Governance del ciclo di vita

Dove vivono i contenuti di Teams

Teams non è un archivio: è un’interfaccia sopra altri workload. Sapere dove atterra ogni contenuto risolve buona parte delle domande su governance e retention.

• File di un canale standard: document library del sito SharePoint del team, una cartella per canale.
• Canale private e shared: sito SharePoint separato, con permessi indipendenti dal team.
• File condivisi in chat (1:1 o di gruppo): OneDrive di chi li carica, condivisi con i partecipanti; non passano dal sito del team.
• Messaggi: cartelle nascoste delle mailbox Exchange — le chat nelle mailbox degli utenti, i messaggi di canale nella mailbox del gruppo Microsoft 365.
• Registrazioni: OneDrive dell’organizzatore, o sito SharePoint del team per le riunioni di canale.

Conseguenza pratica: una retention policy in Microsoft Purview va applicata alla location giusta (Teams channel messages, Teams chats, SharePoint, OneDrive, Exchange), e un requisito tipo “impedire il download dei file di un team” si risolve in SharePoint admin center o con Conditional Access in Microsoft Entra.

Il gruppo Microsoft 365 è l’oggetto, il team è la faccia

Creare un team crea un gruppo Microsoft 365 con mailbox, calendario e sito SharePoint; aggiungere un membro al team lo aggiunge al gruppo e viceversa. Chi governa il gruppo governa il team.

Per default tutti gli utenti possono creare gruppi. Per limitare la creazione si disattiva il permesso a livello di directory e si autorizza un security group: si configura in Microsoft Entra ID (impostazioni Group.Unified) via Microsoft Graph PowerShell, non dal Teams admin center, e richiede licenze Microsoft Entra ID P1. La restrizione vale per tutti gli endpoint — Teams, Outlook, Planner, SharePoint.

La naming policy applica prefissi/suffissi (stringhe fisse o attributi come Department) più una lista di custom blocked words. Anch’essa agisce sul gruppo, quindi su qualunque workload lo crei; alcuni ruoli amministrativi (Global Administrator, User Administrator) ne sono esentati: ecco perché un test fatto dall’admin sembra “non applicare” il prefisso.

Expiration, archiviazione, cancellazione, ripristino

La expiration policy assegna una durata al gruppo (180 o 365 giorni, o un valore personalizzato), su tutti i gruppi o su una selezione. Il punto d’esame è l’auto-renewal: un gruppo con attività recente (messaggi, accessi a SharePoint, uso della mailbox) si rinnova da solo. Solo i gruppi inattivi arrivano a scadenza, con avvisi agli owner; senza owner l’avviso va all’indirizzo amministrativo configurato. Anche qui serve Entra ID P1.

Tre esiti da non confondere:

• Archiviazione (Teams admin center o client): il team diventa read-only, resta visibile e ricercabile, si può rendere read-only anche il sito SharePoint, ed è reversibile. È la scelta per un progetto chiuso da consultare.
• Cancellazione: il gruppo va in soft-delete e resta ripristinabile per 30 giorni; il restore riporta team, canali, sito SharePoint, mailbox e tab. Oltre la finestra è definitiva.
• Scadenza non rinnovata: equivale a una cancellazione, quindi apre la stessa finestra di 30 giorni.

Assegnare le policy: utente, gruppo, package

Le policy di Teams (meeting policy, messaging policy, app setup policy…) esistono come istanze e vanno assegnate. La precedenza è: assegnazione diretta all’utente, poi group policy assignment in base al rank (numero più basso = priorità più alta), infine la Global (Org-wide default). Un utente in più gruppi riceve la policy del gruppo con rank migliore, e la propagazione non è istantanea.

Un policy package è una raccolta predefinita di policy per un ruolo (insegnante, frontline worker, operatore sanitario): assegnandolo si applica l’intero set in un colpo solo, poi modificabile.

Quando l’interfaccia non basta — migliaia di utenti, automazione — si passa a Teams PowerShell (batch policy assignment) o a Microsoft Graph per gruppi, naming ed expiration.

Trappole tipiche d’esame

• Recuperare un file condiviso in una chat → cercalo in OneDrive: solo i file dei canali stanno nel sito SharePoint del team; “SharePoint” è il distrattore standard.
• Conservare un progetto chiuso ma consultabile → archive, non delete: l’archiviazione è read-only e reversibile; la cancellazione avvia il conto alla rovescia dei 30 giorni.
• Ripristinare un team cancellato tre settimane fa → si può: il gruppo è in soft-delete; oltre i 30 giorni nessun restore, e la domanda gioca sulla data.
• Nomi non conformi creati da Outlook o Planner → naming policy sul gruppo in Microsoft Entra: non c’è un equivalente nel Teams admin center, e l’admin che fa il test può esserne esente.
• “Il gruppo attivo scadrà fra 30 giorni” → falso: con attività registrata l’auto-renewal interviene senza azione degli owner; le notifiche riguardano solo i gruppi inattivi.
• Set coerente di policy per 5.000 frontline worker → policy package su un gruppo: assegnare policy singole utente per utente dall’interfaccia non regge la scala.