用途：这是部署 Microsoft 365 Copilot 前的端到端安全就绪手册，核心目标是先解决 SharePoint、OneDrive 和 Teams 的权限卫生问题，再分阶段启用 Copilot，避免其把过度授权的内容（如 HR、董事会、法务资料）呈现给不应看到的用户。
就绪门槛：需先发布并推广敏感度标签（Copilot 遵循标签加密与使用权限）、对已知敏感内容类别启用自动标记、配置面向 Copilot 的 DLP 策略、部署 SAM（SharePoint Advanced Management）、确认站点所有者（无主站点是首要事故路径）、开启审计。
主要做法：先用 SAM 数据访问治理报告盘点过度共享（对“除外部用户外的所有人”共享、匿名链接、高外部共享量、敏感但 ACL 宽松的站点），按体量与敏感度优先处理前 5%；以受限 SharePoint 搜索（RSS）作为过渡保护，把 Copilot 接地范围限制在允许列表站点及用户自己的 OneDrive；推出强制标记与自动标记；编写 DLP for Copilot 策略（先审计模式，调优约两周后再阻断）；用 SAM 做受限访问控制、站点生命周期策略与标签下载阻止；启用 Purview 审计高级版并把 Copilot 交互日志接入 Sentinel，Copilot 事件在 Defender XDR 中呈现。上线分波次：第 0 波 IT 与安全（50 人），第 1 波低敏感部门（如市场，500 人），第 2 波在修复前 5% 过度共享后扩大，第 3 波才覆盖受监管部门。许可前提：Microsoft 365 Copilot 许可 + E3/E5、SAM 附加组件、Purview E5。
限制与注意：不要在治理前全租户启用；RSS 只是过渡、需设下线日期；无加密的标签不限制 Copilot 接地，只有拒绝 EXTRACT/VIEW 的加密标签才有效；自动标记需验证以免误加密；DLP for Copilot 不覆盖外部 AI；默认 Purview 审计保留 180 天，事后调查需审计高级版；站点无所有者会导致权限固化。
参考文档链接：https://learn.microsoft.com/microsoft-365-copilot/microsoft-365-copilot-overview、https://learn.microsoft.com/copilot/microsoft-365/microsoft-365-copilot-privacy、https://learn.microsoft.com/sharepoint/restricted-sharepoint-search、https://learn.microsoft.com/sharepoint/advanced-management、https://learn.microsoft.com/sharepoint/data-access-governance-reports、https://learn.microsoft.com/purview/sensitivity-labels-teams-groups-sites、https://learn.microsoft.com/purview/ai-microsoft-purview、https://learn.microsoft.com/sharepoint/restricted-access-control、https://learn.microsoft.com/purview/audit-copilot。