Data Residency para o Exchange Online

Compromissos de Data Residency Disponíveis

Termos do produto

Condições necessárias:

O locatário tem um país/região de inscrição incluído na Geografia da Região Local, na União Europeia ou nos Estados Unidos.

Para o idioma atual, consulte a página da Web de Termos do Produto de Privacidade e Segurança e exiba a seção intitulada "Localização de dados do cliente em repouso para os principais serviços online".

Compromisso:

Complemento Advanced Data Residency

Condições necessárias:

1. O locatário tem um país/região de inscrição incluído na Geografia da Região Local ou na Geografia da Região Local Expandida.
2. O locatário tem uma assinatura válida de Advanced Data Residency para todos os usuários no locatário
3. Os dados do cliente da assinatura do Exchange Online são provisionados em Geografia Local ou Geografia Local Expandida

Compromisso:

Consulte a página de compromisso de ADR para entender os compromissos específicos fornecidos nos Termos do Produto. Exemplos dos dados confirmados incluem: Todos os tipos de caixas de correio, incluindo caixas de correio de usuário, caixas de correio de recurso e caixas de correio de arquivo morto.

Complemento multigeográfico

Condições necessárias:

1. Os locatários têm uma assinatura Multi-Geo válida que abrange todos os usuários atribuídos a uma Geografia de Satélite.
2. Os clientes que compram o Multi-Geo por meio do programa de licenciamento Enterprise Agreement (EA) devem manter um Enterprise Agreement ativo.
3. O total de unidades Multi-Geo adquiridas deve ser maior que 5% do total de usuários qualificados no locatário.

Compromisso:

Os clientes podem atribuir uma Geografia de Satélite com suporte por Multi-Geo a um tipo de caixa de correio com suporte. Consulte a seção Disponibilidade do Microsoft 365 Multi-Geo da página do Microsoft 365 Multi-Geo para obter detalhes. Os Dados em Repouso para Serviços do Office 365 para a caixa de correio, conforme definido pelos termos do produto, devem ser armazenados na Geografia de Satélite atribuída. Os tipos de caixa de correio com suporte incluem caixas de correio principais e de arquivo morto do usuário do Exchange Online, caixas de correio de recurso, caixas de correio de Grupo do Microsoft 365 e caixas de correio compartilhadas.

Recursos multigeográficos no Exchange Online

Os clientes podem atribuir uma Geografia de Satélite suportada por Multi-Geo a um usuário. Consulte a seção Disponibilidade do Microsoft 365 Multi-Geo da página do Microsoft 365 Multi-Geo para obter detalhes. Os Dados em Repouso do usuário para os Serviços do Office 365, conforme definido pelos termos do produto, devem ser armazenados na Geografia de Satélite atribuída. Isso inclui todos os tipos de caixas de correio do Exchange Online, incluindo caixas de correio de usuário, caixas de correio de recurso, caixas de correio de Grupo do Microsoft 365, caixas de correio compartilhadas e caixas de correio de arquivo morto.

Você pode colocar caixas de correio em locais de Geografia de Satélite ao:

1. Criando uma nova caixa de correio do Exchange Online diretamente em um local de Geografia de Satélite.
2. Mover uma caixa de correio existente do Exchange Online para um local de Geografia de Satélite alterando o local de dados preferencial do usuário.
3. Integrando uma caixa de correio de uma organização local do Exchange diretamente em um local de Geografia de Satélite .

Colocação e movimentações de caixa de correio

Depois que a Microsoft concluir as etapas de configuração Multi-Geo de pré-requisito, o Exchange Online respeitará o atributo PreferredDataLocation em objetos de usuário no Microsoft Entra ID. O Exchange Online sincroniza a propriedade PreferredDataLocation do Microsoft Entra ID na propriedade MailboxRegion no serviço de diretório do Exchange Online. O valor de MailboxRegion determina a Geografia da Macrosregião ou a Geografia da Região Local em que as caixas de correio de usuário e quaisquer caixas de correio de arquivo morto associadas são colocadas. Não é possível configurar a caixa de correio principal de um usuário e as caixas de correio de arquivo morto para residir em diferentes localizações geográficas . Somente uma Geografia da Região de Macro ou Geografia da Região Local pode ser configurada por objeto de usuário.

