Data Residency для Exchange Online

Доступные обязательства Data Residency

Условия использования продукта

Обязательные условия:

Клиент имеет страну или регион регистрации, включенный в географию местного региона, Европейский союз или США.

Для текущего языка ознакомьтесь с условиями использования продуктов для конфиденциальности и безопасности и просмотрите раздел "Расположение неактивных данных клиента для основных веб-служб".

Обязательства:

Надстройка advanced Data Residency

Обязательные условия:

1. Клиент имеет страну или регион регистрации, включенные в географию локальных регионов или расширенный географический регион.
2. Клиент имеет действительную подписку advanced Data Residency для всех пользователей в клиенте.
3. Данные клиента Exchange Online подписки подготавливаются в локальном географическом регионе или расширенном локальном географическом регионе.

Обязательства:

Сведения о конкретных обязательствах, предоставляемых условиями продукта, см. на странице обязательств ADR . Примеры зафиксированных данных: почтовые ящики всех типов, включая почтовые ящики пользователей, почтовые ящики ресурсов и архивные почтовые ящики.

Надстройка с несколькими регионами

Обязательные условия:

1. У клиентов есть действительная подписка с несколькими регионами, которая охватывает всех пользователей, назначенных спутниковой географии.
2. Клиент должен иметь активную Соглашение Enterprise.
3. Общее количество приобретенных единиц с несколькими регионами должно превышать 5 % от общего числа подходящих пользователей в клиенте.

Обязательства:

Клиенты могут назначить поддерживаемый тип почтового ящика вспомогательный географический регион, поддерживаемый несколькими регионами. Дополнительные сведения см. в разделе Доступность Microsoft 365 с несколькими регионами на странице Microsoft 365 Multi-Geo. Данные неактивных данных для служб Office 365 для почтового ящика в соответствии с условиями продукта должны храниться в назначенном вспомогательном географическом регионе. Поддерживаемые типы почтовых ящиков включают Exchange Online основные и архивные почтовые ящики пользователей, почтовые ящики ресурсов, почтовые ящики групп Microsoft 365 и общие почтовые ящики.

Поддержка нескольких регионов в Exchange Online

Клиенты могут назначить пользователю вспомогательный географический объект, поддерживаемый несколькими регионами. Дополнительные сведения см. в разделе Доступность Microsoft 365 с несколькими регионами на странице Microsoft 365 Multi-Geo. Неактивные данные пользователя для служб Office 365, как определено условиями продукта, должны храниться в назначенном спутниковом географическом регионе. Сюда входят все типы почтовых ящиков Exchange Online, включая почтовые ящики пользователей, почтовые ящики ресурсов, почтовые ящики групп Microsoft 365, общие почтовые ящики и архивные почтовые ящики.

Почтовые ящики можно разместить в расположениях спутниковой географии , выполнив следующие действия:

1. Создание нового почтового ящика Exchange Online непосредственно в расположении спутниковой географии.
2. Перемещение существующего почтового ящика Exchange Online в расположение спутниковой географии путем изменения предпочтительного расположения данных пользователя.
3. Подключение почтового ящика из локальной организации Exchange непосредственно к расположению спутниковой географии .

Размещение и перенос почтового ящика

После того как корпорация Майкрософт выполнит необходимые действия по настройке нескольких регионов, Exchange Online будет учитывать атрибут PreferredDataLocation для пользовательских объектов в Microsoft Entra ID. Exchange Online синхронизирует свойство PreferredDataLocation из Microsoft Entra ID со свойством MailboxRegion в службе каталогов Exchange Online. Значение MailboxRegion определяет географию макроса или Географию локального региона , в которой размещаются почтовые ящики пользователей и все связанные архивные почтовые ящики. Невозможно настроить основной почтовый ящик и архивный почтовый ящик пользователя для размещения в разных географических расположениях. Для каждого объекта пользователя можно настроить только одну макросовую географию или географию локальных регионов .

