AI辅助整理：本文基于下方列出的公开原始来源改写，不代替原文。
核心摘要： 微软发布 Project Opal 管理设置，让 IT 管理员能够为 Microsoft 365 Copilot 中的智能体配置精细的数据访问权限。该功能允许管理员按智能体、按用户或安全组控制对 SharePoint 等企业数据的访问范围，并支持设置数据保留策略，解决企业部署 AI 智能体时的权限治理与合规难题。
业务背景：智能体越权访问成为企业 AI 落地新痛点
当企业把 AI 从“问答工具”升级为“可执行任务的智能体”，一个关键问题随之浮现：智能体在执行任务时能读取哪些数据？如果权限过宽，销售智能体可能触达财务数据；如果权限过窄，智能体又无法完成跨部门协作。
微软在 Microsoft 365 Copilot 中推出的 Project Opal 设置，正是针对这一治理缺口。该功能让 IT 管理员能够为 Copilot 中的智能体定义明确的数据访问边界，而不是让每个智能体默认继承用户的所有权限。
问题定义：Copilot 智能体的数据访问缺乏精细管控
在默认情况下，Copilot 智能体运行时通常继承当前用户的访问权限。这意味着一个拥有广泛 SharePoint 访问权的员工，其调用的智能体也可能读取超出任务所需的文件。
对于受监管行业或数据敏感型企业，这种“权限继承”模式难以通过内部审计。IT 部门需要一种机制，能够按智能体、按用户或安全组，精确指定每个智能体可以访问哪些 SharePoint 站点或文件。
AI 怎么落地：Project Opal 的权限配置机制
Project Opal 在 Microsoft 365 管理中心提供独立设置页面。管理员可以针对每个 Copilot 智能体，配置其可访问的数据源范围，并可将访问策略绑定到特定用户或安全组。
除访问范围外，该功能还支持设置数据保留策略。管理员可以规定智能体在处理数据后保留多长时间，超出期限的数据将被自动清理，从而降低数据驻留风险。
微软官方文档将该功能定位为“管理设置”，意味着它面向 IT 部门而非终端用户，属于企业级治理能力的一部分。
实施步骤：从梳理权限到灰度上线
第一步，IT 管理员需在 Microsoft 365 管理中心确认 Project Opal 设置入口是否已对租户开放。
第二步，梳理当前 Copilot 智能体所依赖的 SharePoint 站点与文件库，形成数据源清单。
第三步，按最小权限原则为每个智能体配置独立的访问范围，并对包含敏感信息的站点启用数据保留策略。
第四步，先在少数用户或安全组中试点运行，验证智能体在受限权限下仍能完成核心任务，再逐步扩大启用范围。
结果证据与边界
微软官方文档描述了 Project Opal 的功能与管理方法，但未披露具体企业的部署效果或量化数据。
该功能解决的是“智能体能访问什么”的授权问题，不替代完整的数据防泄漏（DLP）方案。企业仍需结合自身的数据分类体系与合规要求，综合设计 AI 治理策略。
来源未披露该功能是否对所有 Microsoft 365 商业订阅可用，企业需自行确认所在租户的许可证范围。
可复制动作：给 IT 管理员的三个建议
建议一：建立“智能体-数据源-用户组”三要素清单，在启用任何新智能体前先完成权限映射。
建议二：将数据保留策略纳入智能体上线检查清单，尤其是涉及客户数据或财务数据的场景。
建议三：利用安全组做灰度发布，先让合规要求最严格的部门试用，验证治理效果后再推广到全公司。
证据与边界
- 来源为微软官方文档 Microsoft Learn，页面标题为 Manage Project Opal settings for Microsoft 365 Copilot。
- 页面说明 Project Opal 允许管理员为 Copilot 智能体配置数据访问权限与保留策略。
- 文档未披露具体客户部署数量或效果数据，仅描述功能与管理方法。
- 页面未标注具体发布日期，按当前日期 2026-09-09 推断为近期更新。
企业今天可以做什么
建议使用 Microsoft 365 Copilot 的企业 IT 管理员：1) 登录 Microsoft 365 管理中心，查看 Project Opal 设置入口是否已开放；2) 梳理现有 Copilot 智能体所依赖的 SharePoint 站点与文件库，按最小权限原则为每个智能体配置独立访问范围；3) 结合企业数据分级标准，为包含敏感信息的站点设置数据保留策略；4) 先在少量用户或安全组中试点，验证权限配置符合业务预期后再全量推广。