• Quando PreferredDataLocation é configurado em um usuário com uma caixa de correio existente, a caixa de correio é colocada em uma fila de realocação e movida automaticamente para a Geografia da Região de Macro especificada ou a Geografia da Região Local.
• Quando PreferredDataLocation é configurado em um usuário sem uma caixa de correio existente, quando você provisiona a caixa de correio, ela é provisionada na Geografia da Região de Macro ou na Geografia da Região Local especificada.
• Quando PreferredDataLocation não é especificado em um usuário, quando você provisiona a caixa de correio, ela é provisionada na Geografia Provisionada Primária.
• Se o código PreferredDataLocation estiver incorreto (por exemplo, um erro de digitação de NAN em vez de NAM), a caixa de correio será provisionada na Geografia Provisionada Principal.

Limitações de recursos para Multi-Geo no Exchange Online

• Os recursos de segurança e conformidade (por exemplo, auditoria e descoberta eletrônica) disponíveis no EAC (centro de administração do Exchange) não estão disponíveis em organizações multigeográficas. Em vez disso, você precisa usar o Microsoft Defender e o Microsoft Purview para configurar os recursos de segurança e conformidade.
• Os usuários do Outlook para Mac podem ter uma perda temporária de acesso à pasta Arquivo Online enquanto você move a caixa de correio para um novo local de Geografia. Essa condição ocorre quando as caixas de correio principal e de arquivo morto do usuário estão em diferentes localizações geográficas , pois as movimentações de caixa de correio entre áreas geográficas podem ser concluídas em momentos diferentes.
• Os usuários não podem compartilhar pastas de caixa de correio entre localizações geográficas no Outlook na Web (anteriormente conhecido como Outlook Web App ou OWA). Por exemplo, um usuário na União Europeia não pode usar o Outlook na Web para abrir uma pasta compartilhada em uma caixa de correio localizada nos Estados Unidos. No entanto, os usuários do Outlook na Web podem abrir outras caixas de correio em diferentes localizações geográficas usando uma janela separada do navegador, conforme descrito em Abrir a caixa de correio de outra pessoa em uma janela separada do navegador no Outlook Web App.

• Há suporte para pastas públicas em organizações multigeográficas. No entanto, as pastas públicas devem permanecer no local de Geografia Provisionada Primária . Você não pode mover pastas públicas para locais geográficos de satélite.
• Em um ambiente Multi-Geo, não há suporte para a auditoria de caixa de correio entre áreas geográficas. Por exemplo, se um usuário receber permissões para acessar uma caixa de correio compartilhada em um local de Geografia diferente, as ações de caixa de correio executadas por esse usuário não serão registradas no log de auditoria da caixa de correio compartilhada. Os eventos de auditoria de administrador do Exchange também estão disponíveis apenas para o local padrão. Para saber mais, consulte Gerenciar a auditoria da caixa de correio.

Administrando o Exchange multigeógrafico

Administrando caixas de correio do Exchange Online em um ambiente multigeográfico

O Exchange Online PowerShell é necessário para exibir e configurar propriedades Multi-Geo em seu ambiente do Microsoft 365. Para se conectar ao PowerShell do Exchange Online, confira Conectar ao PowerShell do Exchange Online.

Em ambientes Exchange Online Multi-Geo, você não precisa fazer nenhuma etapa manual para adicionar Geografias ao seu locatário. Depois de receber a postagem do Centro de Mensagens informando que a área geográfica múltipla está pronta para o Exchange Online, todas as regiões geográficas disponíveis estarão prontas e configuradas para uso.

Conecte-se diretamente em uma localização geográfica usando o Exchange Online PowerShell

Normalmente, o PowerShell do Exchange Online se conecta ao local de Geografia Provisionada Principal. Mas você também pode se conectar diretamente aos locais da Geografia de Satélite . Devido a melhorias de desempenho, recomendamos conectar-se diretamente ao local de Geografia de Satélite quando você gerenciar apenas usuários nesse local.

