> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/zh/guan-li-yuan-jiao-luo/third-party-integrations/zoom-and-microsoft-integration-and-deployment-field-guide/getting-started-with-microsoft-and-zoom-workplace-deployments.md).
# Microsoft 与 Zoom Workplace 部署入门
本节涵盖会影响 Zoom Workplace 中每个 Microsoft 集成的决策。在部署日历、Outlook、Teams 或会议室工作流之前，请先从这里开始。
### 前提条件
Zoom 和 Microsoft 集成通常分为两种模式：
1. **Microsoft 侧集成**，其中 Zoom 功能会在 Microsoft 产品中呈现，例如 Teams 或 Outlook。
2. **Zoom 侧集成**，其中 Microsoft 服务被引入 Zoom 作为数据源、身份提供方或录制系统。
本指南中的多个集成共享一些通用先决条件，涉及 Microsoft 365 帐户、Entra ID 权限和 API 配置选项。开始时正确设置这些内容可避免后续返工。
#### 收集集成所需的必要帐户和凭据
要成功完成本指南中概述的步骤，您将需要以下账户和凭据：
* 一个具有 Exchange Online 管理员权限的 Microsoft 365 管理员账户， **和**:
* 该账户必须同时具有以下两项的 Exchange Online 管理员权限： **组织管理** 和 **收件人管理**.
* Microsoft Graph API 应用程序权限需要 Microsoft 365 全局管理员，或具有 Microsoft 365 云应用程序管理员权限的用户，才能将 Zoom 应用程序添加到 Microsoft Entra ID 企业版应用程序中。
* Microsoft Graph API 应用程序权限至少需要一个 [关联域](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0066259) 与您 Microsoft 365 租户中已验证的自定义域相匹配。
* 一个可访问 Zoom Rooms 的角色。
* 能够列出、创建和管理会议室的日历资源。
* 在 Windows 10 或更高版本，或 Windows Server 2016 或更高版本上使用 Windows PowerShell 的管理员访问权限
**配置 Zoom Workplace 权限以匹配 Microsoft Entra ID 用户同意设置**
集成任何类型的 Microsoft 365 日历与 Zoom 平台的第一步，是配置你的 Zoom 权限，使其与 Microsoft Entra ID（原先称为 Azure Active Directory）的用户同意设置一致。
在您按照本指南中的其余步骤操作时，此过程旨在通过匹配练习来阻止 Zoom 平台与 Entra ID 之间的权限问题。
**确定当前的 Microsoft Entra ID 用户同意设置**
1. 登录到 [Microsoft Azure 管理门户](https://portal.azure.com/) 使用 Microsoft 365 管理员账户。
2. 在 **Azure 服务** 部分，单击 **Microsoft Entra ID** 图标上。
3. 在 **管理** 下拉菜单，单击 **企业版应用程序**.
4. 在“安全”下拉菜单下，单击 **同意和权限**.
5. 请记下 *应用程序的用户同意部分*，它将是以下之一：
1. 不允许用户同意
2. 允许来自已验证发布者的应用的用户同意，针对所选权限
3. 允许用户同意应用
**确认用户同意和 Zoom Web门户设置相匹配**
您的组织可以选择限制或允许用户同意设置。Zoom 建议采用简化的权限方法，让用户自行同意 Entra ID 应用。不过，无论您选择哪种方式，您的组织都必须将 Entra ID 选项与 Zoom 管理端上的配对选项对应起来。
如果您已将 Microsoft Entra ID 用户同意设置配置为使用 **不允许用户同意**，或 **允许来自已验证发布者的应用的用户同意，针对所选权限**，则写明以下内容的 Zoom 网页设置 *代表整个账户同意 Office 365 日历集成权限* 必须设置为 **开启**.
或者，如果您的用户同意设置配置为 **允许用户同意应用**，然后将该设置 **关闭**.
**（可选）创建自定义 Microsoft Entra 应用程序以与 Microsoft Office 365 集成**
有关配置自定义应用程序的完整说明，请参阅 Zoom 支持文章 [使用 Office 365 设置 Zoom Rooms](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0063474).
{% hint style="info" %}
此功能/特性必须 [由 Zoom 启用](https://support.zoom.com/hc/en/contact?id=contact_us).