• Если параметр PreferredDataLocation настроен для пользователя с существующим почтовым ящиком, почтовый ящик помещается в очередь перемещения и автоматически перемещается в указанный географический макрос или локальный регион.
• Если параметр PreferredDataLocation настроен для пользователя без существующего почтового ящика, при подготовке почтового ящика он подготавливается в указанном географическом макросе или локальном регионе.
• Если параметр PreferredDataLocation не указан для пользователя, при подготовке почтового ящика он подготавливается в основном географическом регионе.
• Если код PreferredDataLocation неверен (например, опечатка NAN вместо NAM), почтовый ящик подготавливается в основном географическом регионе.

Ограничения функций для нескольких регионов в Exchange Online

• Функции безопасности и соответствия требованиям (например, аудит и обнаружение электронных данных), доступные в Центре администрирования Exchange (EAC), недоступны в организациях с несколькими регионами. Вместо этого необходимо использовать Microsoft Defender и Microsoft Purview для настройки функций безопасности и соответствия требованиям.
• Outlook для Mac пользователи могут столкнуться с временной потерей доступа к папке "Веб-архив" при перемещении почтового ящика в новое расположение Geography. Это условие возникает, когда основной и архивный почтовые ящики пользователя находятся в разных географических расположениях, так как перемещение почтовых ящиков между регионами может завершиться в разное время.
• Пользователи не могут предоставлять общий доступ к папкам почтовых ящиков в географических расположениях в Outlook в Интернете (прежнее название — Outlook Web App или OWA). Например, пользователь в Европейском союзе не может использовать Outlook в Интернете для открытия общей папки в почтовом ящике, расположенном в США. Однако пользователи Outlook в Интернете могут открывать другие почтовые ящики в разных географических расположениях с помощью отдельного окна браузера, как описано в разделе Открытие почтового ящика другого пользователя в отдельном окне браузера в Outlook Web App.

• Общедоступные папки поддерживаются в организациях с несколькими регионами. Однако общедоступные папки должны оставаться в расположении основного подготовленного географического расположения. Вам не удастся переместить общедоступные папки в периферийные географические расположения.
• В среде с несколькими регионами аудит почтовых ящиков между регионами не поддерживается. Например, если пользователю назначены разрешения на доступ к общему почтовому ящику в другом географическом расположении , действия почтового ящика, выполняемые этим пользователем, не регистрируются в журнале аудита общего почтового ящика. События аудита администратора Exchange также доступны только для расположения по умолчанию. Дополнительные сведения см. в статье Управление аудитом почтовых ящиков.

Администрирование Exchange с поддержкой нескольких регионов

Администрирование почтовых ящиков Exchange Online в среде с несколькими регионами

Exchange Online PowerShell требуется для просмотра и настройки свойств с несколькими регионами в среде Microsoft 365. Сведения о том, как подключиться к Exchange Online PowerShell, см. в статье Подключение к Exchange Online PowerShell.

В Exchange Online с поддержкой нескольких регионов средах вам не нужно вручную добавлять Geographies в клиент. После того как вы получите сообщение центра сообщений о том, что мульти-гео готовы к Exchange Online, все доступные географические регионы будут готовы и настроены для использования.

Прямое подключение к географическому расположению с помощью Exchange Online PowerShell

Как правило, Exchange Online PowerShell подключается к расположению основного подготовленного географического расположения. Но вы также можете подключиться непосредственно к расположениям спутниковой географии . Из-за повышения производительности рекомендуется подключаться непосредственно к расположению спутниковой географии , если вы управляете только пользователями в этом расположении.

Требования к установке и использованию модуля PowerShell Exchange Online описаны в разделе Установка и обслуживание модуля PowerShell Exchange Online.

Чтобы подключить Exchange Online PowerShell к определенному географическому расположению, параметр ConnectionUri отличается от обычных инструкций по подключению. Остальные команды и значения совпадают.

