Spring til indholdet

Indhold

SharePoint Advanced Management: RAC, RCD og Restricted SharePoint Search

Restricted Access Control, Restricted Content Discovery og Restricted SharePoint Search hedder næsten det samme. Hvad hver gør, og hvad licensen kræver.

Opdateret SharePoint OnlineAdgangsstyringSøgningCopilotPowerShell 9 min. læsning

SharePoint Advanced Management, forkortet SAM, er en samling styringsværktøjer i SharePoint admin center: politikker for ejere, inaktivitet og attestering af websteder, rapporter over overdeling og kontroller, der begrænser adgang eller synlighed (Microsoft). Tre af kontrollerne hedder næsten det samme og bliver blandet sammen: Restricted Access Control (RAC), Restricted Content Discovery (RCD) og Restricted SharePoint Search (RSS). De gør tre forskellige ting, og den ene af dem er under afvikling. Resten af SAM, licensen og tidslinjen står længere nede.

De tre, side om side#

RACRCDRSS
SpørgsmålHvem kan åbne webstedet?Må webstedets indhold dukke op i søgning og Copilot?Hvilke websteder må søgning og Copilot bruge?
Virker somAdgangsspærre: kun medlemmer af de angivne grupper kommer indUdelukkelse af valgte webstederPositivliste på højst 100 websteder
NiveauPr. webstedPr. webstedHele tenanten
RettighederEt gruppekrav oveni de eksisterende rettighederUændredeUændrede
GælderSharePoint og OneDriveKun SharePointSøgning på tværs af organisationen og Copilot
Status 8. oktober 2026I brugI brugKan ikke slås til, stopper 31. januar 2027

En fjerde kontrol har det omvendte formål: Authoritative Sites skjuler intet, men markerer op til 100 websteder som officielle kilder for Copilot.

Restricted Access Control (RAC)#

RAC begrænser et websted eller en OneDrive til medlemmer af op til ti angivne Microsoft 365-grupper eller Entra-sikkerhedsgrupper. Den, der ikke er medlem, kommer ikke ind, selv om vedkommende tidligere havde adgang eller har et delingslink (Microsoft). Det gælder også, hvis indholdet er delt ved at bryde nedarvningen (Microsoft 365-bloggen, 2. maj 2023).

  • Begge dele kræves. Gruppemedlemskab giver ikke adgang i sig selv. Brugeren skal både have rettighed til indholdet og være medlem af kontrolgruppen (Microsoft).
  • Gruppeforbundne websteder har den tilknyttede Microsoft 365-gruppe som standardgruppe. Dynamiske sikkerhedsgrupper kan bruges.
  • Kanalwebsteder. Delte og private kanaler er egne websteder, så RAC på teamets websted gælder ikke for dem. På et websted til en delt kanal gælder RAC kun interne brugere i ressource-tenanten.
  • Deling følger ikke RAC som standard. Det kan slås til, så der kun kan deles med medlemmer af kontrolgrupperne (Microsoft).
  • Søgning og Copilot. Learn skriver, at RAC respekteres i søgning på tværs af organisationen og i Copilot. Fra sidst i juli 2026 håndhæves den også i resten af Microsoft 365-søgningen, blandt andet på Office.com, og det sker automatisk (MC1429019). Hvor stor ændringen er i forhold til det, der gjaldt før, fremgår ikke.
  • Delegering. SharePoint-administratoren kan lade webstedsadministratorerne styre RAC. Det er slået fra som standard, og en ændring kræver en begrundelse.
  • Rapporter og log. To rapporter viser de beskyttede websteder og de afviste adgangsforsøg de seneste 28 dage, og Purview-revisionsloggen registrerer ændringerne (Microsoft).
 1Connect-SPOService -Url "https://contoso-admin.sharepoint.com"
 2
 3# Allow restricted access control in the tenant (can take up to an hour)
 4Set-SPOTenant -EnableRestrictedAccessControl $true
 5
 6# Turn it on for one site and name the control group
 7Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/Project" -RestrictedAccessControl $true
 8Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/Project" -AddRestrictedAccessControlGroups "<group GUID>"
 9
10# Read it back
11Get-SPOSite -Identity "https://contoso.sharepoint.com/sites/Project" | Select-Object RestrictedAccessControl, RestrictedAccessControlGroups
12
13# Also restrict sharing to members of the control groups
14Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

Restricted Content Discovery (RCD)#

RCD skjuler et websteds indhold i søgning på tværs af organisationen (SharePoint-startsiden, Office.com og Bing) og i Copilots svar, også filer, brugeren selv har været inde i. På webstedet fjernes Copilot-knappen, AI-menuerne og Create pages with AI, og webstedet får et Restricted-mærke. Rettighederne er uændrede, så den, der allerede har adgang, kan stadig åbne indholdet direkte (Microsoft).

