Operate, opieka po wdrożeniu
10 godzin w miesiącu w znanym tenancie.
Po zamknięciu zlecenia o stałym zakresie prowadzę Państwa tenant na bieżąco: zmiany, przeglądy i pytania o to, co wdrożyłem albo przejrzałem. Obejmuje to Entra ID, Exchange Online, Teams, SharePoint, OneDrive i Intune. Każda zmiana ma właściciela, ścieżkę zatwierdzania i zapis.
- Numer zmiany
- Zgłaszający
- Właściciel biznesowy
- Osoba zatwierdzająca po stronie klienta
- Osoba wykonująca zmianę
- Usługa Microsoft 365
- Klasyfikacja
- Wnioskowane okno serwisowe
- Wymagana rola
- Zależność licencyjna
- Dla kogo
- Firma, której właśnie zamknąłem zlecenie o stałym zakresie.
- Co Państwo kupują
- 10 godzin w miesiącu. Niewykorzystane godziny nie przechodzą na kolejny miesiąc.
- Kto pracuje
- Michał, osobiście, bez podwykonawców. Z dostępu, który Państwo mi przyznają, korzystam tylko ja.
- Warunki
- Bez okresu minimalnego, 30-dniowy okres wypowiedzenia dla obu stron, bez obiecanego czasu reakcji.
Co zostaje u Państwa
Każdy dokument odpowiada na praktyczne pytanie: kto jest właścicielem usługi, kto może zatwierdzić zmianę, jakiej roli użyto, co się zmieniło, jak to sprawdzono i co pozostaje otwarte.
Konfiguracja bazowa tenanta
Usługi objęte zakresem, właściciele, źródła, które rozstrzygają o stanie, stan bieżący, znane wyjątki, zależności i lista zaległości w kolejności ważności.
Rejestr dostępu administratorów i dostępu delegowanego
Konta imienne, role, rodzaj przypisania, relacja GDAP, wymóg PIM, osoba zatwierdzająca, cel, termin wygaśnięcia i wynik przeglądu.
Rejestr zmian i wyjątków
Zgłoszenie, właściciel, osoba uprawniona do decyzji, użyta rola, stan przed i po, sposób wycofania, weryfikacja, dowody, ryzyko szczątkowe i termin przeglądu.
Runbooki operacyjne
Procedury krok po kroku dla cyklu życia tożsamości, licencji, gości, udostępniania, zmian Microsoft, dostępu awaryjnego i przekazania prac innemu dostawcy.
Exit Kit
Bieżący właściciele, odebrane dostępy, konfiguracje bazowe, rejestry, runbooki, otwarte prace, miejsca przechowywania dowodów i przekazanie następnemu dostawcy.
ZobowiązanieTerms of Service, sekcja 07
Pozostałe dokumenty w pakiecie
Macierz właścicieli usług
Usługa, właściciel biznesowy, właściciel techniczny, osoba zatwierdzająca, ścieżka eskalacji, zależność od pomocy technicznej i odbiorcy komunikacji.
TENANT-SERVICE-REGISTER.mdRejestr decyzji licencyjnych
Sposób przypisania, potrzeba biznesowa, dane o wykorzystaniu, gdy są dostępne, wyjątek, zależność od odnowienia, osoba decydująca i następny przegląd.
LICENCE-ASSIGNMENT-LEDGER.mdZapis zmian i stanu usług Microsoft
Komunikaty z Message center, incydenty z Service health, usługi, których dotyczył incydent, wymagane działania, informacje przekazane zainteresowanym, zgłoszenia do pomocy technicznej i notatki o zamknięciu.
MICROSOFT-CHANGE-AND-HEALTH-LOG.md
Dziesięć runbooków, z nazwami
- Przyjęcie pracownika
- Zmiana roli pracownika
- Odejście pracownika
- Zmiana przypisania licencji
- Przegląd gości i ich opiekunów
- Zmiana udostępniania na zewnątrz
- Awaria usługi Microsoft
- Wpływ komunikatu z Message center
- Sprawdzenie kont awaryjnych
- Przekazanie prac innemu dostawcy
Na co idą godziny
Operate zwykle następuje po jednej z tych usług. Na co idą godziny, zależy zwykle od pracy, która poprzedziła Operate.
Po zakresie „Tożsamość i dostęp uprzywilejowany”
Przeglądy polityk, obsługa przyjęć pracowników i wyjątków, wszystko względem konfiguracji bazowej.