В частности, необходимо добавить значение в ?email=<emailaddress> конец значения ConnectionUri, где <emailaddress> — адрес электронной почты любого почтового ящика в целевом географическом расположении . Ваши разрешения для этого почтового ящика или связь с учетными данными не являются фактором; адрес электронной почты просто указывает Exchange Online PowerShell, куда следует подключиться.

Клиентам Microsoft 365 или Microsoft 365 GCC обычно не требуется использовать параметр ConnectionUri для подключения к Exchange Online PowerShell. Но для подключения к определенному географическому расположению необходимо использовать параметр ConnectionUri, чтобы можно было использовать ?email=<emailaddress> в значении.

Подключение к географическому расположению в Exchange Online PowerShell

Следующие инструкции по подключению работают для учетных записей, которые настроены или не настроены для многофакторной проверки подлинности (MFA).

1. В окне Windows PowerShell загрузите модуль EXO V2, выполнив следующую команду:

Import-Module ExchangeOnlineManagement

1. В следующем примере admin@contoso.onmicrosoft.com — это учетная запись администратора, а целевое географическое расположение — это расположение почтового ящика olga@contoso.onmicrosoft.com .

Connect-ExchangeOnline -UserPrincipalName admin@contoso.onmicrosoft.com -ConnectionUri https://outlook.office365.com/powershell?email=olga@contoso.onmicrosoft.com

1. Введите пароль для в admin@contoso.onmicrosoft.com появившемся запросе. Если учетная запись настроена для MFA, необходимо также ввести код безопасности.

Просмотр доступных географических расположений, настроенных в Exchange Online организации

Чтобы просмотреть список настроенных географических расположений в Microsoft 365 Multi-Geo, выполните следующую команду в Exchange Online PowerShell:

Get-OrganizationConfig | Select -ExpandProperty AllowedMailboxRegions | Format-Table

Просмотр расположения основного подготовленного географического расположения для организации Exchange Online

Чтобы просмотреть основное географическое расположение клиента, выполните следующую команду в Exchange Online PowerShell:

Get-OrganizationConfig | Select DefaultMailboxRegion

Поиск географического расположения почтового ящика

Командлет Get-Mailbox в Exchange Online PowerShell отображает следующие свойства, связанные с поддержкой нескольких регионов, для почтовых ящиков:

• База данных. Первые три буквы имени базы данных соответствуют коду Geography , который указывает, где сейчас находится почтовый ящик. Для сетевых архивных почтовых ящиков следует использовать свойство ArchiveDatabase.
• MailboxRegion: указывает код географического расположения, заданный администратором (синхронизированный из PreferredDataLocation в Microsoft Entra ID).
• MailboxRegionLastUpdateTime. Указывает время последнего обновления MailboxRegion (автоматического или ручного).

Чтобы просмотреть эти свойства для почтового ящика, используйте следующий синтаксис:

Get-Mailbox -Identity <MailboxIdentity> | Format-List Database,MailboxRegion*

Например, чтобы просмотреть сведения о географическом расположении почтового ящика chris@contoso.onmicrosoft.com, выполните следующую команду:

Get-Mailbox -Identity chris@contoso.onmicrosoft.com | Format-List Database, MailboxRegion*

Выходные данные команды выглядят так:

Database   : EURPR03DG077-db007
MailboxRegion  : EUR
MailboxRegionLastUpdateTime : 2/6/2018 8:21:01 PM

Перемещение существующего облачного почтового ящика в определенное географическое расположение

Только облачный пользователь — это пользователь, не синхронизированный с клиентом через Microsoft Entra Connect. Этот пользователь был создан непосредственно в Microsoft Entra ID. Используйте командлеты Get-MgUser и Set-MgUser в пакете SDK для Microsoft Graph PowerShell, чтобы просмотреть или указать географическое расположение, в котором будет храниться почтовый ящик пользователя в облаке.

Сначала необходимо подключиться к Microsoft Graph, используя необходимые области разрешений для действий, которые будут выполняться в сеансе Microsoft Graph PowerShell.

