什么是 Customer Lockbox？在 Microsoft 365 E5 中对支持人员的数据访问实施审批制
关于本文
本文是通过利用生成式 AI 的自动化生成流程创建的。已参考截至 2026 年 9 月 17 日的 Microsoft 官方信息，并从实际业务的角度梳理了 Microsoft 365 Customer Lockbox 的角色、在 E3/E5 中的定位以及审批流程。验证状态：📘 已确认 Microsoft 官方信息・未在实机上验证
Customer Lockbox 是一项机制，当 Microsoft 的支持工程师因故障处理等原因需要访问组织的客户内容时，该机制会要求组织进行明确的批准。
这并不意味着 Microsoft 人员可以在日常服务运营中随意读取邮件或文件。Microsoft 通常会通过遥测和诊断工具来解决问题，仅在绝对需要访问客户内容的情况下才会使用 Lockbox 审批工作流。
E3/E5 有何不同？
根据 Microsoft 官方信息，Customer Lockbox 包含在 Microsoft 365 或 Office 365 E5 中。对于其他目标套餐，可能需要通过额外契约 Information Protection and Compliance 或 Advanced Compliance 系列来使用。
| 项目 | Microsoft 365 E3 | Microsoft 365 E5 |
|---|---|---|
| Customer Lockbox | E3 单独不包含标准版本 | 包含 |
| 附加契约 | 请确认适用的附加组件 (add-on) | 通常通过 E5 权限使用 |
由于许可证名称因契约渠道和 SKU 而异，请在实际部署时确认 Microsoft 365 管理中心和契约条件。
目标服务
根据 2026 年 9 月的 Microsoft 官方文档，Customer Lockbox 支持 Exchange Online、SharePoint Online、OneDrive for Business、Teams 和 Windows 365。
首先尝试：仅确认设置状态
在 Microsoft 365 admin center 中打开 Settings > Org Settings > Security & Privacy > Customer Lockbox 并检查当前设置。
检查此处
是否启用了 Require approval for all data access requests（要求批准所有数据访问请求）
谁是 Customer Lockbox access approver（Customer Lockbox 访问审批人）负责人
Support > Customer Lockbox Requests 中是否有历史记录
在初次确认时，请勿更改设置，仅确认现状和运营负责人即可。
尝试更改一个地方
在生产环境中启用该功能之前，请将审批者角色的分配策略形成文档。考虑避免仅依赖全局管理员 (Global Administrator) 进行日常审批，而是将 Customer Lockbox access approver 分配给最低限度必要的人员。
在 PowerShell 中操作时
批准或拒绝 Customer Lockbox 请求有 Microsoft 官方的 Set-AccessToCustomerDataRequest cmdlet。但是，批准是一项允许 Microsoft 人员访问客户数据的重要操作。作为首次测试的复制粘贴命令执行并不合适。
因此，请先在 GUI 中确认请求内容、服务请求编号、截止日期和原因，在走完组织的审批流程后再进行操作。
批准后会发生什么？
即使获得批准，也不会向 Microsoft 工程师授予永久访问权限。Microsoft 解释称，他们遵循最小权限 (least privilege) 和适时访问 (just-in-time access) 的理念，将访问权限限制在必要的时间和操作范围内。
批准、拒绝以及 Microsoft 工程师执行的相关操作也会记录在 Microsoft 365 audit log（审计日志）中。
如果在工作中应用
将获得 Microsoft 支持时的的数据访问纳入内部审批流程
分离安全部门与服务管理部门的职责
将审批历史记录与审计日志进行核对
将服务请求编号记录到事件管理单中
管理员需要确认的要点
Customer Lockbox 的许可证
避免经常使用 Global Administrator 的审批者设计
节假日和夜间的审批者备份
审批请求的截止日期
Microsoft 365 audit log 的保留与搜索权限
与 Support ticket 的核对步骤
重要的是不要采取“收到审批邮件就先点击同意 (Approve)”的运营方式。请在确认请求原因、目标服务和支持工单编号后做出判断。
Microsoft 官方信息与第一手资料
Customer Lockbox requests: https://learn.microsoft.com/en-us/purview/customer-lockbox-requests
Microsoft Purview licensing guidance: https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-purview-service-description
Customer Lockbox 并不是关于是否信任 Microsoft 的问题，而是一种旨在“将例外性的客户数据访问纳入组织自身的审批流程中”的管控功能。
