Skip to main content
Microsoft Teams 集成通过 Living Security Teams 应用向用户和频道发送 Living Security 通知。可将其用于培训分配、人员风险警报、部署消息以及安全团队公告。 此集成仅用于发送通知。用户无法在 Microsoft Teams 中向机器人发送命令。应用安装后，机器人会存储 Teams 对话引用，以便后续主动发送通知。安装消息为单向消息，可根据企业部署要求进行自定义或禁用。
Microsoft Teams 管理员仍须上传、批准并分发 Living Security Teams 应用。Microsoft Entra User.Read.All 管理员同意 为可选项，仅用于启用电子邮件或用户主体名称（UPN）查找回退机制。
如需设置提醒和行动手册的投递，请从 设置 → 通讯 → 频道 开始，然后点击 Microsoft Teams 卡片。本页介绍 底层 Teams 应用的配置。

​
前提条件

在配置 Microsoft Teams 之前，请确保您具备以下条件：
  • 一名能够上传并批准组织应用的 Microsoft Teams 管理员。同一人可以同时担任两种管理员角色。
  • 仅当您希望通过租户范围的 User.Read.All 应用程序同意来启用可选的电子邮件/UPN 查找回退机制时，才需要一名 Microsoft Entra 管理员
  • Living Security 管理员权限
  • 一个处于活动状态的 Living Security 组织
  • 若启用了频道公告，则需提供用于投递安全公告的团队和频道名称
  • 您的 Microsoft Entra 租户 ID，可在 Microsoft Entra admin center → 身份 → 概述 中找到

​
职责分工

这些角色可以由不同的人员担任。请向 Microsoft Teams 管理员提供软件包校验和、Teams 应用 ID、Bot app ID 以及目标部署人群。仅在启用可选的电子邮件/UPN 查找回退机制时，才需向 Microsoft Entra 管理员提供生成的同意 URL。请勿共享与此无关的 Living Security 凭据。

​
设置

1

打开 Microsoft Teams 设置面板

在 Living Security 中，前往 设置 → 通讯 → 频道 并选择 Microsoft Teams。该面板显示您组织所在的区域、软件包文件名、Teams 应用 ID、机器人应用 ID、SHA256 校验和、Microsoft 租户配置状态、安装说明、安装消息控制项、验证以及测试通知工具。
Living Security 中显示的区域与您的组织所托管的区域一致。
2

连接您的 Microsoft 租户

在 Connect your tenant 中，输入拥有接收通知的用户和 Teams 频道的 Microsoft Entra 租户 ID，然后点击 Save Microsoft tenant。一个 Microsoft 租户只能属于一个 Living Security 组织。如果租户控件不可用，请联系您的 Living Security 实施负责人或支持联系人，在安装应用之前连接或更改租户。
在您继续之前，Living Security 会显示 Microsoft tenant connected。
如有可能，请在安装 Teams 应用之前连接租户。如果应用已安装，请先保存租户并选择 Validate install。Living Security 会尝试自动关联现有安装；仅当验证无法检测到该安装时才需要重新安装。
3

下载区域 Teams 软件包

点击 Download Teams package。Living Security 会为您的组织提供特定区域的 ZIP 软件包。在进行任何更改之前，请对照 Living Security 中显示的 SHA256 校验和验证下载的文件。如需为应用设置您自己的名称和图标，请在完成此项检查后、上传软件包之前，按照重新设置区域软件包的品牌中的步骤操作。
下载文件的校验和与 Living Security 中显示的 SHA256 校验和一致。
4

在 Teams 管理中心上传并安装软件包

在 Microsoft Teams 管理中心，前往 Teams apps → Manage apps → Actions → Upload new app，然后上传从 Living Security 下载的 ZIP 文件。请确认：
  • Teams 应用 ID 和机器人应用 ID 与 Living Security 中显示的值一致
  • 应用名称为区域 Living Security 名称，或者是您在重新设置软件包品牌时设定的名称
  • 发布者为 Living Security。重新设置软件包品牌不会更改发布者
  • 该应用未被阻止
  • 该应用可供目标用户或组使用
  • 已通过应用设置策略或定向安装，为应接收通知的用户以及团队/频道安装该应用
Microsoft 可能需要一些时间来传播应用可用性和设置策略的更改。
如果在更改应用策略后验证或测试立即失败，请在 Microsoft Teams 管理中心确认策略分配情况，并在 Microsoft 完成传播后重试。
5

