Mailbox e shared mailbox

Una mailbox utente si crea assegnando all’account una licenza che include Exchange Online. Un punto che confonde molti: le nuove mailbox non si creano dal nuovo Exchange admin center (EAC), ma dal Microsoft 365 admin center o con New-Mailbox in PowerShell.

La shared mailbox è la casella di reparto: info, support, reception. Può contenere fino a 50 GB senza licenza assegnata; per superare quel limite serve una licenza Exchange Online Plan 2. Chi la usa, però, deve avere una propria mailbox licenziata. Due dettagli che l’esame ama chiedere: supporta un massimo di 25 utenti; il suo account non è pensato per il sign-in diretto e la documentazione prescrive di bloccarne l’accesso e tenerlo bloccato.

I permessi di delega sono tre e non vanno mescolati. Full Access (nell’EAC, Read and manage) consente di aprire la casella e vedere, aggiungere e rimuovere contenuti, ma non di inviare messaggi. Send as fa partire il messaggio come se venisse dalla casella, senza traccia del delegato. Send on behalf mostra il delegato “on behalf of” la casella nel campo From, ma le risposte tornano alla casella. Se un utente ha entrambi, prevale sempre Send as. Per le shared mailbox Send on behalf non è disponibile nell’EAC e si assegna con Set-Mailbox -GrantSendOnBehalfTo.

Il filo rosso comincia qui: chi ha Full Access su una casella la vede, e ciò che vede entra nel perimetro di quello che Copilot userà per suo conto.

Team, canali, owner e membri

In Microsoft Teams i ruoli principali sono due, team owner e team member. Gli owner condividono la responsabilità di impostazioni e membership e possono promuovere qualunque membro a co-owner. Comportamento che si dimentica: quando aggiungi un team owner viene aggiunto anche come membro, tranne quando il team è creato nel Teams admin center o aggiunto a un gruppo Microsoft 365 nuovo o esistente.

I canali sono di tre tipi e la differenza non è cosmetica. Uno standard channel è aperto a tutti i membri del team; un private channel limita la membership a un sottoinsieme del team; uno shared channel può includere persone dentro e fuori il team ed essere condiviso direttamente con altri team. La conseguenza per Copilot è la mappa dei siti: i file condivisi nella scheda Files di un canale stanno in SharePoint, e mentre i canali standard usano il sito del team, ogni private channel e ogni shared channel ha un proprio sito dedicato. Governare i team significa governare, indirettamente, una costellazione di siti.

Copilot nelle riunioni di Teams e la trascrizione

La confusione tipica è credere che Copilot nelle riunioni sia una spunta on/off. Non lo è. L’impostazione Copilot vive nella sezione Recording & transcription delle Meeting policies del Teams admin center, e in PowerShell è il parametro -Copilot di Set-CsTeamsMeetingPolicy. I valori sono quattro: On (Enabled), On with saved transcript required (EnabledWithTranscript, il predefinito, non modificabile dall’organizzatore), On with transcript saved by default (EnabledWithTranscriptDefaultOn) e Off (Disabled).

La trascrizione è una leva separata: si governa con -AllowTranscription nella stessa policy, e il suo valore, combinato con l’opzione dell’organizzatore fra “Only during the meeting” e “During and after the meeting”, determina se Copilot funziona solo in riunione, anche dopo, o per niente. Due fatti da memorizzare: se l’organizzatore mette Copilot su Off, anche registrazione e trascrizione vengono disattivate; e Copilot in Teams non è disponibile nelle riunioni con crittografia end-to-end.

SharePoint, OneDrive e le esclusioni di sito

I siti si gestiscono dalla pagina Active sites del SharePoint admin center, dove Membership apre il pannello per aggiungere o rimuovere site admin, owner, membri e visitatori. Ogni sito nasce con i gruppi predefiniti: Owners con permission level Full Control, Members con Edit, Visitors con Read. Esiste poi il gruppo speciale Everyone except external users, di cui fanno parte automaticamente tutti gli utenti dell’organizzazione: la sorgente più comune di oversharing.

Copilot e gli agenti recuperano i dati da Microsoft Graph e rispettano permessi, impostazioni di condivisione e policy esistenti. Per questo la preparazione passa da SharePoint Advanced Management (SAM), a cui gli amministratori SharePoint accedono se l’organizzazione assegna almeno una licenza Microsoft 365 Copilot: data access governance reports per individuare i siti overshared, Restricted Access Control per limitare l’accesso a un sito ai membri di un gruppo di sicurezza, Restricted Content Discovery per le esclusioni di sito.

Restricted Content Discovery è un classico distrattore. È un’impostazione a livello di sito che toglie il contenuto dalle ricerche organization-wide e dalle risposte di Microsoft 365 Copilot e rimuove dal sito i punti di ingresso AI, ma non cambia i permessi, non rimuove il contenuto dall’indice e non si applica ai siti OneDrive. Si attiva dalla scheda Settings del sito o con Set-SPOSite -RestrictContentOrgWideSearch $true. Per OneDrive l’equivalente è la site access restriction, che accetta fino a 10 gruppi; l’owner deve essere in uno di quei gruppi, altrimenti perde l’accesso ai propri file.

Su Microsoft Search in SharePoint un chiarimento che l’esame può sfruttare: l’esperienza moderna e quella classica sono entrambe attive per impostazione predefinita, un search administrator non può spegnere né l’una né l’altra, e condividono lo stesso indice. Se vuoi che Copilot non peschi da un sito, la leva è l’esclusione del sito, non la ricerca.

AB-650 è in beta e la soglia di superamento è 700. Qui l’esame non verifica se sai cliccare, ma se colleghi causa ed effetto: dato uno scenario di oversharing, quale fra permessi di mailbox, tipo di canale, policy di riunione, gruppo di sito ed esclusione dalla discovery sia la leva corretta.