Po zakresie „Wykrywanie i reagowanie w Microsoft 365”
Przeglądy dziennika strojenia wykryć oraz alertów, które wciąż wracają.
Po zakresie „Automatyzacja procesów”
Utrzymanie przepływów, gdy zmienia się konektor, licencja albo proces.
Operate
Tenant prowadzony według konfiguracji bazowej z przekazania, z zapisem każdej zmiany.
10 godzin w miesiącu na zmiany, przeglądy i pytania o to, co wdrożyłem albo przejrzałem. Wszystkie zadania trafiają do jednej kolejki, a każda zmiana przechodzi przez ścieżkę zatwierdzania opisaną niżej.
Co obejmuje Operate
- Jedna kolejka zadań i uzgodnione okna serwisowe
- Zatwierdzony cykl życia tożsamości i rutynowa administracja usługami
- Uzgadnianie przypisań licencji i wyjątków
- Przeglądy gości, grup, właścicieli witryn i dostępu uprzywilejowanego
- Notatki o wpływie komunikatów z Message center i ocena stanu w Service health
- Koordynacja zgłoszeń do pomocy technicznej Microsoft z zachowanym zapisem
- Przegląd odchyleń od uzgodnionej konfiguracji bazowej
- Aktualizacja runbooków, pakietu dowodów i Exit Kitu
Tenant, którego jeszcze nie znam
Operate wymaga tenanta, który znam. Pierwszym krokiem jest zakres „Tożsamość i dostęp uprzywilejowany”. Po jego przekazaniu zostają u Państwa mapa dostępu uprzywilejowanego, lista kont, ról, aplikacji i zmian, runbooki i Exit Kit. Z tych dokumentów Operate korzysta.
Operate dla kilku tenantów
Operate mogę prowadzić w kilku tenantach według jednego wspólnego standardu, z osobnym dostępem, dowodami i właścicielami dla każdego tenanta. Godziny ustalam osobno dla każdego tenanta.
Jak pracuję
Każda istotna zmiana zamyka się zapisem z uzasadnieniem: kto prosił, kto zatwierdził, której roli użyłem, jak sprawdziłem wynik i gdzie to zapisałem. Bez obiecanego czasu reakcji.
Zgłoszenie
Zapisuję potrzebę biznesową, użytkowników lub usługi, których zmiana dotyczy, osobę zgłaszającą, wnioskowane okno serwisowe i osobę, która może o zmianie decydować.
Ocena
Sprawdzam stan bieżący, wymaganą rolę, zależność licencyjną, wpływ na użytkowników, potrzebę dowodów i to, czy praca jest zmianą standardową, czy już projektem.
Zatwierdzenie
Wskazana przez Państwa osoba akceptuje działanie, okno serwisowe, ryzyko, komunikację i sposób wycofania zmiany, zanim cokolwiek zmienię na produkcji.
Wykonanie
Wykonuję zmianę w roli o najmniejszych potrzebnych uprawnieniach. Tam, gdzie usługa Microsoft na to pozwala, używam grup pilotażowych albo ograniczonego wdrożenia.
Weryfikacja
Potwierdzam stan konfiguracji i ścieżkę użytkownika, której zmiana dotyczy. Gdy kryteria akceptacji nie są spełnione, wycofuję zmianę albo wpisuję wyjątek do rejestru.
Zapis
Dołączam do zapisu operacyjnego stan przed i po zmianie, użytą rolę, zatwierdzenie, weryfikację, wyjątek i termin następnego przeglądu.
Czego potrzebuję od Państwa
- Wiarygodne dane o kadrach, tożsamościach, sprzęcie, licencjach i właścicielach biznesowych
- Wskazane osoby zgłaszające, zatwierdzające, odpowiedzialne za ryzyko i odbierające informacje o zmianach
- Odpowiednie subskrypcje Microsoft dla wybranych funkcji
- Zatwierdzony, bezpieczny dostęp, miejsce przechowywania dowodów, okna serwisowe i komunikacja z użytkownikami
- Własna ścieżka dla pilnych spraw, bo nie obiecuję czasu reakcji
Czego nie obejmuje Operate
Osobny projekt albo inny dostawca
10 godzin w miesiącu to stała opieka nad tenantem, który znam. Nieograniczonej pomocy technicznej nie obiecuję.