  • Kun SharePoint. OneDrive understøttes ikke. Søgning inde fra webstedet og forslag som Microsoft 365 Feed er upåvirkede.
  • Indholdet forbliver i indekset. Purview-funktioner som eDiscovery og auto-labeling virker som før.
  • Midlertidigt og sparsomt. Microsoft beskriver RCD som en midlertidig styringskontrol, mens rettigheder gennemgås, og advarer om, at udbredt brug gør søgning og Copilots svar mindre fuldstændige.
  • Tager tid. Indeksopdateringen afhænger af webstedets størrelse. For websteder med over 500.000 elementer kan en ændring tage mere end en uge.
  • Slås til i SharePoint admin center under Active sites → webstedet → Settings → Restrict content from Microsoft Copilot, eller med PowerShell.
  • Delegering til webstedsadministratorer kom i public preview 23. marts 2026. Den er slået fra som standard, og en ændring kræver en begrundelse (MC1259825).

I juli 2026 blev RCD strammet: filer, brugeren for nylig har set, redigeret eller delt på et RCD-websted, vises ikke længere i Copilot og Microsoft 365-søgning, og AI-indgangene fjernes. Opslaget fra 14. juli satte udrulningen til sidst i juli, og 4. august blev afslutningen flyttet til sidst i september (MC1427972).

 1# Hide one site from organization-wide search and Copilot
 2Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/HR" -RestrictContentOrgWideSearch $true
 3
 4# Check it, and take it off again
 5Get-SPOSite -Identity "https://contoso.sharepoint.com/sites/HR" | Select-Object RestrictContentOrgWideSearch
 6Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/HR" -RestrictContentOrgWideSearch $false
 7
 8# Let site admins manage it for their own sites (they must give a justification)
 9Set-SPOTenant -DelegateRestrictedContentDiscoverabilityManagement $true
10
11# Report on all sites that have it
12Start-SPORestrictedContentDiscoverabilityReport
13Get-SPORestrictedContentDiscoverabilityReport

Restricted SharePoint Search (RSS)#

RSS slår søgning på tværs af organisationen fra og begrænser søgning og Copilot til en liste på op til 100 websteder, som administratoren selv har valgt. Et hubwebsted tæller som ét på listen, og hubbens tilknyttede websteder er med uden at tælle. Ud over listen ser brugeren sine egne OneDrive-filer, chats, mails og kalender, filer, der er delt direkte, og filer fra hyppigt besøgte websteder og dem, brugeren har set eller rettet. Funktionen er slået fra som standard og ændrer ikke rettigheder (Microsoft).

Microsoft kalder RSS en kortvarig løsning, der ikke er en sikkerhedsgrænse: et websted, brugeren for nylig har besøgt, eller som er delt i Teams eller Outlook, dukker op, selv om det ikke står på listen. Den påvirker søgningen for alle brugere, ikke kun dem med Copilot (Microsoft).

Funktionen blev annonceret 6. marts 2024 med udrulning fra begyndelsen af april til slutningen af juni (MC726119). Opdateringsnoten i det oprindelige blogindlæg skriver, at den blev generelt tilgængelig 24. juni 2024 (Microsoft 365 Copilot-bloggen).

Den afvikles. Opslaget af 18. juni 2026 sætter tre datoer, uden forlængelser: fra 31. juli 2026 kan RSS ikke slås til, funktionen stopper 31. januar 2027, og PowerShell-cmdlets stopper 28. februar 2027. Indstillingerne flyttes ikke automatisk til RCD, og uden handling kan det, listen holdt skjult, blive søgbart igen (MC1395311).

Overgangen er ikke en til en. RSS er en positivliste, RCD en udelukkelse. Learn nævner selv, at RSS ikke kan bruges som en liste over websteder, der skal holdes ude, og peger på RAC som den nærmeste funktion i SAM. Er SAM ikke klar, kan et websted holdes ude af søgning med indstillingen Allow this site to appear in Search results, men så forsvinder det også fra søgningen inde på webstedet (Microsoft).

Resten af SAM#

Microsoft deler SAM i tre grupper (Microsoft).

  • Webstedernes livscyklus. Tre politikker: ejerskab (et mindste antal ejere), inaktivitet og attestering, hvor ejerne med mellemrum skal bekræfte, at webstedet stadig er nødvendigt. Ejerne får en mail om måneden i tre måneder. Svarer ingen, kan politikken lade webstedet være, sætte det skrivebeskyttet eller arkivere det efter en skrivebeskyttet periode på 3, 6, 9 eller 12 måneder (Microsoft). Arkiveringen går gennem Microsoft 365 Archive, som skal være slået til, se Arkivering af enkeltfiler i Microsoft 365 Archive og Hvad der fylder i SharePoint-lageret. Politikkerne kan køre som simulering, der kører én gang og laver en rapport, eller aktivt, hvor de kører månedligt. Et websted, ejeren har bekræftet, kontrolleres ikke igen i et år. Politikkerne sletter aldrig selv et websted (Microsoft). Hvorfor sådanne politikker kun virker, hvis de bygges ind i hverdagen, står i Styring af SharePoint, der bliver fulgt.
  • Indholdets livscyklus. Katalogstyring, der grupperer websteder efter region, afdeling og egne egenskaber, ændringshistorik for et websted de seneste 180 dage, en oversigt over administratorers seneste ændringer de seneste 30 dage og begrænsning af, hvilke programmer der må oprette websteder.
  • Overdeling. Data access governance-rapporter (rettigheder, sensitivity labels, delingslinks og deling med Everyone except external users), site access reviews, hvor ejerne bliver bedt om at bekræfte adgangen, sammenligning af websteders politikker, indsigt i programmer og agenter, blokering af download og betinget adgang.

