WymaganiaCopy Anchor Link

Wszystko, czego 1Security potrzebuje od Twojego tenanta, w jednym miejscu: sprawdzenie licencji przy podłączaniu, role administracyjne, dokładne uprawnienia każdego modułu i ta garstka rzeczy, które naprawdę wymagają droższej subskrypcji Microsoftu.

Najważniejsze: 1Security działa na standardowej licencji Microsoft 365. Nie ma agenta do zainstalowania, appliance'a, kolektora logów ani wymogu E5 dla podstawowego produktu.

Licencje Microsoft 365Copy Anchor Link

Jedyny twardy wymógCopy Anchor Link

W tenancie musi być co najmniej jeden użytkownik z licencją zawierającą SharePoint Online. To całe sprawdzenie. 1Security weryfikuje je przy podłączaniu i zatrzymuje proces komunikatem „Twój tenant nie ma wymaganej licencji", jeśli nie znajdzie pasującej subskrypcji.

Kwalifikuje się każda z poniższych (dopasowanie idzie po SKU subskrypcji, więc odpowiedniki i warianty regionalne też się liczą):

Co nie wymaga niczego dodatkowegoCopy Anchor Link

To wszystko działa na Business Basic - bez E5, bez dodatków, bez płatnych logów logowań:

• Pełny graf uprawnień - użytkownicy, grupy, witryny, pliki, aplikacje, agenci, urządzenia.
• Skanowanie wrażliwości własnym silnikiem 1Security (ponad 300 detektorów, w tym OCR).
• Do trzech lat historii aktywności, znacznie poza domyślną retencją Microsoftu.
• Inteligencja lokalizacji - wzbogacanie działa lokalnie, bez płatnego dodatku do logów logowań.
• Urządzenia, łącznie z niezarejestrowanymi i cieniami. 1Security czyta katalog urządzeń Entra, nie Intune - Intune nigdy nie jest wymagany. (Jeśli go masz, wypełnia kolumny zgodności i stanu zarządzania; bez niego pozostają puste.)
• Automatyzacje i cała warstwa naprawcza: naprawa plików i linków, członkostwa grup i witryn, wyłączanie użytkowników, aplikacji i tożsamości agentów, odbieranie zgód aplikacjom, przypisywanie i odbieranie licencji - w tym odebranie licencji Copilota. Jedyne wyjątki to dwie akcje wykluczania z wyszukiwania Copilota opisane poniżej.
• Agenci wykrywani przez Entra Agent ID - tożsamości agentów i blueprinty są czytelne w każdym tenancie Entra, bez żadnej licencji.

Co wymaga droższej subskrypcji MicrosoftuCopy Anchor Link

Garstka funkcji zależy od czegoś, co sam Microsoft trzyma w wyższym planie. Każda degraduje się osobno - reszta platformy działa bez zmian, a 1Security wykrywa brak wyższego planu i czysto pomija te wywołania zamiast zgłaszać błędy.

Wiersz Copilota podąża za stroną wymagań wstępnych SharePoint Advanced Management Microsoftu, która nie wymienia żadnego planu Business. Na Business Basic / Standard / Premium z Copilotem 1Security zgłasza te dwie akcje jako niegotowe, choć najprawdopodobniej zadziałają - nie kupuj niczego wyłącznie na podstawie tego werdyktu.

Sprawdź swój tenant przed podłączeniemCopy Anchor Link

Ta sekcja jest dla administratorów Microsoft 365: sprawdzenie poniżej odczytuje subskrypcje tenanta, a do tego trzeba roli, która widzi Rozliczenia w centrum administracyjnym Microsoft 365 - Global Administrator, Billing Administrator albo License Administrator. Bez jednej z nich zatrzymasz się na ścianie uprawnień przy pierwszym kroku.

To wskazówka, nie gwarancja. Porównuje licencje, które tenant posiada, z tą samą tabelą pakietów, której 1Security używa po podłączeniu, i zakłada, że subskrypcja bazowa jest aktywna - wygasła lub anulowana subskrypcja jeszcze przez jakiś czas figuruje na liście, a żaden prompt tego nie zobaczy. O tym, co działa, decyduje Microsoft; to mówi, czego się spodziewać. Sprawdzenie, które 1Security wykonuje po podłączeniu, dopasowuje subskrypcje także po ich GUID, więc może być tylko łagodniejsze od tej strony, nigdy surowsze.