Пакет SDK Для Microsoft Graph PowerShell поддерживает два типа проверки подлинности: делегированный доступ и доступ только для приложений. В этом руководстве вы будете использовать делегированный доступ для входа в качестве пользователя, предоставить пакету SDK согласие на действия от вашего имени и вызвать Microsoft Graph.

Дополнительные сведения об использовании доступа только для приложений для автоматических сценариев см. в статье Использование проверки подлинности только для приложений с пакетом SDK Microsoft Graph PowerShell.

Определение необходимых областей разрешений

Каждый API в Microsoft Graph защищен одной или несколькими областями разрешений. Пользователь, который входит в систему, должен предоставить согласие на одну из необходимых областей для API, которые вы планируете использовать. В этом примере мы будем использовать следующие API.

Вывод списка пользователей для поиска идентификатора пользователя, вошедшего в систему. Измените значение PreferredDataLocation для пользователя.

Область разрешения User.Read.All включает первый вызов, а область User.ReadWrite.All — второй. Для этих разрешений требуется учетная запись администратора.

Дополнительные сведения об определении необходимых областей разрешений см. в разделе Использование командлета Find-MgGraphCommand.

Чтобы подключиться к организации Microsoft 365, выполните следующую команду:

Connect-MgGraph -Scopes "User.Read.All","Group.ReadWrite.All"

Команда предлагает перейти на веб-страницу, чтобы войти с учетными данными. После этого команда указывает на успешное выполнение с помощью приветствия в Microsoft Graph! Сообщение. Для каждого сеанса необходимо выполнить вход только один раз.

Чтобы просмотреть значение PreferredDataLocation для пользователя, используйте следующий синтаксис в Microsoft Graph PowerShell:

Get-MgUser -ConsistencyLevel eventual -Count userCount -Search '"UserPrincipalName:<UserPrincipalName>"' | Format-List UserPrincipalName,PreferredDataLocation

Например, чтобы посмотреть значение PreferredDataLocation для пользователя michelle@contoso.onmicrosoft.com, выполните следующую команду:

Get-MgUser -ConsistencyLevel eventual -Count userCount -Search '"UserPrincipalName:michelle@contoso.onmicrosoft.com"' | Format-List

Чтобы изменить значение PreferredDataLocation для облачного объекта пользователя, используйте следующий синтаксис в Microsoft Graph PowerShell:

Update-MgUser -UserID <UserID> -PreferredDataLocation <GeoLocationCode>

Например, чтобы задать для пользователя michelle@contoso.onmicrosoft.comзначение PreferredDataLocation в качестве географического расположения Европейского союза (EUR), получите значение UserID из последних выходных данных команды и выполните следующую команду:

Update-MgUser -UserID michelle@contoso.onmicrosoft.com -PreferredDataLocation EUR

Перемещение неактивного почтового ящика в определенную географию

Вы не можете перемещать неактивные почтовые ящики, сохраненные для обеспечения соответствия требованиям (например, почтовые ящики в режиме удержания для судебного разбирательства), изменив их значение PreferredDataLocation . Чтобы переместить неактивный почтовый ящик в другой географический регион, выполните следующие действия.

1. Восстановите неактивный почтовый ящик. Инструкции см. в разделе Восстановление неактивного почтового ящика.

2. Запретите помощнику по управляемым папкам обрабатывать восстановленный почтовый ящик, заменив <MailboxIdentity> именем, псевдонимом, учетной записью или адресом электронной почты почтового ящика и выполнив следующую команду в Exchange Online PowerShell:

Set-Mailbox <MailboxIdentity> -ElcProcessingDisabled $true

1. Назначьте лицензию Exchange Online плана 2 для восстановленного почтового ящика. Этот шаг необходим для возврата почтового ящика в удержание для судебного разбирательства. Инструкции см. в статье Назначение лицензий пользователям.

2. Настройте значение PreferredDataLocation в почтовом ящике, как описано в предыдущем разделе.