{% endhint %}
### 确定哪种 API 方法最适合你的组织
管理员需要做出的首批决策之一，是 Zoom 将如何对 Microsoft 服务进行身份验证。此选择会影响后续多个集成，因此在开始配置各个功能之前值得先了解清楚。
{% hint style="info" %}
Zoom 建议 **具有应用程序权限的 Microsoft Graph API** 作为 Zoom Rooms 和个人日历集成的默认选项。对于大多数部署而言，这是一条更简单、更安全且更具可扩展性的路径。
{% endhint %}
**你们在日历方面使用哪些 Microsoft 365 API？**
Zoom 日历集成依赖 Microsoft Graph API (MGAPI)。Microsoft 已开始 [逐步淘汰 Exchange Web Services (EWS) 方法](https://techcommunity.microsoft.com/blog/exchange/retirement-of-exchange-web-services-in-exchange-online/3924440) 这些方法以前可用于将 Microsoft 365 数据与 Zoom 服务连接起来。Zoom 认为这些 EWS 方法是遗留选项。
应用程序权限和委派权限（OAuth）并不能互换：它们会带来不同的权衡，这取决于你的用户实际如何工作。正确的选择，与其说取决于技术偏好，不如说取决于你的用户把时间花在什么地方。
**如何识别会议室中使用的官方 Zoom 应用程序？**
用于 Zoom 的会议室日历应用程序在线于 Entra ID 企业版 应用程序目录中，并根据你的 Graph API 配置方法，使用以下应用程序 ID 注册：
* `a651cfda-cbdd-4a39-bd03-fa829c3c1b29` （完全委托访问权限）
* `f56e91e5-5a82-452f-b435-d4d78aeaf064` （应用程序权限）
{% hint style="warning" %}
**Zoom 推荐**
无需从 Entra ID 门户手动添加应用程序。使用 Zoom Web 界面来请求并批准权限请求将会自动将该应用程序添加到你的租户。
{% endhint %}
**完全委派访问权限与应用程序权限有什么区别？**
一般来说，Zoom 建议在使用 Microsoft Graph API 时采用应用程序权限，因为这种配置方式在设置和维护上对管理员而言所需的工作量要少得多，并且不需要专用的服务账户。不过，它会在账户级范围内应用权限。
应用程序权限（也称为仅应用访问）是 Microsoft 针对作为后台服务运行且所需数据无法限定为单个用户的企业版应用程序所推荐的方法。
使用具有完全委派访问权限的 Microsoft Graph API 是一种替代方案，但需要专用的服务账户，并且在初始设置和维护方面需要更多工作量。
#### 适用于 Zoom Rooms：应用程序权限
对于 Zoom Rooms 和第三方会议室，Zoom 推荐使用应用程序权限，没有任何附加条件。对于会议室，这两种方法之间没有功能/特性差距，而应用程序权限消除了需要一个专用服务账户作为会议室邮箱委派的需求。
这减少了初始设置工作量，并消除了持续的维护依赖。
#### 对于用户：从他们如何使用 Zoom Workplace 开始
对于个人日历集成，Zoom 推荐使用应用程序权限，但你的选择取决于你组织的用户每天如何与 Zoom Workplace 互动。
**大多数组织：应用程序权限（推荐）**
如果您的用户主要通过 Outlook 加载项安排和加入会议，并且不经常打开 Zoom Workplace 应用来处理日历、聊天或其他工作流程，那么应用程序权限会更适合。
原因如下：
* **由管理员管理的云到云集成。** 日历集成是在账户级别处理的。单个用户无需授权或维护自己的连接。如果集成出现问题，管理员会立即注意到，而不是依赖单个用户报告问题。
* **更强的令牌安全性。** 应用程序权限使用短期有效的访问令牌，并通过云到云交换每 60 分钟刷新一次。该令牌从不持久存储，仅保留在内存中。没有刷新令牌，也没有离线访问授权。如果用户被取消配置，就不会有任何残留令牌可用于访问其日历数据。
* **不依赖用户登录行为。** 对于委派权限，集成依赖于单个用户已登录 Zoom Workplace 应用。如果用户的令牌过期或他们更改密码，他们的日历集成就会在不知不觉中中断。如果他们主要使用 Outlook，可能几周都不会注意到。应用程序权限完全消除了这种故障模式。