- Nieograniczona obsługa zgłoszeń użytkowników końcowych, pomoc przy stanowiskach pracy i logistyka sprzętu
- SOC i MDR, dyżur, obsługa trwającego włamania, analiza powłamaniowa oraz decyzja, czy zgłosić incydent do właściwego CSIRT albo naruszenie ochrony danych do Prezesa UODO: tę decyzję podejmuje Państwa organizacja
- Zakresy „Tożsamość i dostęp uprzywilejowany”, „Wykrywanie i reagowanie w Microsoft 365” i „Urządzenia i przejście na Windows 11”, przenoszenie poczty i plików oraz kopie zapasowe Microsoft 365: każde z nich to osobne zlecenie z własnym rozpoznaniem
- Wdrożenie Microsoft 365 Copilot, program adopcji albo budowa własnych agentów
- Audyt, w tym audyt wymagany ustawą o KSC, certyfikacja, zatwierdzenie przez organ nadzoru, porada prawna albo obietnica dostępności usług Microsoft
Do sprawdzenia przed ustaleniem zakresu
Próbka pakietu dowodów. Cztery kontrolki ze stanem przed i po, właścicielem, zatwierdzeniem, wyjątkami i wyciągiem z dziennika audytu. Dane są fikcyjne, a każda strona ma napis „Przykład”.
Karta dostawcy KSC. Kto jest dostawcą, dane do wykazu, pozycja wobec ustawy, sposób dostępu do tenanta, gdzie są Państwa dane i kto je przetwarza, zgłaszanie incydentów, informacja z Krajowego Rejestru Karnego, ubezpieczenie, referencje, czego nie robię. Przy każdym zdaniu stoi, czy jest zmierzone, czy jest zobowiązaniem, czy deklaracją.
Ile to kosztuje
- Dzień pracy
- od 600 € bez VAT
- Operate (stała liczba godzin w miesiącu)
- Cenę podaję na piśmie przy przekazaniu.
- Podstawa rozliczeń
- Faktura co miesiąc z góry. Bez okresu minimalnego, 30-dniowy okres wypowiedzenia dla obu stron.
- Godziny
- 10 godzin w miesiącu. Niewykorzystane godziny nie przechodzą na kolejny miesiąc. Jeśli miesiąc wymaga więcej niż 10 godzin, dodatkową pracę wyceniam z góry w dniach pracy, bez minimum dwóch dni, i zaczynam ją dopiero po Państwa akceptacji wyceny.
- Waluta
- Euro, ceny bez VAT. Kwoty w złotych są orientacyjne, po kursie średnim NBP z podanego dnia; faktura jest w euro.
- VAT
- Firmy z UE spoza Malty, których numer VAT potwierdza system VIES, otrzymują fakturę z odwrotnym obciążeniem.
- Wystawca faktury
- Michal Jatczak, przedsiębiorca zarejestrowany na Malcie, działający pod nazwą handlową ITSailor.
- Poziom usług
- Bez SLA i bez dyżuru. Terminy zapisuję w zakresie prac.
- Licencje
- Licencje kupują Państwo u swojego dostawcy, na podstawie własnej umowy z Microsoft. Cena Operate ich nie obejmuje.Zobacz, które licencje do czego
- Warunki umowy
- Podpisany zakres prac po polsku, a w pozostałych sprawach Terms of Service.Najważniejsze warunki w skrócie
Szczegóły, jeśli są potrzebne
Co obejmuje usługa, według obszarów
Zakres zależy od tenanta, subskrypcji, wewnętrznych właścicieli i zależności biznesowych. Projekty dla poszczególnych usług Microsoft 365, na przykład Exchange Online albo Intune, pozostają osobnymi pracami. Operate obejmuje rutynową administrację i procesy nadzoru, które zostały uzgodnione na piśmie w zakresie prac.
Cykl życia tożsamości
Powiązuję przyjęcia, zmiany ról i odejścia pracowników oraz prace dotyczące gości, grup i administratorów ze wskazaną osobą, która może o nich decydować.
- Rejestr odpowiedzialności za użytkowników, grupy i role
- Ścieżki przyjęcia, zmiany roli i odejścia pracownika z obsługą wyjątków
- Koordynacja przeglądów opiekunów gości i wygasania kont gości
- Role rutynowe oddzielone od dostępu awaryjnego
- PIM i przeglądy dostępu tam, gdzie wybrane licencje je obsługują
Exchange Online
Zmiany w poczcie traktuję jak kontrolowaną pracę na produkcji: z zatwierdzeniem, oknem serwisowym i zapisem.