Os requisitos para instalar e usar o módulo do PowerShell do Exchange Online são descritos em Instalar e manter o módulo do PowerShell do Exchange Online.

Para conectar o PowerShell do Exchange Online a um local de Geografia específico, o parâmetro ConnectionUri é diferente das instruções de conexão regulares. O restante dos comandos e valores são iguais.

Especificamente, você precisa adicionar o ?email=<emailaddress> valor ao final do valor ConnectionUri, onde <emailaddress> é o endereço de email de qualquer caixa de correio no local de Geografia de destino. Suas permissões para essa caixa de correio ou a relação com suas credenciais não são um fator; o endereço de email simplesmente diz ao Exchange Online PowerShell onde se conectar.

Os clientes do Microsoft 365 ou do Microsoft 365 GCC normalmente não precisam usar o parâmetro ConnectionUri para se conectar ao PowerShell do Exchange Online. Mas, para se conectar a um local de Geografia específico, você precisa usar o parâmetro ConnectionUri para poder usar ?email=<emailaddress> no valor.

Conectar-se a um local de Geografia no Exchange Online PowerShell

As instruções de conexão a seguir funcionam para contas que estão ou não configuradas para MFA (autenticação multifator).

1. Em uma janela do Windows PowerShell, carregue o módulo EXO V2 executando o seguinte comando:

   Import-Module ExchangeOnlineManagement
   

2. No exemplo a seguir, admin@contoso.onmicrosoft.com é a conta de administrador, e a localização geográfica de destino é onde a caixa de correio olga@contoso.onmicrosoft.com reside.

   Connect-ExchangeOnline -UserPrincipalName admin@contoso.onmicrosoft.com -ConnectionUri https://outlook.office365.com/powershell?email=olga@contoso.onmicrosoft.com
   

3. Insira a senha para o admin@contoso.onmicrosoft.com no prompt que aparece. Se a conta estiver configurada para MFA, você também precisará inserir o código de segurança.

Exibir os locais geográficos disponíveis configurados em sua organização do Exchange Online

Para ver a lista de locais de Geografia configurados no Microsoft 365 Multi-Geo, execute o seguinte comando no Exchange Online PowerShell:

Get-OrganizationConfig | Select -ExpandProperty AllowedMailboxRegions | Format-Table

Exibir o local de Geografia Provisionada Principal para sua organização do Exchange Online

Para exibir a localização da Geografia Provisionada Primária do locatário, execute o seguinte comando no PowerShell do Exchange Online:

Get-OrganizationConfig | Select DefaultMailboxRegion

Localizar a localização geográfica de uma caixa de correio

O cmdlet Get-Mailbox no Exchange Online PowerShell exibe as seguintes propriedades relacionadas às áreas multigeográficas nas caixas de correio:

• Banco de dados: as três primeiras letras do nome do banco de dados correspondem ao código de Geografia , que informa onde a caixa de correio está localizada no momento. Para Caixas de Correio com Arquivo Online a propriedade ArchiveDatabase deve ser usada.
• MailboxRegion: especifica o código de localização geográfica que foi definido pelo administrador (sincronizado de PreferredDataLocation no Microsoft Entra ID).
• MailboxRegionLastUpdateTime: Indica quando o MailboxRegion foi atualizado (automaticamente ou manualmente).

Para ver as propriedades de uma caixa de correio, use a seguinte sintaxe:

Get-Mailbox -Identity <MailboxIdentity> | Format-List Database,MailboxRegion*

Por exemplo, para ver as informações de localização geográfica da caixa de correio chris@contoso.onmicrosoft.com, execute o seguinte comando:

Get-Mailbox -Identity chris@contoso.onmicrosoft.com | Format-List Database, MailboxRegion*

A saída do comando será parecida com o seguinte:

Database   : EURPR03DG077-db007
MailboxRegion  : EUR
MailboxRegionLastUpdateTime : 2/6/2018 8:21:01 PM

Mover uma caixa de correio apenas nuvem existente para uma localização geográfica específica

Um usuário somente na nuvem é um usuário não sincronizado com o locatário por meio do Microsoft Entra Connect. Este usuário foi criado diretamente no Microsoft Entra ID. Use os cmdlets Get-MgUser e Set-MgUser no SDK do Microsoft Graph PowerShell para exibir ou especificar o local da Geografia em que a caixa de correio de um usuário somente em nuvem será armazenada.