**何时委派权限可能是更好的选择**
如果您的用户是常规 Zoom Workplace 应用用户，则“委派权限”可能更适合：
* **共享日历。** 委派权限允许用户查看他们在 Microsoft 365 中有访问权限的同事共享的日历。使用应用程序权限时，用户只能在 Zoom Workplace 应用中查看他们的日历。
* **Zoom Workplace 中的电子邮件。** 在 Workplace 应用 程序中，Zoom Mail 客户端需要委派权限才能访问用户的 Microsoft 365 邮箱。应用程序权限 方法目前不支持此集成。
* **自助服务可见性。** 当用户的委托集成因令牌过期或密码更改等原因失效时，他们会直接在 Workplace 应用中看到重新身份验证的提示。对于已经在应用中使用的用户，这提供了更快的自助恢复。
#### 将所有内容整合起来：您的部署建议
对于大多数 Zoom/Microsoft 部署，建议如下：
* **房间：** 应用程序权限。没有取舍，设置更简单，没有服务账户。
* **用户：** 应用程序权限，除非你的用户积极依赖 Zoom Workplace 应用中的共享日历或电子邮件。
这种选择并非永久性的。组织可以通过重新授权在两种方法之间更改。
如果你不确定，可以先从应用程序权限开始。它为你提供可靠的集成，并可在以后为特定用户组添加委派权限，如果之后出现共享日历或电子邮件需求。
以下图表显示委托式和基于应用程序的方法，以及传输中的凭据信息。
委托式方法虽然提供授权，但确实会将凭据发送到 Zoom 应用。
一种更具可扩展性的方法，基于应用程序的授权，可防止用户凭据或令牌直接到达 Zoom 应用程序。
### 安全与数据处理
Zoom 网络日历服务会存储对每个用户的日历提供商进行身份验证所需的对象。这意味着，当组织使用 OAuth 将 Outlook 或 Google 日历连接到 Zoom 服务时，Zoom 会存储刷新令牌。这还意味着，对于使用基础版身份验证接入 Exchange On-Premises 的组织，Zoom 会存储账户用户名和密码。
| 已同步的事件 |
| ------------ |
| `已省略观众` |
| `描述` |
| `显示名称` (观众) |
| `电子邮件` (观众) |
| `固定工作位置` |
| `iCalUID` |
| `位置` |
| `显示名称` (组织者) |
| `电子邮件` (组织者) |
| `摘要` |
| `时间提议` |
| `已启用工作位置` |
启用双向日历同步（同步 2.0）后，Zoom 不会在其数据库中保留外部日历事件 & 活动 &直播数据（来自 Microsoft 365 或 Google 日历）。\
\
相反，该服务会监控一个滚动的 24 个月日历活动窗口（最多包括过去 6 个月和未来 18 个月）。如果此窗口内发生更改，Zoom 会收到来自日历提供商的更改通知，并按需检索更新后的事件 & 活动 &直播数据，以处理相应的 Zoom 会议更新。随后会通知会议服务应用所需的更改。
管理员可以在账户或用户群组级别配置此功能/特性。请参阅我们的 [支持文档](https://support.zoom.us/hc/en-us/articles/8522918261645-Enabling-bi-directional-calendar-sync) 了解更多信息。
#### 存储的令牌和凭据是如何受到保护的？
存储的令牌和凭据在静态存储时使用 256 位 AES-GCM 加密进行加密。此数据被视为客户内容，并受 Zoom 的访问控制政策和标准约束。这些控制措施会由独立审计公司进行评估，并体现在我们的安全认证和鉴证中，例如 SOC 2。对基础架构数据和系统的特权访问会被记录、监控，并使用多因素身份验证和最小权限访问控制进行控制。
#### 应用程序与日历提供商之间的流量是如何受到保护的？
日历提供商与任何 Zoom 软件（包括 Zoom 桌面版/移动版应用程序、Zoom Web 日历服务、安排工具和 API 连接器）之间的通信，都会在传输过程中使用 TLS 1.2 进行加密。
#### OAuth 令牌的有效期是多久？
Zoom 将请求在 1 小时后过期的访问令牌和在 90 天后过期的刷新令牌，但日历提供商可能会提供具有其他限制的令牌。如果您需要修改默认值，请遵循您的提供商说明。
#### 我可以撤销 OAuth 令牌或凭据吗？
Zoom 管理员可以随时选择从单个 Zoom 账户中移除日历集成，这将阻止该用户的日历功能正常运行。请立即删除该用户的任何存储令牌或凭据。