- Wnioski o skrzynki, skrzynki udostępnione, delegowanie i przekazywanie poczty
- Właściciele domen akceptowanych i konektorów
- Administrowanie grupami dystrybucyjnymi i grupami z włączoną obsługą poczty
- Zmiany ustawień transportu poczty i ustawień organizacji
- Eskalacje do pomocy technicznej Microsoft z zachowanym zapisem zgłoszenia
Teams, SharePoint i OneDrive
Współpraca ma działać sprawnie, a właściciele, udostępnianie i cykl życia zespołów i witryn mają pozostać widoczne.
- Decyzje o właścicielach zespołów i witryn
- Wyjątki od udostępniania na zewnątrz i dostępu gości
- Przegląd zespołów, grup i witryn bez właściciela
- Zmiany linków udostępniania i ustawień współpracy
- Zależności dotyczące wykrywalności treści przez Copilota, zapisywane tam, gdzie mają znaczenie
Intune i aplikacje
Koordynuję rutynową administrację urządzeniami i aplikacjami, gdy zakres obejmuje Intune.
- Wnioski o przypisanie polityk i aplikacji
- Grupy pilotażowe i właściciele wdrożenia
- Konflikty konfiguracji i śledzenie wdrożeń
- Przegląd wyjątków i czasowych wyłączeń
- Zakres „Urządzenia i przejście na Windows 11” to osobne zlecenie
Stan usług i zmiany po stronie Microsoft
Odróżniam awarię po stronie Microsoft od problemu w tenancie i dbam o to, żeby wszyscy zainteresowani pracowali na tym samym zapisie.
- Ocena incydentów i porad (advisories) w Service health
- Ocena znaczenia komunikatów z Message center i wymaganych działań
- Wskazanie, kto informuje zainteresowane osoby
- Koordynacja zgłoszeń do pomocy technicznej Microsoft
- Kalendarz zmian i śledzenie wycofywanych funkcji
Licencje i nadzór nad usługami
Zapisuję, po co jest licencja, kto zatwierdził wyjątek i kiedy decyzję trzeba przejrzeć ponownie.
- Model przypisywania przez grupy i wyjątki przypisane bezpośrednio
- Uzgadnianie nieaktywnych kont i licencji
- Dane o wykorzystaniu tam, gdzie udostępnia je Microsoft
- Rejestr odnowień i zależności między usługami
- Zakup oddzielony od rekomendacji technicznej
Jak zorganizowany jest dostęp administracyjny
Roli Global Administrator nie przyjmuję. Model dostępu rozdziela codzienne zadania, uprawnienia ograniczone w czasie, delegowanie dostępu partnera i konta awaryjne, które należą do Państwa.
Najpierw tylko odczyt
Początek to obserwacja. Poświadczenia, identyfikatory tenanta, eksporty i dane administracyjne przekazują mi Państwo wyłącznie uzgodnionym, bezpiecznym kanałem, po zatwierdzeniu zakresu.
Bez roli Global Administrator
Pracuję w roli o najmniejszych uprawnieniach potrzebnych do zadania i nie przyjmuję roli Global Administrator. PIM daje role dostępne na żądanie albo ograniczone w czasie, jeśli mają Państwo Entra ID P2 albo Entra ID Governance.
Dostęp partnera osobno dla każdego tenanta
Tam, gdzie można użyć GDAP, każdy tenant przyznaje szczegółowy dostęp, ograniczony w czasie i wyraźnie zatwierdzony. Współdzielone konta administratorów i uniwersalne poświadczenia są wykluczone.
Konta awaryjne (break-glass) należą do Państwa
Konta awaryjne pozostają poza normalną administracją. Są pod Państwa kontrolą, monitorowane pod kątem użycia i sprawdzane w zaplanowanym teście operacyjnym.
Decyzje należą do Państwa
Udzielenie zgody administratora (admin consent) dla całego tenanta, usunięcie danych, zmiana retencji, osłabienie zabezpieczeń, zmiany kont awaryjnych i wymuszenie polityk o dużym wpływie wymagają wyraźnego upoważnienia osoby wskazanej w zakresie prac, udzielonego w formie dokumentowej, na przykład e-mailem. Przy danych osobowych takie upoważnienie jest Państwa udokumentowanym poleceniem (sekcja 14 Terms of Service, art. 28 ust. 3 lit. a RODO).