Primeiro, você deve se conectar ao Microsoft Graph usando os escopos de permissão necessários para as ações que você executará em sua sessão do Microsoft Graph PowerShell.

O SDK do Microsoft Graph PowerShell dá suporte a dois tipos de autenticação: acesso delegado e acesso somente ao aplicativo. Neste guia, você usará o acesso delegado para entrar como usuário, conceder consentimento ao SDK para agir em seu nome e chamar o Microsoft Graph.

Para obter detalhes sobre como usar o acesso somente de aplicativo para cenários autônomos, consulte Usar autenticação somente de aplicativo com o SDK do Microsoft Graph PowerShell.

Determinar os escopos de permissão necessários

Cada API no Microsoft Graph é protegida por um ou mais escopos de permissão. O usuário que está fazendo logon deve consentir com um dos escopos necessários para as APIs que você planeja usar. Neste exemplo, usaremos as APIs a seguir.

Listar usuários para encontrar a ID do usuário conectado. Modifique o valor PreferredDataLocation de um usuário.

O escopo de permissão User.Read.All habilita a primeira chamada e o escopo User.ReadWrite.All habilita a segunda. Essas permissões exigem uma conta de administrador.

Para obter mais informações sobre como determinar quais escopos de permissão você precisará, consulte Usando Find-MgGraphCommand cmdlet.

Para se conectar à sua organização do Microsoft 365, execute o seguinte comando:

Connect-MgGraph -Scopes "User.Read.All","Group.ReadWrite.All"

O comando solicita que você vá a uma página da Web para entrar com suas credenciais. Depois de fazer isso, o comando indicará sucesso com um Bem-vindo ao Microsoft Graph! a você. Você só precisa entrar uma vez por sessão.

Para exibir o valor PreferredDataLocation de um usuário, use esta sintaxe no Microsoft Graph PowerShell:

Get-MgUser -ConsistencyLevel eventual -Count userCount -Search '"UserPrincipalName:<UserPrincipalName>"' | Format-List UserPrincipalName,PreferredDataLocation

Por exemplo, para ver o valor PreferredDataLocation para o usuário michelle@contoso.onmicrosoft.com, execute o seguinte comando:

Get-MgUser -ConsistencyLevel eventual -Count userCount -Search '"UserPrincipalName:michelle@contoso.onmicrosoft.com"' | Format-List

Para modificar o valor PreferredDataLocation para um objeto de usuário somente na nuvem, use a seguinte sintaxe no Microsoft Graph PowerShell:

Update-MgUser -UserID <UserID> -PreferredDataLocation <GeoLocationCode>

Por exemplo, para definir o valor PreferredDataLocation como a área geográfica da União Europeia (EUR) para o usuário michelle@contoso.onmicrosoft.com, obtenha o valor UserID da última saída do comando e execute o seguinte comando:

Update-MgUser -UserID michelle@contoso.onmicrosoft.com -PreferredDataLocation EUR

Mover uma caixa de correio inativa para uma região geográfica específica

Você não pode mover caixas de correio inativas que são preservadas para fins de conformidade (por exemplo, caixas de correio em Retenção de Litígio) alterando seu valor PreferredDataLocation . Para mover uma caixa de correio inativa para uma região geográfica diferente, siga as seguintes etapas:

1. Recupere a caixa de correio inativa. Para obter instruções, consulte Recuperar uma caixa de correio inativa.

2. Evite que o Assistente de Pasta Gerenciada processe a caixa de correio recuperada substituindo <MailboxIdentity> pelo nome, alias, conta ou endereço de email da caixa de correio e executando o seguinte comando no Exchange Online PowerShell:

   Set-Mailbox <MailboxIdentity> -ElcProcessingDisabled $true
   

3. Atribua uma licença do Exchange Online Plano 2 à caixa de correio recuperada. Esta etapa é necessária para colocar a caixa de correio novamente em Retenção de Litígio. Para obter instruções, consulte Atribuir licenças a usuários.

