc có cảnh báo bảo mật.

1. Dung lượng: admin → Reports → Usage (Mailbox usage, OneDrive, SharePoint storage) để thấy ai sắp đầy.
2. License: Billing → Licenses (1.4) đối chiếu còn trống / sắp hết hạn.
3. Bảo mật: Defender security.microsoft.com → Incidents & alerts xử lý cảnh báo mới.
4. Tổng hợp thành báo cáo tuần ngắn gọn gửi doanh nghiệp.

Mục tiêu: Tạo & theo dõi service request cho sự cố hạ tầng/cấp Microsoft.

1. admin → Support → Help & support: mô tả vấn đề, hệ thống gợi ý giải pháp tự phục vụ trước.
2. Nếu chưa giải quyết → Contact support / New service request: cung cấp mô tả chi tiết, ảnh chụp lỗi, Message/Correlation ID, phạm vi ảnh hưởng.
3. Ghi lại mã ticket, theo dõi sát qua email/cổng support.
4. Cập nhật tiến độ cho doanh nghiệp; khi xong, lưu kết luận vào RCA (6.3).