3. После подтверждения перемещения почтового ящика в новое географическое расположение поместите восстановленный почтовый ящик обратно в удержание для судебного разбирательства. Инструкции см. в разделе Размещение почтового ящика в удержании для судебного разбирательства.

4. Убедившись, что удержание для судебного разбирательства на месте, разрешите помощнику по управляемым папкам снова обработать почтовый ящик, заменив <MailboxIdentity> именем, псевдонимом, учетной записью или адресом электронной почты почтового ящика и выполнив следующую команду в Exchange Online PowerShell:

Set-Mailbox <MailboxIdentity> -ElcProcessingDisabled $false

1. Снова сделайте почтовый ящик неактивным, удалив учетную запись пользователя, связанную с ним. Инструкции см. в статье Удаление пользователя из организации. На этом шаге также освобождается лицензия Exchange Online плана 2 для других применений.

Примечание. При перемещении неактивного почтового ящика в другое географическое расположение вы можете повлиять на результаты поиска контента или возможность поиска в почтовом ящике из прежнего географического расположения. Дополнительные сведения см. в статье Поиск и экспорт содержимого в средах с несколькими регионами.

Создание облачных почтовых ящиков в определенном географическом расположении

Чтобы создать почтовый ящик в определенном географическом расположении, необходимо выполнить одно из следующих действий:

• Настройте значение PreferredDataLocation, как описано в предыдущем разделе Перемещение существующего облачного почтового ящика в определенное географическое расположение, прежде чем создавать почтовый ящик в Exchange Online. Например, перед назначением лицензии настройте значение PreferredDataLocation для пользователя.

• Назначьте лицензию одновременно с настройкой значения PreferredDataLocation.

Чтобы создать нового лицензированного пользователя только в облаке (не Microsoft Entra Connect синхронизировано) в определенном географическом расположении, используйте следующий синтаксис в Microsoft Graph PowerShell:

$params = @{
	accountEnabled = $true
	displayName = "<display name>"
	mailNickname = "<mailbox name>"
	userPrincipalName = "<sign-in name>"
	usageLocation = "<ISO 3166-1 alpha-2 country code>"
	passwordProfile = @{
		forceChangePasswordNextSignIn = $true
		password = "<temp password>"
	}
}

$user = New-MgUser -BodyParameter $params

$EmsSku = Get-MgSubscribedSku -All | Where SkuPartNumber -eq '<license SKU ID>'
Set-MgUserLicense -UserId $user.Id -AddLicenses @{SkuId = $EmsSku.SkuId} -RemoveLicenses @()

В этом примере создается новая учетная запись пользователя для Элизабет Бруннер со следующими значениями:

• Имя участника-пользователя: ebrunner@contoso.onmicrosoft.com
• Имя: Elizabeth
• Фамилия: Brunner
• Отображаемое имя: Elizabeth Brunner
• Пароль: вручную добавьте пароль в виде хэш-кода.
• Лицензия: contoso:ENTERPRISEPREMIUM (E5)
• Расположение: Австралия (AU)

Сначала подключитесь к клиенту Microsoft 365 с помощью Microsoft Graph PowerShell.

После подключения используйте следующий синтаксис для создания отдельной учетной записи:

$params = @{
	accountEnabled = $true
	displayName = "Elizabeth Brunner"
	mailNickname = "ElizabethB"
	userPrincipalName = "ebrunner@contoso.onmicrosoft.com"
	usageLocation = "AU"
	passwordProfile = @{
		forceChangePasswordNextSignIn = $true
		password = "xWwvJ]6NMw+bWH-d"
	}
}

$user = New-MgUser -BodyParameter $params

$EmsSku = Get-MgSubscribedSku -All | Where SkuPartNumber -eq 'ENTERPRISEPREMIUM'
Set-MgUserLicense -UserId $user.Id -AddLicenses @{SkuId = $EmsSku.SkuId} -RemoveLicenses @()

Дополнительные сведения о создании учетных записей пользователей и поиске значений LicenseAssignment в Azure AD PowerShell см. в статьях Создание учетных записей пользователей с помощью PowerShell и Просмотр лицензий и служб с помощью PowerShell.