Microsoft 365 管理员可以通过在 Entra ID 企业版应用程序门户中删除 Zoom 应用程序，来移除所有用户账户的 Zoom 日历访问；而 Google 工作区管理员则可以使用 Google 云平台控制台撤销访问。
#### 我可以限制 Zoom 向提供商写入日历或联系人数据的能力吗？
完成初始配置后，Zoom 管理员在通过 Microsoft 365 方法正在连接时，可以为日历和联系人同时选择“只读”和“读/写”权限。管理员还可以限制 Google 工作区对用户日历的集成。
### 验证 Entra ID 权限
#### 验证用于会议室的 MGAPI 应用程序权限方法的应用程序 ID 和范围
如果您使用 Zoom Rooms 或第三方会议室的应用程序权限方法，请使用以下步骤验证权限：
1. 使用 Microsoft 365 管理员账户登录 Azure 门户。
2. 点击 **Microsoft** **Entra ID** 标志。
3. 导航到 **企业版应用程序**.
4. 默认情况下， **所有应用程序** 在交互式数据表中显示。
5. 点击 **Zoom** 具有应用程序 ID 的应用 *f56e91e5-5a82-452f-b435-d4d78aeaf064*.
6. 点击 **安全** 下拉并选择 **权限**.
7. 验证 *管理员同意* 选项卡与此处屏幕一致：
#### 验证用于会议室或 Zoom Rooms 的 MGAPI 完全委派方法的应用程序 ID 和范围
如果您对 Zoom Rooms 或第三方会议室使用 Full Delegate 方法，请使用以下步骤验证权限：
1. 使用 Microsoft 365 管理员账户登录 Azure 门户。
2. 单击 **Microsoft** **Entra ID** 标志。
3. 导航到 **企业版应用程序**.
4. 默认情况下， **所有应用程序** 显示在交互式数据表中。
5. 单击 **Zoom** 具有应用程序 ID 的应用 *a651cfda-cbdd-4a39-bd03-fa829c3c1b29*.
6. 单击 **安全** 下拉并选择 **权限**.
7. 验证 *管理员同意* 选项卡与此处的屏幕匹配：\\
#### 验证个人日历应用程序权限 ID 和范围
如果您在个人日历中使用应用程序权限方法，请使用以下步骤验证权限：
1. 使用 Microsoft 365 管理员账户登录 Azure 门户。
2. 单击 **Microsoft Entra ID** 徽标。
3. 导航到 **企业版应用程序**.
4. 默认情况下， **所有应用程序** 显示在交互式数据表中。
5. 单击 **Zoom** 具有应用程序 ID 的应用 *f46ceaed-fb2d-4694-803b-6341837f0ed2*.
6. 单击 **安全** 下拉并选择 **权限**.
7. 验证 *管理员同意* 选项卡与此处屏幕匹配：
#### 验证个人日历 OAuth 应用程序 ID 和范围
如果您为用户使用了 OAuth 集成方法（也称为委派权限），请使用以下步骤验证权限：
1. 使用 Microsoft 365 管理员账户登录 Azure 门户。
2. 单击 **Microsoft Entra ID** 标志。
3. 前往 **企业版应用程序**.
4. 默认情况下， **所有应用程序** 显示在交互式数据表中。
5. 单击 **Zoom** 具有应用程序 ID 的应用 *fc108d3f-543d-4374-bbff-c7c51f651fe5*.
6. 单击 **安全** 下拉并选择 **权限**.
7. 验证 *管理员同意* 选项卡与此处的屏幕相匹配：
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://library.zoom.com/technical-library/zh/guan-li-yuan-jiao-luo/third-party-integrations/zoom-and-microsoft-integration-and-deployment-field-guide/getting-started-with-microsoft-and-zoom-workplace-deployments.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.