导出创建另一个授权边界
共享分析目标可以合并来自多个客户的数据，同时仍然要求每个客户的信息保持隔离。源应用程序的租户控件不会自动转移到文件、仓库表、仪表板或计划报告。因此，导出要求必须涵盖源选择、转换、目的地访问、下游使用和删除。如果这些决定中有任何一个是错误的，经过正确身份验证的出口工人仍然可以披露错误的租户数据。
Azure 的多租户身份指南 将身份验证、授权和权利分开，并讨论特定于租户的联合风险。它支持询问有关租户绑定的精确问题，但它并未确定EmailAuth实施任何特定的导出控制。本手稿提出了要求和基于夹具的验证。未生成导出、访问客户数据、授予目的地权限或配置分析系统。
将源选择绑定到授权租户
记录导出请求者、经过身份验证的服务或用户身份、允许的租户集、请求的资源和批准的业务目的。来源必须根据可信关系确定授权范围，而不仅仅是接受调用者提供的客户标识符。请求参数可以识别所需的租户，而无需证明调用者可以访问它。授权决策应涵盖输出中包含的所有资源，包括处理过程中加入的相关记录。
指定应用程序如何处理属于多个租户的请求者。在用户界面中选择租户不应默默地成为无限制的跨客户导出。记录导出是单租户、明确授权的多租户管理作业还是具有单独批准范围的聚合数据集。这些是需求文档的建议类别，而不是声称特定平台公开它们。
通过改造保留租户环境
在最初正确的查询之后，租户边界可能会丢失。连接可能使用在预期历史模型中不唯一的域字符串，缓存的结果可能会忽略租户上下文，或者稍后的聚合可能会组合超出批准范围的行。要求应说明租户身份如何通过提取、转换和输出伴随每条记录。不要依赖目标文件夹名称作为唯一的隔离机制。
在支持的情况下使用稳定的内部标识符并保留其映射来源。显示名称、电子邮件地址或域标签可以更改，并且不应假定为全球唯一的客户密钥。如果明确授权跨租户聚合，请定义允许的分组、保留的维度和披露风险。删除可见的客户列并不一定会使数据匿名化；罕见的组合和深入研究仍然可以揭示单个组织或工作流程。
将目的地访问视为单独的决定
记录目标系统、存储位置、允许的读者、管理员、服务身份、保留策略和任何后续共享。私有源应用程序无法补偿放置在可广泛访问的分析工作区中的导出。对目的地的访问应符合批准的目的和数据范围。不要假设共享仪表板的行级过滤器也可以保护可下载的基础数据或每个替代查询接口。
要求目的地所有者描述实际的执行控制和支持的负面测试。文件、数据库和分析产品之间的这些可能有所不同。该手稿没有发明通用的行级安全功能，也没有断言仪表板控件可以保护所有导出格式。可发布的实施示例必须识别真实目的地、其当前配置以及表明未经授权的读者无法访问其他租户的记录的证据。
考虑到诊断价值，最小化和编辑
定义分析目的所需的最小字段。身份验证报告可能包含客户视为机密的域、发送基础设施、消息相关标识符和操作上下文。在共享之前删除不必要的个人或敏感字段，同时保留解释指标所需的维度。修订计划应记录哪些关系仍然可见，以及哪些解释在修订后不再可能。
使用合成夹具进行此处建议的验收测试。合成数据应该可以由租户区分，并包括故意的边缘情况，例如相似的显示名称、共享的提供商标签和历史域重新分配。不要将生产行复制到测试中，因为名称稍后会被隐藏。经过编辑的输出是一个转换结果的证据，而不是证明未来的每一项导出都将保持在范围内。
出口边界工作表
创建包含请求者身份、源租户绑定、授权资源集、查询或作业版本、字段列表、转换规则、目标、允许的读者和保留所有者的工作表。为每个边界添加证据引用，而不是单个“导出安全”复选框。将任何多租户数据集的批准与普通租户报告的批准分开记录。目标受众和目的应在整个记录中保持清晰可见。
验证部分应确定固定装置租户、预期选择的行、排除的行、编辑预期和目标访问测试。包括调用者提供另一个租户的标识符的情况以及目标读取器尝试未经授权的深入挖掘或下载的情况。这些建议测试仅在受控环境中经过授权才能运行。在此工作期间未执行跨租户请求或目标访问尝试。
虚构诊断：正确的查询和广阔的工作空间
一个虚构的团队使用正确的源过滤器导出一个客户的身份验证摘要。然后，输出被放置在共享分析工作区中，其查看者包括分配给其他客户的员工。源查询正确，但目标访问与预期受众不匹配。团队无法通过仅显示源过滤器来声明导出安全。
拟议的审查追踪两个边界，并要求目的地所有者使用合成装置验证访问权限。它还检查基础下载和计划分发是否遵循与可见仪表板相同的限制。此场景是虚构的，不是观察到的披露或有关指定分析服务的声明。没有导出或共享真实的客户数据。教训是源正确性和目的地机密性是独立的验收标准。
涵盖生命周期变化和可重复作业
计划导出需要当前的授权决策，而不仅仅是创建作业时存在的批准。客户可能会离开，员工可能会改变角色，或者目标受众可能会扩大。定义这些更改如何影响作业以及如何检测过时的访问。 RFC 7643 描述用户管理状态，同时将其最终含义留给服务提供商；不应假定生命周期更新会自动撤销每个计划的导出或目的地权利。
记录谁负责定期审查以及什么触发立即重新评估。包括对租户映射、查询逻辑、目标权限和编辑规则的更改。保留作业版本和证据，以便后来的审阅者可以重建所选内容以及谁可以接收它。不要承诺单个负面测试证明在未来的每种配置下都是隔离的。
仅在多租户证据的情况下发布
该目录需要多租户装置来验证源选择、目标访问和编辑输出。该证据仍然存在。该草案提供了建议的工作表和虚构示例，而不是测试装置、导出的文件或访问结果。它没有声称EmailAuth或目标产品已经实现了这些要求。
人类专家审查、来源适用性、生产路线、视觉可访问性和所有者发布也保持开放。可发布的实现需要授权的合成装置、保留的输出、记录的源和目标配置以及实际的负面结果。由此产生的证据应展示从批准范围到允许受众的完整路径，而无需收集真实的租户秘密或暴露客户数据。