คำตอบสั้น ๆ: ขั้นตอน Offboarding บน Microsoft 365 เมื่อพนักงานลาออก บล็อกการลงชื่อเข้าใช้ แปลงเป็น Shared Mailbox ย้ายไฟล์ OneDrive แล้วถอดไลเซนส์ตามลำดับที่ข้อมูลไม่หาย
คู่มือนี้อธิบาย Offboarding ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Offboarding คือขั้นตอนจัดการบัญชีเมื่อพนักงานลาออก ซึ่งต้องทำสองอย่างพร้อมกัน คือ ตัดสิทธิ์เข้าถึงระบบทันที และเก็บอีเมลกับไฟล์งานไว้ให้คนที่รับช่วงต่อ บน Microsoft 365 ลำดับขั้นตอนสำคัญมาก เพราะถ้าถอดไลเซนส์ก่อน ข้อมูลอีเมลจะเริ่มนับถอยหลังสู่การลบ และถ้าลบบัญชีผิดจังหวะ Shared Mailbox ที่แปลงไว้ก็จะหายไปด้วย
คู่มือนี้เขียนให้ผู้ดูแลระบบและฝ่ายบุคคลใช้เป็นขั้นตอน Offboarding มาตรฐานทุกครั้งที่มีคนลาออก เมื่อทำตามลำดับครบ บัญชีเดิมจะเข้าใช้งานไม่ได้ อีเมลยังเปิดดูได้โดยหัวหน้างานในรูปแบบ Shared Mailbox ไฟล์ใน OneDrive ถูกย้ายไปที่ปลอดภัย และไลเซนส์ว่างพร้อมให้พนักงานคนใหม่
สิ่งที่ต้องเตรียม (Offboarding)
- บทบาท User Administrator, Exchange Administrator และ SharePoint Administrator (หรือ Global Administrator ที่ครอบคลุมทั้งหมด)
- วันและเวลาสิ้นสุดการทำงาน ชื่อหัวหน้างานหรือผู้รับช่วงงาน และอีเมลที่จะรับต่อ
- ข้อกำหนดด้านกฎหมายหรือ HR ว่าต้องเก็บข้อมูลนานเท่าไร ถ้าต้องวาง Litigation Hold ต้องมีไลเซนส์ที่รองรับ เช่น Exchange Online Plan 2 หรือ E3 ขึ้นไป
- ขนาดกล่องจดหมาย เพราะ Shared Mailbox ที่ไม่มีไลเซนส์จุได้ไม่เกิน 50 GB
- ถ้าบัญชีซิงก์มาจาก Active Directory ในองค์กร ให้ปิดบัญชีที่ฝั่ง AD ด้วย เพราะการแก้บางอย่างบน Microsoft 365 จะถูกซิงก์ทับ
ห้ามเริ่ม Offboarding จากการถอดไลเซนส์หรือลบผู้ใช้เด็ดขาด ให้ทำตามลำดับในแผนภาพด้านล่าง ถ้าองค์กรต้องเก็บสำเนาอีเมลออฟไลน์ด้วย ให้ส่งออกเป็นไฟล์ .pst ตาม การสำรองและกู้คืนอีเมลบน Outlook ก่อนเริ่ม
ขั้นตอนที่ 1: ตัดการเข้าถึงทันที
ขั้นแรกของ Offboarding ต้องทำในวันสุดท้ายของการทำงาน หรือทันทีที่ได้รับแจ้งถ้าเป็นการเลิกจ้าง เปิด Microsoft 365 admin center ที่ https://admin.microsoft.com > Users > Active users คลิกชื่อพนักงาน แล้วทำสามอย่างนี้ตามลำดับ
- Reset password ตั้งรหัสผ่านใหม่ที่พนักงานไม่รู้ วิธีนี้มีผลเร็วที่สุด
- แท็บ Account > Sign out of all sessions เพื่อบังคับให้ทุกอุปกรณ์ต้องลงชื่อเข้าใช้ใหม่ภายในประมาณหนึ่งชั่วโมง
- Block sign-in > ติ๊ก Block this user from signing in > Save changes การบล็อกอาจใช้เวลาถึง 24 ชั่วโมงจึงมีผลครบ จึงต้องรีเซ็ตรหัสผ่านควบคู่เสมอ
ถ้าพนักงานใช้อีเมลบนมือถือส่วนตัว ให้สั่งลบเฉพาะข้อมูลบัญชีงานออกจากเครื่องด้วย Get-MobileDevice -Mailbox และ Clear-MobileDevice ใน Exchange Online PowerShell สำหรับแอป Outlook การล้างจะลบเฉพาะข้อมูลของบริษัท ไม่แตะข้อมูลส่วนตัว
ขั้นตอนที่ 2: ตั้งข้อความตอบกลับและการส่งต่ออีเมล
ในหน้าผู้ใช้คนเดิม ไปที่แท็บ Mail แล้วตั้งค่าสองอย่าง เพื่อไม่ให้ลูกค้าที่ยังส่งอีเมลมาหาคนเดิมตกหล่น