安装或打开应用

将个人应用分发给目标用户。在 Living Security 能够向检测到的安装发送个人测试之前，至少须有一名用户在 Microsoft Teams 中安装或打开 Living Security 个人应用。这样机器人才能获取该用户的可信身份和个人对话引用。仅有频道安装无法用于个人检测安装测试。对于频道投递，请在目标团队和频道中安装该应用，以便机器人能够获取该频道的对话引用。
已有目标用户安装或打开了个人应用，或者该应用已安装在目标频道中。
6

配置安装消息

在 Install message controls 部分，选择是否发送 Teams 安装消息，并为您的组织自定义单向消息文案。可用控制项：
  • Send install messages
  • Send personal install messages
  • Send channel install messages
  • Default message
  • Personal message
  • Channel message
消息字段支持 {{installerName}}，它会被替换为安装该应用的用户的显示名称。将个人消息或频道消息留空，即可使用您配置的默认消息。如果默认消息也为空，Living Security 将使用该范围的内置消息。
7

验证设置

在 Living Security 中点击 Validate install。验证会检查区域软件包是否可用、Microsoft 租户配置是否存在且对此 Living Security 组织唯一、区域机器人凭据是否已配置，以及是否已为所连接的租户检测到处于活动状态的应用安装。
在发送正式通知之前，验证会显示 Validation passed。
8

发送测试通知

对于默认的个人测试，请点击 Send test to detected installation。 Living Security 会选择一个检测到的处于活动状态的个人安装，并使用其存储的可信身份和对话引用。此测试不会调用 Microsoft Graph，也不需要 User.Read.All 同意。如果未检测到个人安装，请让用户安装或打开 Living Security 个人应用，再次选择 Validate install，然后重新发送测试。仅当启用了可选的查找回退机制时，才使用高级的定向电子邮件/UPN 测试。
单向测试通知显示在 Microsoft Teams 中。
如需投递诊断信息，请在通讯日志中查看相应的尝试记录。

​
重新设置区域软件包的品牌

区域软件包是一个包含三个文件的 ZIP 压缩包：manifest.json、color.png 和 outline.png。您可以在上传之前，在该软件包中设置自己的应用名称和图标。Living Security 支持此方式用于由 Teams 管理员直接上传的区域软件包。 请在下载并验证软件包之后、在 Teams 管理中心上传之前执行此操作。
1

解压软件包

解压 ZIP 文件。压缩包根目录中恰好包含三个文件：manifest.json、color.png 和 outline.png。
2

替换图标

将 color.png 和 outline.png 替换为您自己的图标。请保持这两个文件名不变。
3

设置应用名称

在 manifest.json 中，编辑以下两个字段：
  • name.short — 显示在 Teams 应用标题栏及其他空间受限区域中的名称。最多 30 个字符。
  • name.full — 显示在应用目录和应用详细信息中的名称。最多 100 个字符。
    如果 Teams 管理中心中已上传了 Living Security 应用，请将 version 设置为高于其中已安装的版本。Microsoft Teams 会拒绝 未提升版本号的更新，而重新下载的软件包可能与您已安装的软件包版本相同，或者版本更低。请在 Teams 管理中心的 Teams apps → Manage apps 下，于应用详细信息页面查看已安装的版本。将其与您刚下载的 manifest.json 中的 version 值进行比较，然后设置一个高于两者的值。请保持 三段数字的 MAJOR.MINOR.PATCH 格式。例如，如果已安装的应用为 1.1.1，而您新下载的版本为 1.1.0， 请设置为 1.1.2。若将下载的 1.1.0 提升为 1.1.1，则会与 已安装的版本重复，Teams 将拒绝该上传。
4

保持身份字段不变

请勿更改这些字段。每个字段都承载着应用、机器人或单点登录的身份：
  • id
  • bots 中的 botId
  • webApplicationInfo
  • validDomains
  • staticTabs 中的 contentUrl 和 websiteUrl
    更改身份字段可能导致应用仍可安装，但无法投递通知或完成单点登录。Validate install 会检查租户、机器人凭据和检测到的安装，但不会将您的清单与 Living Security 构建的软件包进行比较。
5