Role administracyjneCopy Anchor Link

Role katalogowe, które 1Security przypisuje samemu sobieCopy Anchor Link

Dwa moduły potrzebują roli Microsoftu na własnej jednostce usługi, bo API pod spodem jest exchange'owe, a nie graphowe. Właśnie dlatego proszą o RoleManagement.ReadWrite.Directory - służy do wykonania dokładnie jednego przypisania, do własnej aplikacji 1Security:

• Moduł audytu - przypisuje Exchange Administrator jednostce usługi aplikacji audytowej, żeby móc odczytać konfigurację ujednoliconego dziennika audytu przez Exchange Online PowerShell. Przypisanie jest celowo ograniczone czasowo do 2 godzin przez Privileged Identity Management, co oznacza wymóg Entra ID P2 - w tenantach bez P2 przypisanie nie dochodzi do skutku, ingestia audytu działa dalej w całości, a jedyną stratą jest to, że 1Security nie sprawdzi i nie włączy za Ciebie ujednoliconego dziennika audytu.
• Moduł Purview - ten sam wzorzec uprawnień jako przypisanie stałe (bez PIM, bez P2), w parze z członkostwem w grupie ról Content Explorer List Viewer powyżej.

Ustawienia tenantaCopy Anchor Link

• Ujednolicony dziennik audytu musi być włączony. W większości tenantów jest domyślnie. 1Security sprawdza jego status i - po podłączeniu modułu audytu - może go włączyć za Ciebie; możesz też zrobić to wcześniej samodzielnie, zobacz poradnik Microsoftu. Bez niego Microsoft nie zapisuje żadnej aktywności, więc ekran Logi aktywności pozostaje pusty.

• Power Platform API musi być zarejestrowane w tenancie. Zgoda przy wdrożeniu obejmuje jedno uprawnienie Power Platform API (dla inwentarza Copilot Studio), a Microsoft odrzuca całą zgodę, gdy w tenancie nie ma jednostki usługi Power Platform API. Global Administrator rejestruje ją raz, a następnie ponawia zgodę:

  Copy Text

  az ad sp create --id 8578e004-a5c6-46e7-913e-12f58912df43

  Lub w PowerShellu: New-MgServicePrincipal -AppId 8578e004-a5c6-46e7-913e-12f58912df43.

• Żadna inna konfiguracja tenanta nie jest potrzebna. Bez reguł przepływu poczty, bez wyjątków w dostępie warunkowym, bez kont serwisowych, bez impersonacji skrzynek.

Uprawnienia, moduł po moduleCopy Anchor Link

1Security traktuje najmniejszy przywilej dosłownie: instalacja bazowa jest tylko do odczytu, a każda funkcja wymagająca więcej to osobna zgoda, którą nadajesz tylko wtedy, gdy chcesz tej funkcji. Zapis istnieje wyłącznie w modułach, które sam włączasz.

Podstawowa widoczność - tylko do odczytu, nadawana przy instalacjiCopy Anchor Link

Microsoft Graph:

User.Read.All                      Group.Read.All
GroupMember.Read.All               Directory.Read.All
Files.Read.All                     Sites.Read.All
Organization.Read.All              Application.Read.All
Team.ReadBasic.All                 Reports.Read.All
Insights-UserMetric.Read.All       UserAuthenticationMethod.Read.All
AuditLog.Read.All                  SecurityAlert.Read.All
SecurityIncident.Read.All          Sites.FullControl.All
AuditLogsQuery.Read.All            (opcjonalne - tylko historia audytu)
Policy.Read.All                    (opcjonalne - tylko inwentarz dostępu warunkowego)
SecurityEvents.Read.All            (opcjonalne - tylko Microsoft Secure Score)

SharePoint:

Sites.Read.All
User.Read.All
Sites.FullControl.All

Office 365 Management API (kanał aktywności ujednoliconego dziennika audytu):

ActivityFeed.Read
ActivityFeed.ReadDlp

Power Platform API (delegowane - inwentarz Copilot Studio, zobacz niżej):

ResourceQuery.Resources.Read

Dziennik audytuCopy Anchor Link

Office 365 Management API:  ActivityFeed.Read, ActivityFeed.ReadDlp
Microsoft Graph:            RoleManagement.ReadWrite.Directory

Uprawnienie z Grapha służy wyłącznie do opisanego wyżej przypisania roli Exchange Administrator samemu sobie.

PurviewCopy Anchor Link

Microsoft Graph:  RoleManagement.ReadWrite.Directory

Plus członkostwo w grupie ról Content Explorer List Viewer w Purview.

Widoczność pocztyCopy Anchor Link

Mail.Read
Domain.Read.All

Dostęp tylko do odczytu do zawartości skrzynek. Treści wiadomości i załączniki są czytane w trakcie analizy, nie przechowywane.

Zarządzanie skrzynkami (opcjonalne, zapis)Copy Anchor Link

Mail.ReadWrite

Nadawane osobno od widoczności poczty - możesz czytać skrzynki, nigdy nie pozwalając na zmiany. Pozwala automatyzacji odizolować lub oznaczyć wiadomość zamiast tylko o niej alertować. Bez trwałego usuwania.