Źródła pierwotne
- Overview of the Microsoft 365 admin centerMicrosoft Learn
- Track new and changed features in the Microsoft 365 Message centerMicrosoft Learn
- How to check Microsoft 365 service healthMicrosoft Learn
- About administrator roles in the Microsoft 365 admin centerMicrosoft Learn
- Start using Privileged Identity ManagementMicrosoft Learn
- Introduction to granular delegated admin privileges (GDAP)Microsoft Learn
- Manage emergency access accounts in Microsoft Entra IDMicrosoft Learn
- Overview of Microsoft 365 LighthouseMicrosoft Learn
Czy Operate zastępuje wewnętrzny dział IT?
Nie. Operate zdejmuje z zespołu IT uzgodnione zmiany i przeglądy, a decyzje biznesowe i strategiczne zostają po Państwa stronie.
Czy Operate to nieograniczona obsługa zgłoszeń użytkowników?
Nie. To 10 godzin w miesiącu na zmiany, przeglądy i pytania o tenant, który znam. Obsługa zgłoszeń użytkowników końcowych i pomoc przy stanowiskach pracy nie wchodzą w zakres.
Co z godzinami, które nie zostaną wykorzystane?
Nie przechodzą na kolejny miesiąc. Jeśli miesiąc wymaga więcej niż 10 godzin, dodatkową pracę wyceniam z góry w dniach pracy, bez minimum dwóch dni, i zaczynam ją dopiero po Państwa akceptacji wyceny.
Jak szybko Pan odpowiada?
Nie obiecuję czasu reakcji. W pilnych sprawach potrzebują Państwo własnej ścieżki. O naruszeniu ochrony danych osobowych, które przetwarzam dla Państwa, zawiadamiam Państwa bez zbędnej zwłoki po jego stwierdzeniu (sekcja 14 Terms of Service, art. 33 ust. 2 RODO).
Czy wprowadza Pan zmiany na produkcji bez zatwierdzenia?
Tylko standardowe zmiany uzgodnione z góry. Każda inna zmiana przechodzi przez Państwa ścieżkę zatwierdzania, a działania o dużym wpływie zawsze wymagają wyraźnej zgody.
Czy potrzebuje Pan roli Global Administrator?
Nie. Roli Global Administrator nie przyjmuję. Pracuję w roli o najmniejszych uprawnieniach potrzebnych do zadania. Dostęp daje GDAP na określony czas, bez automatycznego przedłużenia, albo konto, które Państwo dla mnie założą. Konta awaryjne zostają u Państwa.
Co dzieje się podczas awarii po stronie Microsoft?
Sprawdzam Service health i odróżniam incydent Microsoft od problemu w tenancie. Jeśli to pomaga, otwieram zgłoszenie do pomocy technicznej Microsoft. Informuję wskazane osoby kontaktowe. Nie naprawiam usług Microsoft i nie obiecuję ich dostępności.
Czy można zacząć Operate bez wcześniejszego zlecenia o stałym zakresie?
Zwykle nie. Operate prowadzi tenant, który jest już udokumentowany, więc pierwszym krokiem jest zakres „Tożsamość i dostęp uprzywilejowany”.
Co zostaje po zakończeniu Operate?
Konfiguracja bazowa, rejestr dostępu administratorów, rejestr zmian i wyjątków, decyzje licencyjne, runbooki, lista zaległości i potwierdzone odebranie mojego dostępu, wszystko w pakiecie Exit Kit. Kopie Państwa danych usuwam w ciągu 30 dni od zakończenia prac, jak ustala zakres prac. Bez okresu minimalnego, 30-dniowy okres wypowiedzenia dla obu stron. Celem jest, żeby Państwa zespół albo inny dostawca mógł prowadzić tenant beze mnie.
Kto wykonuje pracę?
Ja, Michał, osobiście, bez podwykonawców. Z dostępu, który Państwo mi przyznają, korzystam tylko ja.
Proszę ustalić, kto odpowiada za prace w tenancie, zanim pojawi się kolejna zmiana.
Operate zaczyna się przy przekazaniu zlecenia o stałym zakresie. Jeśli nie pracowałem jeszcze w Państwa tenancie, pierwszym krokiem jest zakres „Tożsamość i dostęp uprzywilejowany”.
Każde zlecenie doradcze kończy się pakietem Exit Kit.