4. Configure o valor PreferredDataLocation na caixa de correio, conforme descrito na seção anterior.

5. Depois de confirmar que a caixa de correio é movida para a nova localização geográfica, coloque a caixa de correio recuperada novamente em Retenção de Litígio. Para obter instruções, consulte Colocar uma caixa de correio em Retenção de Litígio.

6. Depois de verificar se a Retenção de Litígio está em vigor, permita que o Assistente de Pasta Gerenciada processe a caixa de correio novamente substituindo <MailboxIdentity> pelo nome, alias, conta ou endereço de email da caixa de correio e executando o seguinte comando no Exchange Online PowerShell:

   Set-Mailbox <MailboxIdentity> -ElcProcessingDisabled $false
   

7. Torne a caixa de correio inativa novamente removendo a conta de usuário associada à caixa de correio. Para obter instruções, consulte Excluir um usuário da sua organização. Esta etapa também libera a licença do Exchange Online Plano 2 para outros usos.

Observação: ao mover uma caixa de correio inativa para uma localização geográfica diferente, você pode afetar os resultados da pesquisa de conteúdo ou a capacidade de pesquisar a caixa de correio da localização geográfica anterior. Para obter mais informações, consulte Pesquisando e exportando conteúdo em ambientes Multi-Geo.

Criar novas caixas de correio na nuvem em um local de Geografia específico

Para criar uma nova caixa de correio em uma localização geográfica específica, você precisa seguir uma destas etapas:

• Configure o valor PreferredDataLocation conforme descrito na seção anterior Mova uma caixa de correio somente na nuvem existente para uma seção de localização geográfica específicaantes de criar a caixa de correio no Exchange Online. Por exemplo, configure o valor PreferredDataLocation em um usuário antes de atribuir uma licença.

• Atribuir uma licença e definir o valor PreferredDataLocation ao mesmo tempo.

Para criar um novo usuário licenciado somente na nuvem (não sincronizado com o Microsoft Entra Connect) em uma localização geográfica específica, use a seguinte sintaxe no Microsoft Graph PowerShell:

$params = @{
	accountEnabled = $true
	displayName = "<display name>"
	mailNickname = "<mailbox name>"
	userPrincipalName = "<sign-in name>"
	usageLocation = "<ISO 3166-1 alpha-2 country code>"
	passwordProfile = @{
		forceChangePasswordNextSignIn = $true
		password = "<temp password>"
	}
}

$user = New-MgUser -BodyParameter $params

$EmsSku = Get-MgSubscribedSku -All | Where SkuPartNumber -eq '<license SKU ID>'
Set-MgUserLicense -UserId $user.Id -AddLicenses @{SkuId = $EmsSku.SkuId} -RemoveLicenses @()

Este exemplo cria uma nova conta de usuário para Elizabeth Brunner com os seguintes valores:

• Nome principal do usuário: ebrunner@contoso.onmicrosoft.com
• Nome: Elizabeth
• Sobrenome: Brunner
• Nome para exibição: Elizabeth Brunner
• Senha: adicionar senha manualmente na forma de uma tabela de hash
• Licença: contoso:ENTERPRISEPREMIUM (E5)
• Localização: Austrália (AU)

Primeiro, conecte-se ao seu locatário do Microsoft 365 usando o Microsoft Graph Powershell.

Depois de se conectar, use a seguinte sintaxe para criar uma conta individual:

$params = @{
	accountEnabled = $true
	displayName = "Elizabeth Brunner"
	mailNickname = "ElizabethB"
	userPrincipalName = "ebrunner@contoso.onmicrosoft.com"
	usageLocation = "AU"
	passwordProfile = @{
		forceChangePasswordNextSignIn = $true
		password = "xWwvJ]6NMw+bWH-d"
	}
}

$user = New-MgUser -BodyParameter $params

$EmsSku = Get-MgSubscribedSku -All | Where SkuPartNumber -eq 'ENTERPRISEPREMIUM'
Set-MgUserLicense -UserId $user.Id -AddLicenses @{SkuId = $EmsSku.SkuId} -RemoveLicenses @()

Para obter mais informações de como criar novas contas de usuário e encontrar os valores LicenseAssignment no Azure AD PowerShell, consulte Criar contas de usuário com o PowerShell e Exibir licenças e serviços com o PowerShell.