- Automatic replies: แจ้งว่าพนักงานพ้นสภาพแล้ว และให้ติดต่อผู้รับช่วงงานที่อีเมลใด รายละเอียดการเขียนข้อความดูได้ที่ ตั้งค่าตอบกลับอัตโนมัติ (Automatic Replies) ใน Outlook
- Email forwarding > Manage email forwarding > Forward all emails sent to this mailbox แล้วใส่อีเมลผู้รับช่วงงาน ขั้นตอนเต็มอยู่ใน ตั้งค่า Forward อีเมลของผู้ใช้จาก Admin Center
ควรส่งต่อไปยังอีเมลภายในองค์กรเท่านั้น การส่งต่ออัตโนมัติไปอีเมลภายนอกถูกนโยบาย Outbound spam ของ Microsoft 365 บล็อกเป็นค่าเริ่มต้น และเสี่ยงข้อมูลรั่ว
ขั้นตอนที่ 3: แปลงกล่องจดหมายเป็น Shared Mailbox ก่อนถอดไลเซนส์
ยังอยู่ที่แท็บ Mail คลิก Convert to shared mailbox แล้วคลิก Convert อีเมลและปฏิทินทั้งหมดจะอยู่ครบ แต่กลายเป็นกล่องจดหมายที่หลายคนเปิดได้ ตัวเลือกนี้จะไม่แสดงถ้าบัญชีไม่มีไลเซนส์ นี่คือเหตุผลที่ต้องทำก่อนถอดไลเซนส์
จากนั้นให้สิทธิ์หัวหน้างานเปิดกล่องจดหมาย ทำได้ใน Exchange admin center > Recipients > Mailboxes > เลือกกล่องจดหมาย > แท็บ Delegation หรือใช้ PowerShell ซึ่งตรวจผลได้ในคำสั่งเดียว
Connect-ExchangeOnline -UserPrincipalName [email protected]
Set-Mailbox -Identity [email protected] -Type Shared
Add-MailboxPermission -Identity [email protected] -User [email protected] -AccessRights FullAccess -AutoMapping $true
Add-RecipientPermission -Identity [email protected] -Trustee [email protected] -AccessRights SendAs -Confirm:$false
Get-Mailbox -Identity [email protected] | Format-List RecipientTypeDetailsผลที่ถูกต้องคือ RecipientTypeDetails : SharedMailbox กล่องจดหมายจะขึ้นใน Outlook ของหัวหน้างานเองเพราะตั้ง AutoMapping ไว้ ดูวิธีใช้งานต่อได้ที่ สร้างและใช้งาน Shared Mailbox บน Microsoft 365
ขั้นตอนที่ 4: ย้ายไฟล์ใน OneDrive ให้ผู้รับช่วงงาน
- ในหน้าผู้ใช้ เลือกแท็บ OneDrive ใต้ Get access to files คลิก Create link to files
- คลิกลิงก์เพื่อเปิด OneDrive ของพนักงาน เลือกโฟลเดอร์ที่ต้องเก็บ แล้วใช้ Move to หรือ Copy to ไปยัง Document Library ของแผนกบน SharePoint หรือ OneDrive ของหัวหน้างาน
การย้ายจะเก็บเฉพาะเวอร์ชันล่าสุดของไฟล์ ถ้าต้องการประวัติเวอร์ชันให้ย้ายเสร็จก่อนที่บัญชีจะถูกลบ ทำขั้นตอนนี้ให้จบเร็ว เพราะตามนโยบายปัจจุบัน OneDrive ที่ไม่มีไลเซนส์จะกลายเป็นอ่านอย่างเดียวหลัง 60 วัน และถูกเก็บถาวรหลัง 93 วัน ซึ่งผู้ดูแลและผู้ใช้เปิดไฟล์ไม่ได้จนกว่าจะคืนไลเซนส์หรือเปิดการเรียกเก็บเงิน
ขั้นตอนที่ 5: ส่งต่อความเป็นเจ้าของทีม กลุ่ม และนัดหมาย
ตรวจว่าพนักงานเป็นเจ้าของคนเดียวของ Microsoft Teams หรือ Microsoft 365 Group ใดหรือไม่ ที่ Microsoft 365 admin center > Teams & groups > Active teams & groups แล้วเพิ่มเจ้าของคนใหม่ก่อน ไม่เช่นนั้นกลุ่มจะไม่มีใครจัดการสมาชิกได้
นัดประชุมแบบเกิดซ้ำที่พนักงานเป็นผู้จัดจะค้างอยู่ในปฏิทินของทุกคนและจองห้องประชุมไว้ ให้ยกเลิกด้วยคำสั่งนี้ (ใส่ -PreviewOnly เพื่อดูรายการก่อนยกเลิกจริง)
Remove-CalendarEvents -Identity [email protected] -CancelOrganizedMeetings -QueryWindowInDays 365