Microsoft 365 Tenant Manager 是面向 Microsoft 365 全局管理员的专家指导与自动化技能，覆盖租户搭建、用户生命周期、安全策略和组织优化等管理任务。
【用途】 面向需要执行 Microsoft 365 租户级管理工作的管理员，帮助完成租户初始化、Azure AD（Entra ID）用户管理、Exchange Online 及安全策略配置等日常运维。
【主要能力】
- 租户搭建：生成搭建清单、DNS 记录与许可证建议，并可输出完整搭建脚本。
- 用户生命周期管理：支持用户校验、批量创建（从 CSV 导入）与离职处理脚本生成。注意用户创建的前置门槛：须先执行 --action validate，且要求每条记录均报告 "is_valid": true 后才生成创建脚本。
- 管理脚本生成：条件访问策略、安全审计、批量许可三类脚本。
- 安全加固：运行安全审计、创建 MFA 策略（建议先以仅报告模式启用）、查看 Secure Score。
- 离职流程：阻止登录、撤销会话、移除许可证、将邮箱转为共享邮箱、移出所有组。
【使用方式】 技能提供 PowerShell 与 Microsoft Graph 的命令示例，以及三个 Python 标准库生成器（附带 sample_input.json 示例输入与 expected_output.json 期望结构），官方建议对批量/重复性工作优先使用生成器而非手写脚本。
租户搭建脚本生成： python3 scripts/tenant_setup.py --config sample_input.json --format json -o tenant_plan.json python3 scripts/tenant_setup.py --config sample_input.json --format powershell -o tenant_setup.ps1
用户管理脚本生成： python3 scripts/user_management.py --domain acme.com --action validate --users users.json python3 scripts/user_management.py --domain acme.com --action create --users users.json -o create_users.ps1 python3 scripts/user_management.py --domain acme.com --action offboard --user-email jane@acme.com -o offboard.ps1
管理员脚本生成： python3 scripts/powershell_generator.py --tenant-domain acme.com --task conditional-access --policy-config policy.json -o ca_policy.ps1 python3 scripts/powershell_generator.py --tenant-domain acme.com --task security-audit -o audit.ps1 python3 scripts/powershell_generator.py --tenant-domain acme.com --task bulk-license --users-csv users.csv --license-sku ENTERPRISEPACK -o licenses.ps1
生成后的每个 .ps1 脚本都应在租户中运行前对照工作流进行审查。文档要求执行前先安装模块： Install-Module Microsoft.Graph -Scope CurrentUser Install-Module ExchangeOnlineManagement -Scope CurrentUser Install-Module MicrosoftTeams -Scope CurrentUser
所需权限包括：全局管理员（完整租户搭建）、用户管理员（用户管理）、安全管理员（安全策略）、Exchange 管理员（邮箱管理）。
【适用场景】
- 新租户搭建：确认全局管理员账号已启用 MFA、自定义域可编辑 DNS、许可证 SKU（E3 与 E5 功能要求）已确认；配置并验证 DNS 记录（文档提示等待传播最长 48 小时后再批量创建用户）；应用安全基线（如禁用旧式身份验证、启用统一审核日志）；随后批量预配用户并核验许可证为 Active。
- 安全加固：导出条件访问策略清单、查找未注册 MFA 的账号、创建 MFA 策略（先仅报告模式，48 小时后审阅登录日志再改为启用）、查看 Secure Score 与改进项。
- 用户离职：阻止登录并撤销刷新令牌、以 dry-run 预览将移除的 SKU、再执行移除许可证、邮箱转共享、移出所有组，并在门户确认账号为 Blocked、无有效许可证、邮箱类型为 Shared。
【限制与约束】 完整租户搭建需要全局管理员最高权限；批量操作可能受 API 速率限制影响；高级功能依赖 E3/E5 许可证；混合场景下本地 AD 需要额外配置；需预先安装 Microsoft.Graph 等 PowerShell 模块。文档同时建议：先在非生产租户测试、不要在脚本中硬编码凭据（使用 Azure Key Vault 或 Get-Credential）、对破坏性批量操作先做 dry-run、为脚本加入 try/catch 与日志、以及定期进行安全审查。
【补充资料】 技能附带参考文档：references/powershell-templates.md（脚本模板、条件访问策略示例、批量预配与安全审计脚本）、references/security-policies.md（条件访问配置、MFA 强制策略、DLP 与保留策略、安全基线）、references/troubleshooting.md（常见错误、模块问题、权限排错、DNS 传播问题）。具体收费、价格与平台支持等信息暂未提供。