MS-102 GĐ7
Module 49
Information Barriers
Tạo "Chinese Wall" kỹ thuật số ngăn giao tiếp giữa các nhóm trong tổ chức: phân chia Finance/Investment, Legal/Sales, tuân thủ quy định tài chính.
Tình huống – VinaCorp Securities
VinaCorp có bộ phận Investment Banking và Equity Research. Quy định chứng khoán yêu cầu "Chinese Wall" — 2 nhóm này không được chat, share file hoặc cộng tác trên Teams/SharePoint với nhau để tránh insider trading.
Information Barriers – Khái niệm
| Khái niệm | Mô tả |
|---|---|
| Segment | Nhóm user được định nghĩa bằng AD attribute (Department, MemberOf...) |
| IB Policy | Rule định nghĩa segment nào ĐƯỢC hoặc KHÔNG ĐƯỢC giao tiếp với segment nào |
| Allow policy | Chỉ cho phép giao tiếp với segment được chỉ định (implicit deny all others) |
| Block policy | Chặn giao tiếp với segment cụ thể (allow all others) |
| IB Mode | Legacy (multi-segment) hoặc SingleSegment (user chỉ thuộc 1 segment) |
IB áp dụng cho
Teams
Chat, channels, meeting invitations
SharePoint / OneDrive
File sharing between segments
Exchange
Address book visibility, email
Yêu cầu: M365 E5 / E5 Compliance. Chỉ user có Exchange Online mailbox và Teams license mới bị ảnh hưởng bởi IB policies.
Lab – Tạo Information Barriers (PowerShell)
Chạy với Connect-IPPSSession — cần Compliance Administrator role
Bước 1 – Tạo Segments
Connect-IPPSSession -UserPrincipalName [email protected]
# Tạo segment dựa trên Department attribute trong AD/Entra
New-OrganizationSegment -Name "InvestmentBanking" `
-UserGroupFilter "Department -eq 'Investment Banking'"
New-OrganizationSegment -Name "EquityResearch" `
-UserGroupFilter "Department -eq 'Equity Research'"
New-OrganizationSegment -Name "Compliance" `
-UserGroupFilter "Department -eq 'Compliance'"
New-OrganizationSegment -Name "General" `
-UserGroupFilter "Department -eq 'General'"
Write-Host "Segments created"
Get-OrganizationSegment | Select-Object Name, UserGroupFilter
Segments created:
Name UserGroupFilter
---- ---------------
InvestmentBanking Department -eq 'Investment Banking'
EquityResearch Department -eq 'Equity Research'
Compliance Department -eq 'Compliance'
General Department -eq 'General'
Bước 2 – Tạo IB Policies
# InvestmentBanking KHÔNG ĐƯỢC giao tiếp với EquityResearch (bidirectional)
New-InformationBarrierPolicy `
-Name "IB-Block-IB-ER" `
-AssignedSegment "InvestmentBanking" `
-SegmentsBlocked "EquityResearch" `
-State Active
New-InformationBarrierPolicy `
-Name "IB-Block-ER-IB" `
-AssignedSegment "EquityResearch" `
-SegmentsBlocked "InvestmentBanking" `
-State Active
# Compliance có thể giao tiếp với TẤT CẢ (exception)
# Không cần tạo block policy cho Compliance segment
Write-Host "IB policies created"
IB policies created:
- IB-Block-IB-ER: InvestmentBanking → blocked from EquityResearch
- IB-Block-ER-IB: EquityResearch → blocked from InvestmentBanking
Compliance segment: no restrictions (can communicate with all)
Bước 3 – Apply Policies
# Apply tất cả IB policies (quá trình mất 30-60 phút)
Start-InformationBarrierPoliciesApplication
# Theo dõi tiến trình
Get-InformationBarrierPoliciesApplicationStatus | Select-Object CreatedDateTime, Status, ProgressPercentage
CreatedDateTime Status ProgressPercentage
--------------- ------ ------------------
4/20/2026 10:00 Running 45
4/20/2026 10:30 Completed 100
Xác minh & Troubleshoot
Kiểm tra segment của user
# Xem user thuộc segment nào
Get-InformationBarrierRecipientStatus `
-Identity "[email protected]" `
-InformationBarrierRecipientStatus | Format-List
# Xem policy áp dụng cho 2 user
Get-InformationBarrierPoliciesApplicationStatus | Select-Object -Last 1 | Format-List
Identity : [email protected]
Segment : EquityResearch
InformationBarriers : {IB-Block-ER-IB}
ExoSegments : {EquityResearch}
TeamsIBSegments : {EquityResearch}
Hành vi user khi bị IB block
| Workload | Hành vi khi blocked |
|---|---|
| Teams Chat | Không tìm thấy user trong search; nếu đang chat sẽ thấy error |
| Teams Channel | Không thể invite blocked user vào channel/meeting |
| SharePoint | Share link với blocked user → lỗi "Cannot share with this user" |
| Exchange GAL | Blocked users ẩn khỏi Global Address List của nhau |
| OneDrive | Không thể share hoặc collaborate trên document |
Tổng kết M49
Kiến thức cốt lõi
- ✅ IB Segment = nhóm user theo AD attribute (Department, MemberOf)
- ✅ Block policy phải tạo bidirectional (2 policies cho 2 chiều)
- ✅ Compliance/supervision roles thường được exempt khỏi IB
- ✅ Apply mất 30-60 phút — dùng Start-IBPoliciesApplication
- ✅ Áp dụng cho: Teams, SharePoint, OneDrive, Exchange GAL
Lab đã thực hành
- 🔬 Tạo 4 segments: InvestmentBanking, EquityResearch, Compliance, General
- 🔬 Block policy bidirectional: IB ↔ ER không được giao tiếp
- 🔬 Apply policies + verify segment của user