Automatyzacje (opcjonalne, zapis)Copy Anchor Link

Microsoft Graph:  Files.ReadWrite.All, Group.ReadWrite.All,
                  GroupMember.ReadWrite.All, User.ReadWrite.All
SharePoint:       Sites.FullControl.All

Opcjonalne (każde odblokowuje tylko własne akcje):
                  Application.ReadWrite.All            (włączanie / wyłączanie aplikacji,
                                                        wymóg przypisania)
                  DelegatedPermissionGrant.ReadWrite.All  (odbieranie zgód aplikacjom)
                  AppRoleAssignment.ReadWrite.All         (usuwanie przypisań ról aplikacji)
                  AgentIdentity.EnableDisable.All      (wyłączanie / włączanie tożsamości agentów)
                  AgentIdentity.ReadWrite.All          (zmiana właścicieli tożsamości agenta)

Jedyny moduł, który może cokolwiek zmienić w tenancie. Działania czekają w kolejkach przeglądu i okresach karencji - zobacz Automatyzacje.

Katalog agentów Copilot - część podstawowej widocznościCopy Anchor Link

CopilotPackages.Read.All   (delegowane, na aplikacji odczytu)

Przyznawane wraz ze zgodą przy wdrożeniu; nie ma osobnego połączenia. Token jest przechwytywany, gdy administrator loguje się do 1Security, a ponieważ uprawnienie jest delegowane, a nie aplikacyjne, Microsoft weryfikuje licencję Agent 365 tego jednego administratora, a nie każdego użytkownika. Zobacz Agenci.

Inwentarz Copilot Studio - część podstawowej widocznościCopy Anchor Link

ResourceQuery.Resources.Read   (delegowane, na aplikacji odczytu)

Nadawane razem ze zgodą przy wdrożeniu, jak reszta podstawowej widoczności. Delegowane, ponieważ Power Platform odrzuca tożsamości aplikacji: 1Security odczytuje inwentarz agentów Microsoft - środowisko, właściciela i stan kwarantanny każdego agenta Copilot Studio - w imieniu jednego użytkownika z rolą Global Administrator, Power Platform Administrator, Dynamics 365 Administrator, Global Reader, AI Administrator lub AI Reader. W imieniu tej osoby wyłącznie odczytuje i nigdy nie wykonuje żadnych akcji. Ekran Integracje pokazuje, w czyim imieniu odczytywany jest inwentarz. Zobacz Agenci.

Akcje w Copilot Studio (opcjonalne, zapis)Copy Anchor Link

Power Platform API:  CopilotStudio.AdminActions.Invoke   (delegowane, na aplikacji zapisu)
                     ResourceQuery.Resources.Read        (delegowane, na aplikacji zapisu)
PowerApps Service:   User                                (delegowane, na aplikacji zapisu)

Potrzebne tylko do wykonywania akcji na agentach Copilot Studio (kwarantanna, zmiana właściciela) i do sprawdzania, z jakich połączeń korzystają ich środowiska. Delegowane z tego samego powodu co inwentarz. 1Security działa w imieniu osoby z rolą Power Platform Administrator lub Global Administrator, która nawiązuje połączenie, a Microsoft rejestruje tę osobę jako wykonawcę kwarantanny i zmian własności agentów Copilot Studio. Połączenie można w każdej chwili usunąć z ekranu Integracje; usunięcie go nie odwołuje zgody w Microsoft Entra, a inwentarz nadal jest pobierany przez aplikację odczytu.

Klienty i siećCopy Anchor Link

• Przeglądarka - Chrome, Edge, Firefox lub Safari, dwie ostatnie główne wersje. Nic do instalowania: bez rozszerzenia, bez agenta na desktopie, bez oprogramowania na endpointach.
• Chmura (SaaS) - po Twojej stronie nie trzeba nic otwierać. To 1Security dzwoni do Microsoftu, nie do Twojej sieci. Przeglądarki użytkowników potrzebują wychodzącego HTTPS (443) do app.1security.ai i api.1security.ai - pełną listę hostów oraz instrukcje na wypadek, gdy filtr WWW zaklasyfikuje 1Security jako serwis AI i go zablokuje, opisują Wymagania sieciowe.
• BYOC i On-Premise - wdrożenie potrzebuje wychodzącego HTTPS (443) do endpointów Microsoftu, z których korzysta 1Security: login.microsoftonline.com, graph.microsoft.com, manage.office.com, <tenant>.sharepoint.com i <tenant>-my.sharepoint.com, a także endpointów PowerShella Exchange Online i Security & Compliance (outlook.office365.com, *.compliance.protection.outlook.com) używanych przez moduły audytu i Purview. Sprzęt i wymiarowanie zasobów Azure opisuje Instalacja.

Gdy brakuje wymaganiaCopy Anchor Link