Подключение существующих локальных почтовых ящиков в определенном географическом расположении

Можно использовать стандартные средства и процедуры переноса для перемещения почтового ящика из локальной организации Exchange в Exchange Online, включая информационную панель миграции в Центре администрирования Exchange и командлет New-MigrationBatch в Exchange Online PowerShell.

Первым шагом является проверка существования пользовательского объекта для подключения каждого почтового ящика и проверка правильного значения PreferredDataLocation в Microsoft Entra ID. Средства подключения учитывают значение PreferredDataLocation и переносят почтовые ящики непосредственно в указанное географическое расположение.

Вы также можете выполнить следующие действия для подключения почтовых ящиков непосредственно в определенном географическом расположении с помощью командлета New-MoveRequest в Exchange Online PowerShell.

1. Убедитесь, что объект пользователя существует для каждого почтового ящика для подключения, и для параметра PreferredDataLocation задано требуемое значение в Microsoft Entra ID. Значение PreferredDataLocation синхронизируется с атрибутом MailboxRegion соответствующего объекта пользователя почты в Exchange Online.

2. Подключитесь непосредственно к определенному расположению спутниковой географии , используя инструкции по подключению, приведенные выше в этой статье.

3. В Exchange Online PowerShell сохраните учетные данные локального администратора, используемые для миграции почтового ящика, в переменной, выполнив следующую команду:

$RC = Get-Credential

1. В Exchange Online PowerShell, создайте новый командлет New-MoveRequest, как в следующем примере:

New-MoveRequest -Remote -RemoteHostName mail.contoso.com -RemoteCredential $RC -Identity user@contoso.com -TargetDeliveryDomain <YourAppropriateDomain>

1. Повторите шаг 4 для каждого почтового ящика, необходимого для миграции из локальной службы Exchange в спутниковое географическое расположение, к которому вы подключены в данный момент.

2. Если вам нужно перенести другие почтовые ящики в разные расположения спутникового географического расположения, повторите шаги 2–4 для каждого конкретного расположения.

Отчеты по нескольким регионам

Отчеты об использовании нескольких регионов в Центр администрирования Microsoft 365 отображают количество пользователей по географическому расположению. В отчете отображается распределение пользователей за текущий месяц и приводятся исторические данные за последние шесть месяцев.

Миграция

Так как для перемещения каждого пользователя в новый центр обработки данных Geography для одного клиента требуется время, некоторые пользователи будут находиться в старом географическом центре обработки данных во время перемещения, а другие — в новом центре обработки данных Geography. Это означает, что некоторые функции, связанные с доступом к нескольким почтовым ящикам, могут работать не в полной мере в течение периода процесса перемещения, который может длиться несколько недель. Эти функции описаны в следующих разделах.

Открытие общей папки в Outlook Web Access

Некоторые пользователи открывают общую папку почты из другого почтового ящика (в который пользователь имеет разрешения на чтение или запись) в Outlook Web Access с помощью функции "Общая папка". В следующей таблице описано, как работает доступ к общим папкам во время перемещения почтового ящика. Обратите внимание, что пользователи с полными разрешениями на общий почтовый ящик могут открывать почтовый ящик с помощью Outlook Web Access во время перемещения.

Процесс переноса данных электронной почты в Microsoft 365 во время Exchange Online является распространенным сценарием и поддерживается. Миграция из облака между географическими центрами обработки данных не мешает переносу почтовых ящиков из локальной среды в облако.

Как определить расположение данных клиента?

Фактическое расположение данных можно найти в Центре Администратор клиента. Администратор клиента может найти фактическое расположение данных для зафиксированных данных, перейдя по адресу Администратор-Settings-Org>> Settings-Organization> Profile-Data> Location.