Customer Lockbox i SharePoint Online og OneDrive: Microsofts adgang til indhold kræver et ja

Customer Lockbox flytter en beslutning, som ellers ligger hos Microsoft: om en supportingeniør må åbne en kundes indhold for at finde en fejl. Er funktionen slået til, kræver adgang til kundeindhold som led i en supportsag en godkendelse fra en person i kundens egen organisation, og uden den får ingeniøren ikke adgang (Learn, Customer Lockbox). Microsoft meldte 25. februar 2016, at funktionen, der siden december 2015 fandtes til Exchange Online, ville begynde at rulle ud til SharePoint Online og OneDrive for Business i andet kvartal (Office-bloggen, Wayback). Udrulningen begyndte ifølge Office-bloggen 8. april 2016 (Office-bloggen, Wayback).

Status 17. oktober 2026: Customer Lockbox understøtter i dag anmodninger om adgang til data i Exchange Online, SharePoint, OneDrive, Teams og Windows 365, og alle interaktioner med Microsoft 365 Copilot er dækket gennem Exchange Online-understøttelsen, ifølge Learn. Funktionen er medtaget i Microsoft 365 og Office 365 E5 og kan føjes til andre planer med abonnementet Information Protection and Compliance eller Advanced Compliance. For amerikanske offentlige kunder (Government-skyerne) hører den til G5 (Learn, Customer Lockbox). Licensvejledningen for Purview angiver Customer Lockbox for Office 365 E5, A5 og G5 og for Microsoft 365 E5, A5 og G5 samt Microsoft Purview Suite (Learn, Microsoft Purview service description).

Forløbet#

Learn beskriver det typiske forløb i syv trin med et problem i en postkasse som eksempel (Learn, Customer Lockbox). Her er trinnene samlet i seks:

1. En bruger har et problem, der ikke kan løses, og åbner en supportsag hos Microsoft.
2. En supportingeniør vurderer, at der er brug for adgang til organisationens tenant.
3. Ingeniøren udfylder en anmodning i Customer Lockbox-værktøjet med tenantens navn, sagens nummer, forventet starttidspunkt, forventet varighed og tjenesten.
4. En supportleder hos Microsoft godkender anmodningen. Først da sender Customer Lockbox en mail til organisationens godkender. Mailen indeholder ingen links, der kræver login til Office 365.
5. Godkenderen logger ind i Microsoft 365 admin center og godkender eller afviser. Godkendelsen oprettes som en post i auditloggen. Afvises anmodningen, eller besvares den ikke inden 12 timer, udløber den, og ingeniøren får ingen adgang.
6. Efter en godkendelse logger ingeniøren ind og løser problemet. Adgangen varer så længe, ingeniøren har bedt om, og tilbagekaldes automatisk. Højst fire timer kan gives, og ingeniøren kan bede om kortere tid.

Afvises en anmodning, gives der ingen adgang til kundeindhold. Problemet, der udløste sagen, kan så fortsætte, og Microsoft fortæller brugeren det. Hver anmodning har et servicenummer, som kan bruges til at få flere oplysninger hos Microsoft Support, før den besvares (Learn, Customer Lockbox).

Slå den til og godkend#

Funktionen er ikke slået til af sig selv. En global administrator slår den til i Microsoft 365 admin center ved at vælge Settings → Org Settings → Security & Privacy → Customer Lockbox og markere Require approval for all data access requests. Anmodninger ses og besvares under Support → Customer Lockbox Requests, eller med cmdlet’en Set-AccessToCustomerDataRequest, der kan godkende, afvise eller annullere (Learn, Customer Lockbox).

Godkendere er globale administratorer og brugere med rollen Customer Lockbox access approver. De får besked om en anmodning og kan godkende den. Kun en global administrator kan bestemme, hvem der må godkende. Der er ingen indbygget alarm, når en anmodning er godkendt, men Microsoft Defender for Cloud Apps kan bruges til at oprette en. Learn anbefaler roller med færrest mulige rettigheder og så få globale administratorer som muligt (Learn, Customer Lockbox).

Logning af adgangen#

Godkendelser og afvisninger står i auditloggen som aktiviteten Set-AccessToCustomerDataRequest, og Microsoft-ingeniørens handlinger står under brugeren Microsoft Operator. Ingeniørens handlinger ligger inden for fire timer efter godkendelsen. Posterne kan søges i Purview-portalen eller med Search-UnifiedAuditLog (Learn, Customer Lockbox):

1Search-UnifiedAuditLog -StartDate xx/xx/xxxx -EndDate xx/xx/xxxx -UserIds "Microsoft Operator"

Revisionsloggen i Microsoft 365 beskriver, hvordan loggen virker, og hvor længe den gemmer. Kunden kan også sammenholde mailene med historikken over anmodninger i admin center for at kontrollere, at godkendelsesforløbet følges (Learn, Customer Lockbox).

Hvad den ikke dækker#

Learn nævner to afgrænsninger og definerer, hvad kundeindhold er (Learn, Customer Lockbox):

• Kun Microsofts supportadgang. Customer Lockbox beskytter ikke mod krav fra politi eller andre tredjeparter. Microsoft skriver, at den altid forsøger at henvise sådanne krav til kunden.
• Kun de nævnte tjenester. Andre tjenester kan foreslås som ønsker i Microsofts feedbackportal.
• Kundeindhold. Det, der kræver godkendelse, er kundeindhold. Det er blandt andet mailtekster og vedhæftninger, indhold på SharePoint-sites, tekst i filer, Teams-chats og -kanaler, mødeoptagelser og -transskriptioner, talebeskeder og Microsoft 365 Copilot-interaktioner.

Uden Customer Lockbox arbejder Microsoft efter principperne om mindste rettigheder (least privilege) og just-in-time-adgang. Ingen hos Microsoft har varig adgang til kundeindhold, og adgang kræver en anmodning i det interne system Lockbox, hvor en anden end anmoderen skal godkende, før adgang gives. Customer Lockbox føjer kunden til som den, der skal godkende (Learn, Customer Lockbox).

Én praktisk følge: SharePoint-sitets URL vises ikke i rapporten Site usage for SharePoint i admin center, hvis Customer Lockbox eller Bring Your Own Key er slået til. Administratorer kan anmode om URL’erne, eller de kan slås op med PowerShell (Learn, SharePoint site usage, Brugsrapporter i Microsoft 365 admin center).

Tidslinjen#

1. December 2015 Udrulning

   Customer Lockbox er generelt tilgængelig for Exchange Online (Office-bloggen, 25. februar 2016, Wayback)

2. 25. februar 2016 Meddelelse

   Customer Lockbox varsles til SharePoint Online og OneDrive for Business i andet kvartal (Office-bloggen, Wayback)

3. 8. april 2016 Udrulning

   Udrulningen til SharePoint Online og OneDrive for Business begynder (Office-bloggen, Wayback)

4. 25. marts 2022 Meddelelse

   Message Center-meddelelse MC346909 melder, at Customer Lockbox understøtter Teams; udrulningen forventes færdig i slutningen af april 2022 (Office 365 for IT Pros, 28. marts 2022)

5. Marts 2024 Udrulning

   Customer Lockbox er generelt tilgængelig for Windows 365 (Windows IT Pro-bloggen, Petri, 7. marts 2024)

I månedsnoterne#

Customer Lockbox står i februar 2016 og april 2016. Senere månedsnoter har den ikke som egen række.