Integrar caixas de correio existentes no local em uma localização geográfica específica

Você pode usar as ferramentas de integração padrão e os processos para migrar uma caixa de correio de uma organização do Exchange local para o Exchange Online, incluindo o Painel de migração no EACe o cmdlet New-MigrationBatch no Exchange Online PowerShell.

A primeira etapa é verificar se existe um objeto de usuário para cada caixa de correio a ser integrada e se o valor correto de PreferredDataLocation está configurado no Microsoft Entra ID. As ferramentas de integração respeitam o valor PreferredDataLocation e migram as caixas de correio diretamente para a localização geográfica especificada.

Ou você pode usar as etapas a seguir para integrar caixas de correio diretamente em uma localização geográfica específica usando o cmdlet New-MoveRequest no PowerShell do Exchange Online.

1. Verifique se o objeto de usuário existe para cada caixa de correio a ser integrada e se PreferredDataLocation está definido como o valor desejado no Microsoft Entra ID. O valor do PreferredDataLocation será sincronizado com o atributo MailboxRegion do objeto do usuário de email correspondentes no Exchange Online.

2. Conecte-se diretamente ao local específico da Geografia do Satélite usando as instruções de conexão anteriores neste artigo.

3. No PowerShell do Exchange Online, armazene as credenciais de administrador local usadas para executar uma migração de caixa de correio em uma variável executando o seguinte comando:

   $RC = Get-Credential
   

4. No Exchange Online PowerShell, crie um novo New-MoveRequest semelhante ao exemplo a seguir:

   New-MoveRequest -Remote -RemoteHostName mail.contoso.com -RemoteCredential $RC -Identity user@contoso.com -TargetDeliveryDomain <YourAppropriateDomain>
   

5. Repita a etapa #4 para cada caixa de correio que você precisa migrar do Exchange local para a localização geográfica satélite à qual você está conectado no momento.

6. Se você precisar migrar outras caixas de correio para diferentes localizações geográficas satélites, repita as etapas 2 a 4 para cada localização específica.

Relatórios multigeográficos

Os Relatórios de Uso de Várias Áreas Geográficas no Centro de administração do Microsoft 365 exibem a contagem de usuários por localização geográfica. O relatório exibe a distribuição de usuários para o mês atual e fornece dados históricos dos últimos seis meses.

Migração

Como é necessário tempo para mover cada usuário para o novo datacenter Geography para um único locatário, alguns usuários estarão no Geography do datacenter antigo durante a mudança, enquanto outros estão no novo Geography do datacenter. Isso significa que alguns recursos que envolvem o acesso a várias caixas de correio podem não funcionar totalmente durante um período do processo de movimentação, que pode durar semanas. Esses recursos são descritos nas seções a seguir.

Abra a "pasta compartilhada" no Outlook Web Access

Alguns usuários abrem uma pasta de email compartilhada de outra caixa de correio (para a qual o usuário tem permissões de leitura ou gravação) no Outlook Web Access usando o recurso "Pasta Compartilhada". A tabela a seguir descreve como funciona o acesso a pastas compartilhadas durante uma movimentação de caixa de correio. Observe que os usuários com permissões totais para uma caixa de correio compartilhada podem abrir a caixa de correio usando o Outlook Web Access durante a movimentação.

O processo de migração de dados de email para o Microsoft 365 durante o evento do Exchange Online é um cenário comum e tem suporte. A migração na nuvem entre áreas geográficas do datacenter não interfere em nenhuma migração de caixa de correio local para a nuvem.

Como posso determinar o local dos dados do cliente?

Você pode encontrar o local real dos dados no Centro de Administração de Locatários. Como administrador de locatários, você pode encontrar o local real dos dados, para dados confirmados, navegando até Administração-Configurações-Configurações>> da organização-Perfil> da organização-Local> dos dados.