Teams 現可用電子郵件地址啟動聊天

使用電子郵件啟動聊天，引發資安社群關注

Microsoft 發布了訊息中心通知 MC1182004（Microsoft 365 路線圖項目 513271），宣布任何 Teams 用戶都可以透過電子郵件地址與外部使用者建立聊天。換言之，這是一種聯盟聊天（federated chat）的變體，但主要差別在於：外部人員 不需要是 Teams 用戶，同時會被新增至主租戶作為來賓帳戶。

這項功能在資安社群中引起不小爭議，多數評論者認為這是個風險點，原因在於允許 Teams 用戶使用電子郵件與外部人士聊天，可能成為將惡意軟體引入租戶的潛在管道。事實上，透過 Teams 聊天的風險並不比允許使用者發送電子郵件給外部收件者更嚴重。若這項功能採「選擇加入（opt-in）」而非「選擇退出（opt-out）」會更好，而如果 Microsoft 針對如何保護租戶免受 Teams 潛在感染提供指引，那就更理想了。

最新更新

根據 MC1182004 的更新，Microsoft 表示此功能主要針對「擁有 Teams Essentials、Business Basic、Business Standard 或 Business Premium 授權的小型與中型企業客戶」。

在我看來，如果這意味著 Microsoft 打算將「透過電子郵件啟動聊天」功能限制於上述租戶類型，並阻止企業租戶使用，那麼這是一個不理想的改變。許多小型租戶不像企業租戶一樣擁有完善的來賓帳戶管理框架。然而，「主要針對」也可能只是指 Microsoft 將功能推廣給這些租戶，而讓企業租戶自行決定是否啟用。

透過電子郵件地址啟動聊天

要使用電子郵件地址建立聊天，只需 建立新的聊天，然後輸入要聊天的使用者電子郵件地址。

Teams 會識別該電子郵件地址尚未存在於租戶目錄中，因此會 自動建立新的來賓帳戶，並為外部使用者加上 外部信任指標（External Trust Indicator）。

雖然你可以先在聊天中發送訊息，但外部使用者必須 接受邀請 後才能加入聊天並回覆。頗為貼心的是，當你發送訊息後，Teams 會通知使用者「邀請已發送，可能需要幾分鐘」，這段時間涵蓋了收件人收到郵件、確認來賓帳戶細節的流程，包括若受條件存取政策要求，還需完成多重驗證。

在來賓帳戶確認完成後，聊天會像任何其他來賓聊天一樣進行，所有對來賓的既有限制仍然適用。例如，來賓可以在訊息中傳送 URL，但無法傳送檔案附件。唯一新增的部分，就是 從聊天直接啟動來賓帳戶建立的流程。

重要的是，要明白透過這種方式新增的來賓帳戶，其功能與其他來賓帳戶完全相同。它可以被加入 Teams 或Outlook 群組、甚至 Exchange Online 通訊群組的成員名單，參與群組聊天，等等。

管理「透過電子郵件地址啟動聊天」功能

雖然 Microsoft 預設啟用了「邀請使用者透過電子郵件聊天」功能，但這個功能仍受多項控制限制。

1️⃣ 透過 Teams 訊息政策禁用功能 該功能可以針對部分或所有使用者停用，方法是 更新指派給使用者帳戶的 Teams 訊息政策。目前在 Teams 管理中心尚無法直接操作，因此必須透過 PowerShell 完成。如果你的電腦已安裝最新版的 Teams PowerShell 模組，可以在功能正式推出前，提前更新政策：

Get-CsTeamsMessagingPolicy | Format-Table identity, UseB2BInvitesToAddExternalUsers

Set-CsTeamsMessagingPolicy -Identity 'Restricted - No Chat' -UseB2BInvitesToAddExternalUsers $false

2️⃣ 來賓帳戶邀請權限 由於被邀請的外部使用者會成為租戶內的來賓，因此這些使用者必須 具備邀請新來賓的權限。通常，團隊擁有者可以將新來賓加入團隊成員，使用者也可以將來賓加入 SharePoint Online 或 OneDrive for Business 以共享文件，但邀請來賓的權限是可以被限制的。

3️⃣ B2B 協作政策限制
租戶的 B2B 協作政策 必須允許來自目標電子郵件域的使用者被邀請為來賓。例如，封鎖消費者電子郵件域的邀請是很常見的做法。如果 Teams 無法為外部使用者建立來賓帳戶，那麼聯盟聊天（federated chat）就無法進行。事實上，依照目前設定，試圖啟動聊天的使用者不會收到任何提示，因為邀請會在背後悄悄被阻止。顯然，Teams 在允許使用者透過電子郵件啟動聊天之前，並不會檢查 B2B 協作政策。

4️⃣ 來賓帳戶的控制
如前所述，來賓帳戶受到多項控制，例如多重驗證政策。這可能要求新來賓使用 Microsoft Authenticator App 作為第二道驗證方法。

5️⃣ 使用 Microsoft Defender 進行防護
建議使用 Microsoft Defender for Office 365 來保護 Teams 通訊，包括封鎖聊天訊息中可能存在的惡意 URL。

6️⃣ 稽核與追蹤
與其他來賓及聊天相關的活動一樣，從電子郵件地址建立新來賓帳戶及其參與聊天的所有動作，皆會被記錄在 Microsoft 365 稽核日誌 中，以便後續追蹤與審計。