用途：治理 Microsoft 365 协作蔓延（孤立 Teams、过度共享、过期来宾、过度共享站点），在不扼杀生产力的前提下降低数据风险，并为 Copilot 安全上线做准备。适用于准备 Copilot、处理多年默认开放创建 Teams 造成的蔓延，或建立长期协作治理计划。不适用于 DLP 策略设计、敏感度标签分类、Copilot 专属过度共享修复、Entra 应用/角色访问评审。
主要能力与用法：按症状选择控制项，如组创建限制+命名+过期策略（Entra ID P1）、来宾访问评审（Entra ID P2）、默认共享链接改为“组织内人员”（M365 E3+）、受限访问控制 RAC、SAM 数据访问治理报告、非活动站点策略、保留策略、受限内容发现 RCD（SAM，E5+SAM 附加项）。治理遵循“发现→收紧默认→清理存量→持续维护”。先量化蔓延：非活动超 12 个月站点、唯一权限超 1000 的站点、对“除外部用户外的所有人”或匿名链接共享的站点、无所有者 Teams。再收紧默认共享链接、外部共享、组创建、命名与过期策略，并应用容器级敏感度标签。清理分波进行：归档非活动站点、审查敏感数据站点过度共享、按组进行来宾访问评审、处理无所有者组。建立季度/月度评审节奏并报告态势。
限制与护栏：治理应先于 Copilot 部署；不要直接禁止组创建以免催生影子 IT，改用表单申请模式；策略先在试点 OU 测试；过期会删除数据，需 90 天软删除恢复窗口并提前 30/15/1 天通知所有者；SAM 为独立附加项，RAC、RCD、DAG 报告、非活动站点策略均依赖它；来宾评审应由所有者驱动，管理员仅在超时后兜底。常见反模式包括只收紧默认不清理、只清理不收紧、禁止全部组创建、忽略容器标签、评审无问责、把治理当一次性项目。
参考链接：Microsoft 365 组过期 https://learn.microsoft.com/entra/identity/users/groups-lifecycle ；外部协作设置 https://learn.microsoft.com/entra/external-id/external-collaboration-settings-configure ；SharePoint Advanced Management https://learn.microsoft.com/sharepoint/advanced-management ；数据访问治理报告 https://learn.microsoft.com/sharepoint/data-access-governance-reports ；受限访问控制 https://learn.microsoft.com/sharepoint/restricted-access-control ；访问评审 https://learn.microsoft.com/entra/id-governance/access-reviews-overview ；容器敏感度标签 https://learn.microsoft.com/purview/sensitivity-labels-teams-groups-sites 。