Månedsnoterne har rækkerne om de enkelte funktioner. RAC står i oktober 2022, august 2023 og maj 2025, RCD i oktober 2024 og maj 2025, webstedernes livscyklus i oktober 2022, maj 2025 og juni 2025 og overdeling og indsigt i oktober 2022, september 2024, oktober 2024, maj 2025, september 2025, oktober 2025, november 2025 og august 2026.

Licens og roller#

SAM kræver et basisabonnement, blandt andre Office 365 E3 og E5 og Microsoft 365 E1, E3 og E5. SAM-funktionerne til en Copilot-udrulning følger med, hvis mindst én bruger i tenanten har en Microsoft Copilot-licens, også en bruger uden administratorrolle, eller hvis tilkøbet SharePoint Advanced Management Plan 1 er købt, eller tenanten har Microsoft 365 E7. Rollen skal være SharePoint Administrator eller SharePoint Advanced Management Administrator (Microsoft). Enkelte funktioner følger ikke med Copilot-licensen. Begrænsning af, hvilke programmer der må oprette websteder, kræver tilkøbet (Microsoft).

Det var anderledes ved starten. SAM kom 1. marts 2023 som et tilkøb pr. bruger (Microsoft), og navnet var da Microsoft Syntex – SharePoint Advanced Management. Hvad licenserne i øvrigt betyder for SharePoint, står i Hvad licenserne betyder for SharePoint.

Tidslinje#

  1. SAM udkommer som tilkøb. Generelt tilgængelige er blandt andet data access governance V1, RAC for websteder med Microsoft 365-grupper og for OneDrive, betinget adgang for websteder og Recent admin actions (Microsoft).

  2. RAC med sikkerhedsgrupper erklæres generelt tilgængelig, så websteder uden gruppeforbindelse også kan spærres. Politikken for inaktive websteder og ændringshistorik varsles til andet kvartal, site access reviews til andet halvår (Microsoft 365-bloggen). Se maj 2023.

  3. RSS annonceres (MC726119). Opdateringsnoten i blogindlægget sætter generel tilgængelighed til 24. juni 2024. Se marts 2024.

  4. Politikken for inaktive websteder og ændringshistorik er generelt tilgængelige, site access reviews er i preview, og ejerskabspolitik og begrænset oprettelse af websteder i privat preview (SharePoint-bloggen). Se april 2024.

  5. Microsoft varsler, at Copilot-licensen får SAM-funktioner med fra begyndelsen af 2025 (Microsoft 365 Copilot-bloggen). Se november 2024.

  6. RCD står i Copilots udgivelsesnoter. Datoen er noteposten, ikke nødvendigvis udrulningen (Microsoft). Se februar 2025.

  7. Ejerskabspolitikken står i Copilots udgivelsesnoter (Microsoft). Se august 2025.

  8. Attesteringspolitikken er generelt tilgængelig, slået fra som standard (MC1198075). Se december 2025.

  9. RCD kan uddelegeres til webstedsadministratorer, public preview (MC1259825). Se marts 2026.

  10. RSS’ afvikling annonceres (MC1395311). Se juni 2026.

  11. RCD strammes, og RAC håndhæves i Microsoft 365-søgningen (MC1427972, MC1429019). Se juli 2026.

  12. Frist: RSS kan ikke længere slås til.

  13. Frist: RSS stopper, cmdlets 28. februar 2027.

Faldgruber#

  • Navnene. Restricted står i alle tre. Det, der adskiller dem, er, om kontrollen spærrer adgangen (RAC), skjuler indholdet i søgning og Copilot (RCD) eller afgrænser, hvad søgningen overhovedet må bruge (RSS).
  • RCD og RSS er ikke adgangsstyring. Begge lader rettighederne være, og indholdet kan stadig åbnes direkte. Det, der skal spærre, er RAC eller rettighederne selv.
  • RAC kan spærre ejerne ude. Microsoft anbefaler at tjekke, om en adgangsbegrænsning forhindrer ejeren i at bekræfte webstedet, før en inaktivitetspolitik oprettes (Microsoft).
  • Ændringer slår ikke igennem med det samme. RAC kan tage en time at slå til i tenanten, RCD op til en uge på store websteder.
  • RCD uden Copilot-licens. Learn skriver, at RCD er til Copilot-udrulning, og at den kan sættes op, når tenanten har en Copilot-licens og SAM til rådighed. Om tilkøbet Plan 1 alene er nok, står der ikke (Microsoft).

Del

Alle noter