重新压缩这三个文件

使用这三个文件创建新的 ZIP 压缩包。请将它们放在压缩包的根目录，不要包含外层文件夹。如果 manifest.json 位于文件夹内，Microsoft Teams 将拒绝该软件包。
6

上传并验证

在 Teams 管理中心上传重新设置品牌后的 ZIP 文件，然后返回 Living Security 并点击 Validate install。发送测试通知。
验证显示 Validation passed，并且测试通知以您的应用名称和图标显示在 Microsoft Teams 中。

​
发布者和校验和

重新设置品牌只会设置应用名称和图标，不会更改以下两项：
  • 发布者仍为 Living Security。 清单中的 developer 字段注明 Living Security，并链接到 Living Security 网站、隐私政策和服务条款。它们共同标识运营该服务的公司，因此 Teams 会继续在应用详细信息页面、权限同意对话框和应用使用情况报告中将 Living Security 显示为发布者。用户在应用标题栏、应用目录和通知中看到的是您的名称和图标。
  • SHA256 校验和将不再匹配。 Living Security 中显示的校验和对应的是下载时的软件包。请在编辑文件之前进行验证，然后记录您自己重新设置品牌后的软件包的校验和，以供部署记录使用。

​
可选：启用电子邮件/UPN 查找回退机制

常规的个人投递使用 Living Security 已知的可信 Microsoft Entra 对象 ID，以及用户安装或打开应用时获取的机器人对话引用。频道投递使用其存储的频道对话引用。这两种途径均不需要 Microsoft Graph。 如果收件人没有可信的 Entra 对象 ID，Living Security 可以选择使用 Microsoft Graph，通过电子邮件地址或 UPN 解析收件人。要启用该回退机制，请让 Microsoft Entra 管理员在 Teams 设置面板中点击 Grant optional User.Read.All consent，并为区域 Living Security Teams 应用批准 Microsoft Graph User.Read.All 应用程序权限。 管理员同意流程遵循以下 Microsoft Entra 模式：
Living Security 会根据所连接的租户 ID 和设置面板中显示的 Bot app ID 生成此 URL。这些 ID 的用途各不相同：
  • Teams app ID 用于在 Microsoft Teams 管理中心标识可安装的应用软件包。
  • Bot app ID 用于标识区域机器人的 Microsoft Entra 应用程序，并且是可选管理员同意流程中使用的客户端 ID。
请勿在同意 URL 中替换为 Teams app ID。“已连接的集成”下的 Microsoft Entra ID (Client Credentials) 集成是一个独立的通用集成。区域 Teams 机器人无法重用其凭据或同意，并且授予无关 Entra 应用程序的同意也不会启用此回退机制。
将同意设为可选并不会从现有的区域 Living Security 应用程序注册中移除 User.Read.All。已授予同意的客户可以继续使用电子邮件/UPN 回退机制，无需重新配置。

​
通知类型

根据您组织的授权及已配置的行动手册，Living Security 可以发送：

​
自定义

Teams 通知使用您的 Living Security 组织配置。支持的字段包括客户显示名称、受支持的徽标和品牌字段、消息文案、行动号召、目标链接、部署文本以及支持/联系文本。 安装消息可通过 设置 → 通讯 → 频道 → Microsoft Teams → Install message controls 进行配置。您可以完全禁用安装消息，也可以仅禁用个人或频道安装消息，并配置默认、个人或频道专用的文案。 Teams 应用名称和图标来自区域软件包。如需设置您自己的名称和图标，请参阅重新设置区域软件包的品牌。

​
更新或移除应用

  • 当 Living Security 提供更新的区域软件包时，请从 Microsoft Teams 频道面板下载，并通过 Teams 管理中心上传该软件包。在部署之前，请核对显示的应用 ID、机器人 ID 和校验和。
  • 品牌修改不会在软件包更新后保留。每个新的区域软件包都会重新带有 Living Security 的应用名称和图标。请在上传新软件包之前，按照重新设置区域软件包的品牌重新应用您的修改。请将您的图标、两个名称值以及您上次上传的版本保存在便于查找的位置，这样每次升级都只需简短地重复相同的步骤。新软件包的版本不一定高于您已安装的版本，因此请根据 Teams 显示的已安装版本来设置版本号。
  • 应用或策略更新后，请重新运行 Validate install 并再次发送测试。
  • 移除或阻止该应用会导致无法向该用户或频道主动发送通知。请重新安装该应用并发送新的测试，以便 Living Security 收到最新的 Teams 安装事件。
  • 如果您要停止使用 Teams 投递，请先从相关行动手册中移除 Teams，然后再从 Microsoft Teams 中移除该应用。

