使用 Maester 自动化 Microsoft 365 安全检查

部署 Microsoft 365 通常始于良好的初衷：配置了条件访问、启用了管理员的多因素身份验证、限制了来宾用户对敏感组的访问。半年过去了，团队成员变动，有人为了快速修复禁用了某条规则却忘记重新启用。这通常是在审计期间或事件发生后才发现的。

手动通过 Entra ID 门户监控租户状态，或让工程师每月点击数十个菜单，既繁琐又不可靠。自动化测试早已被用于验证服务器基础设施配置。Maester 项目将这种方法适配到了 Microsoft 365 环境。

Maester 是什么

Maester 是一个基于 PowerShell 和流行的 Pester 引擎构建的测试框架。其主要目的是针对你的 M365 租户运行一系列检查，根据安全最佳实践验证设置，并生成详细报告。

该工具集成了 Microsoft Graph API、M365 管理模块和熟悉的 Pester 测试。如果你曾经用 PowerShell 编写过单元测试，Maester 的语法会让你感到非常熟悉。

快速入门和启动

开始使用只需要 PowerShell 和几个命令。安装可直接从 PowerShell Gallery 完成：

Install-Module -Name Maester -Scope CurrentUser

安装后，创建一个工作文件夹并下载现成的测试套件：

md ~/maester-tests
cd ~/maester-tests
Install-MaesterTests

运行测试涉及两个步骤：身份验证和调用运行器本身。

cd ~/maester-tests
Connect-Maester
Invoke-Maester

Connect-Maester 命令请求向 Microsoft Entra 进行身份验证。顺便说一句，有一个参数可用于处理主权云（如 USGov 或中国区）：

Connect-Maester -Environment USGov

功能概述

现成的测试可验证基本设置：条件访问策略、MFA 状态、密码配置、外部共享参数和管理员角色。该框架的实际价值体现在以下几个方面。

自定义 Pester 测试

你不必局限于仓库中的标准测试集。tests 文件夹中的任何 .tests.ps1 文件都会成为整体运行的一部分。如果你的组织禁止创建指向 SharePoint 文件的公开链接，你可以编写一个简短的 Pester 测试，通过 Microsoft Graph API 验证此设置。

多种报告格式

结果可以导出为 HTML、JSON、CSV、Excel 或 Markdown 格式。交互式 HTML 报告便于向审计人员展示或上传到内部 Web 资源。

聊天通知

结果不一定要在控制台中阅读。脚本会将摘要发送到 Microsoft Teams、Slack 或电子邮件。如果有人在夜间更改了关键安全策略，团队将在第二天早上的工作频道中看到消息。

CI/CD 集成

该框架符合 DevSecOps 理念。在 GitHub Actions、Azure DevOps 或 GitLab CI 中设置定期运行很容易。作者在 GitHub Marketplace 中发布了一个现成的 action（maester365/maester-action），可将检查结果输出到管道摘要中。

注意事项

在仓库描述中，开发者警告了 ExchangeOnlineManagement 模块 3.9.2 版本的不稳定问题。使用此版本进行连接尝试通常会导致错误。失败与 Microsoft 模块本身有关，而非 Maester，因此最好暂时使用旧版本的 ExchangeOnlineManagement。

另一个问题是测试的时效性。Microsoft 安全标准和 API 经常变化。为了保持检查的最新状态，你需要偶尔使用 Update-MaesterTests 命令拉取新测试。

总结

Maester 对管理 Microsoft 365 租户的系统管理员、安全工程师和 DevOps 专业人员非常有用。该工具将安全审计从繁琐的手动工作转变为自动化的代码验证。如果你想监控租户中的更改并接收有关配置漂移的通知，该项目值得在你的基础设施中进行测试。