什么是 Customer Lockbox？在 Microsoft 365 E5 中将 Microsoft 的数据访问设为审批制
关于本文
本文是通过利用生成式 AI 的自动生成流程创建的。基于截至 2026 年 9 月 18 日的 Microsoft 官方信息，整理了 Microsoft Purview Customer Lockbox 的作用、E3/E5 的差异以及审批和审计流程。验证状态：📘 已确认 Microsoft 官方信息，未在实际设备上验证
Customer Lockbox 是一种机制，当 Microsoft 支持工程师因故障调查等原因需要访问组织的客户内容（customer content）时，要求组织进行明确审批。这并不意味着 Microsoft 人员在日常运营中可以自由阅读电子邮件或文件。
E3 和 E5 有何不同？
| 项目 | Microsoft 365 E3 | Microsoft 365 E5 |
|---|---|---|
| Customer Lockbox | 不默认包含在 E3 单独版中 | 包含 |
| 添加方法 | 确认相关的 Information Protection and Compliance / Advanced Compliance 系列附加组件（add-on） | 使用 E5 权益 |
Microsoft 官方常见解答指出，该功能包含在 Microsoft 365 / Office 365 E5 中，其他适用计划可通过追加订阅（subscription）来使用。在签约时，请通过最新的 Purview 服务说明确认 SKU。
适用服务
截至 2026 年 9 月的官方文档显示，该功能支持 Exchange Online、SharePoint Online、OneDrive for Business、Teams 和 Windows 365。Microsoft 365 Copilot 交互（interactions）也通过 Exchange Online 的支持被纳入 Customer Lockbox 的适用范围。
sequenceDiagram
participant C as 組織
participant S as Microsoft Support
participant A as 組織の承認者
participant E as Microsoft Engineer
C->>S: サポート要求
S->>S: 顧客コンテンツアクセスが必要か判断
S->>A: Customer Lockbox request
A->>A: 理由・SR番号・対象サービス確認
alt 承認
A-->>S: Approve
S-->>E: 一時アクセスを付与
E->>E: 必要な作業
E-->>C: Audit logに操作記録
else 拒否/12時間未応答
A-->>S: Deny / Expire
S-->>E: アクセスなし
end
首先尝试：查看设置和负责人
在 Microsoft 365 管理中心中打开 Settings > Org Settings > Security & Privacy > Customer Lockbox，在不进行更改的情况下进行确认。
Require approval for all data access requests
Customer Lockbox access approver 的负责人
Support > Customer Lockbox Requests 的历史记录
可以搜索审计日志的负责人
成功条件是能够说明“当请求到来时，由谁确认什么，以及谁是备用审批人”。
改变一处
不是修改设置，而是将运营表中的“审批人”从 1 人更改为主负责人 + 副负责人，并评估是否能在周末和夜间应对 12 小时的请求期限。
使用 PowerShell 读取审计日志
与其直接用 PowerShell 尝试审批操作，先读取审计历史记录会更安全。
# Exchange Online PowerShellへ接続済みの前提 # Customer Lockboxの承認/拒否操作を読み取りで確認 Search-UnifiedAuditLog ` -StartDate (Get-Date).AddDays(-7) ` -EndDate (Get-Date) ` -Operations Set-AccessToCustomerDataRequest
查看此处：将结果的时间、操作和请求 ID 与支持工单进行核对。
成功条件：如果在目标期间内没有请求，结果为 0 条也是正常的。
改变一处：AddDays(-7) 更改为 AddDays(-30)，仅扩大搜索时间范围。
Microsoft 工程师的相关操作有时可以通过Microsoft Operator在审计日志中进行追踪。用于批准或拒绝的Set-AccessToCustomerDataRequest是重要的写入操作，因此不作为首次复制粘贴的示例。
理解时间限制
如果未作响应，Customer Lockbox 请求通常会在 12 小时内过期。审批通过后，Microsoft 工程师的访问权限最长为 4 小时，如果请求的时间更短，则以请求的时间为准。这并不是一种授予永久访问权限的机制。
三个视角
普通用户：提交支持请求并不意味着 Microsoft 会自动阅读其内容。
业务人员：不要仅凭审批邮件做出判断，应向负责部门确认支持工单号和原因。
IT 部门/审计人员：将审批人、期限、审计日志（audit log）和支持工单（support ticket）作为统一的凭证进行管理。
管理员需要确认的要点
Customer Lockbox 的许可证
不要在日常审批中频繁使用全局管理员（Global Administrator）
Customer Lockbox access approver 的最小权限
12 小时的请求期限与备份负责人
审批后最长 4 小时的访问权限
Microsoft 365 审计日志（audit log）的保留与搜索权限
与支持工单（Support ticket）进行核对
Microsoft 官方信息与一手资料
Customer Lockbox 并不是关于“是否信任 Microsoft”的问题，而是一种控制功能，旨在将例外的客户数据访问纳入组织自身的审批和审计流程中。