​
故障排除

  • 确认已安装 Living Security Teams 个人应用，且用户已打开过该应用，以便 Living Security 拥有最新的对话引用
  • 确认所配置的 Microsoft 租户 ID 是用户所在的租户
  • 如果诊断信息显示已尝试电子邮件/UPN 回退机制，请确认已针对正确的租户，向所显示的 Bot app ID 授予 User.Read.All 管理员同意
  • 使用电子邮件/UPN 回退机制时，请验证用户在 Living Security 中的电子邮件或 UPN 与 Microsoft Entra ID 一致
  • 如果用户此前移除或阻止了该应用，请让其取消阻止或重新安装
  • 确认已在目标团队或频道中安装 Living Security Teams 应用。
  • 确认 Living Security 中的频道映射使用了正确的团队和频道。
  • 检查该频道是否已被删除、重命名、归档或受到限制。
  • 在目标团队或频道中重新安装该应用，然后再次发送测试通知。
  • 确认 Microsoft Entra 管理员已向所显示的 Bot app ID 授予 Microsoft Graph User.Read.All 的租户范围同意。
  • 确认所配置的租户 ID 是用户和 Teams 所在的租户。
  • 验证该用户存在于 Microsoft Entra ID 中，且不是来自其他租户的来宾。
错误类别 TEAMS_ADMIN_CONSENT_REQUIRED 或 Microsoft 错误 AADSTS7000229 表示，电子邮件/UPN 收件人查找尝试了可选的 Microsoft Graph 回退机制，但区域 Living Security Teams 应用在所连接的 Microsoft Entra 租户中没有服务主体（企业应用程序）。默认的可信 ID 和已存储对话的途径不需要此同意。这并非 Living Security 密钥过期。
  1. 打开 设置 → 通讯 → 频道 → Microsoft Teams。您也可以使用通讯日志错误中的 Open Microsoft Teams setup。
  2. 确认已连接正确的 Microsoft Entra 租户 ID。
  3. 如果需要电子邮件/UPN 回退机制，请让 Microsoft Entra 管理员点击 Grant optional User.Read.All consent，并针对所显示的 Bot app ID 批准 User.Read.All。否则，请确保收件人已打开个人应用，且 Living Security 拥有其可信的 Entra 对象 ID。
  4. Microsoft 完成同意处理后，从 Microsoft Teams 设置中发送高级的定向电子邮件/UPN 测试。通讯日志显示投递历史和诊断信息，但不会重新投递失败的消息。
重新配置 Microsoft Entra ID (Client Credentials) 无法解决此错误，因为 Teams 通知投递不使用该集成。
  • 检查机器人是否已被阻止、移除或卸载
  • 如果应用是在 Living Security 中连接租户之前安装的，请保存租户并选择 Validate install，以便 Living Security 关联现有安装
  • 仅当验证无法检测到现有安装时才重新安装
  • 确认目标用户或频道已收到最新的应用安装事件
  • 重新安装应用后发送新的测试通知
用于故障排除的安装事件字段示例：

​
安全

Living Security 仅在可选的电子邮件/UPN 收件人查找回退机制中使用 Microsoft Graph User.Read.All。默认情况下，个人通知路由使用来自 Living Security 实体数据的可信 Entra 对象 ID，以及从 Microsoft Teams 获取的机器人对话引用。调用方提供的对象 ID 和对话引用不被视为可信的路由数据。Microsoft Teams 消息通过 Living Security 仅用于通知的 Teams 机器人，使用 Microsoft Teams 主动消息功能投递。 对于标准的 Teams 应用设置，Living Security 不要求客户创建自己的 Microsoft Entra 应用注册，也不要求共享客户自有的客户端密钥。 特定区域的 Teams 软件包使应用 ID、机器人 ID 和消息传递端点与您的组织所托管的 Living Security 区域保持一致。

​
相关内容

电子邮件集成

将电子邮件配置为投递渠道。

Slack 集成

将 Slack 配置为投递渠道。

通讯日志

跟踪 Teams 的投递状态和历史记录。

身份验证

Microsoft Entra ID 和 SSO 配置。