Настройка параметров доступа между клиентами для совместной работы B2B

• Прежде чем настраивать параметры доступа между арендаторами, ознакомьтесь с разделом Важные сведения в статье Общие сведения о доступе между арендаторами.
• Используйте средства и следуйте рекомендациям в разделе "Идентификация входящих и исходящих входов ", чтобы понять, какие внешние организации и ресурсы Microsoft Entra в настоящее время обращаются к ним.
• Определите уровень доступа по умолчанию, который вы хотите применить ко всем внешним организациям Microsoft Entra.
• Определите все организации Microsoft Entra, которые нуждаются в настраиваемых параметрах, чтобы настроить для них параметры организации.
• Если вы хотите применить параметры доступа к определенным пользователям, группам или приложениям во внешней организации, перед настройкой параметров необходимо связаться с организацией. Получите идентификаторы объектов пользователей, идентификаторы групп или идентификаторы приложений (идентификаторы клиентских приложений или идентификаторы приложений-ресурсов), чтобы можно было правильно выбрать параметры.
• Если вы хотите настроить совместную работу B2B с партнерской организацией во внешнем облаке Microsoft Azure, выполните действия, описанные в разделе Настройка параметров облака Microsoft. Администратор в партнерской организации должен сделать то же самое для вашего клиента.
• Список разрешений и блокировок и параметры доступа между клиентами проверка во время приглашения. Если домен пользователя находится в списке разрешений, его можно пригласить, если домен явно не заблокирован в параметрах доступа между клиентами. Если домен пользователя находится в списке блокировок, он не может быть приглашен независимо от параметров доступа между клиентами. Если пользователь отсутствует в любом списке, мы проверка параметры доступа между клиентами, чтобы определить, могут ли они быть приглашены.

Параметры доступа между клиентами по умолчанию применяются ко всем внешним организациям, для которых вы не создали настраиваемые параметры для конкретной организации. Если вы хотите изменить параметры идентификатора Microsoft Entra, предоставленные по умолчанию, выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа внешних>удостоверений>между клиентами, а затем выберите параметры доступа между клиентами.

3. Перейдите на вкладку Параметры по умолчанию и просмотрите страницу сводки.

   

4. Чтобы изменить параметры, выберите ссылку Изменить параметры по умолчанию для входящего трафика или Изменить параметры по умолчанию для входящего трафика.

   

5. Измените параметры по умолчанию, выполнив действия в следующих разделах:

   • Изменение параметров входящего доступа
   • Изменение параметров исходящего доступа

Выполните приведенные ниже действия, чтобы задать настраиваемые параметры для конкретных организаций.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа между клиентами для внешних удостоверений удостоверений>>, а затем выберите параметры организации.

3. Выберите Добавить организацию.

4. В области Добавить организацию введите полное доменное имя (или идентификатор клиента) для организации.

   

5. Выберите организацию в результатах поиска и нажмите кнопку Добавить.

6. Организация отобразится в списке Параметры организации. На этом этапе все параметры доступа для этой организации наследуются от параметров по умолчанию. Чтобы изменить параметры для этой организации, выберите ссылку Унаследовано от значения по умолчанию в столбце Входящий доступ или Исходящий доступ.

   

7. Измените параметры организации, выполнив действия в следующих разделах:

   • Изменение параметров входящего доступа
   • Изменение параметров исходящего доступа

При использовании входящих параметров вы выбираете, какие внешние пользователи и группы могут получить доступ к выбранным внутренним приложениям. Действия по изменению параметров входящего доступа между арендаторами одинаковы как для параметров по умолчанию, так и для параметров организации. Как описано в этом разделе, перейдите на вкладку по умолчанию или организацию на вкладке "Параметры организации", а затем внесите изменения.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа внешних>удостоверений>между клиентами.

3. Перейдите к параметрам, которые нужно изменить:

   • Параметры по умолчанию. Чтобы изменить параметры входящего доступа по умолчанию, перейдите на вкладку Параметры по умолчанию, а затем в разделе Параметры входящего доступа выберите Изменить параметры по умолчанию для входящего трафика.
   • Параметры организации. Чтобы изменить параметры для конкретной организации, перейдите на вкладку Параметры организации, найдите организацию в списке (или добавьте ее), а затем выберите ссылку в столбце Входящий доступ.

4. Следуйте инструкциям для параметров входящего доступа, которые вы хотите изменить:

   • Изменение параметров входящего доступа для службы совместной работы B2B
   • Изменение параметров входящего доверия для MFA и утверждений устройств

Изменение параметров входящего доступа для службы совместной работы B2B

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа между клиентами для внешних удостоверений удостоверений>>, а затем выберите параметры организации

3. Выберите ссылку в столбце входящего доступа и вкладке совместной работы B2B.

4. Если вы настраиваете параметры входящего доступа для определенной организации, выберите параметр:

   • Параметры по умолчанию. Выберите этот параметр, если требуется, чтобы в организации использовались параметры входящего доступа по умолчанию (настроенные на вкладке параметров По умолчанию). Если настроенные параметры уже настроены для этой организации, необходимо выбрать "Да ", чтобы убедиться, что все параметры будут заменены параметрами по умолчанию. Затем выберите Сохранитьи пропустите остальные шаги в этой процедуре.

   • Настройка параметров. Выберите этот параметр, если вы хотите настроить параметры для применения для этой организации вместо параметров по умолчанию. Далее выполните остальные шаги этой процедуры.

5. Выберите Внешние пользователи и группы.

6. В разделе Состояние доступа выберите один из следующих вариантов:

   • Разрешить доступ. Разрешить приглашать пользователей и группы, указанные в разделе Область применения, для совместной работы B2B.
   • Запретить доступ. Запретить приглашать пользователей и группы, указанные в разделе Область применения, для совместной работы B2B.

   

7. В разделе Область применения выберите один из следующих вариантов:

   • Все внешние пользователи и группы: применяет действие, выбранное в разделе " Доступ" ко всем пользователям и группам из внешних организаций Microsoft Entra.
   • Выберите внешних пользователей и группы (требуется подписка Microsoft Entra ID P1 или P2). Позволяет применить действие, выбранное в разделе " Доступ" для определенных пользователей и групп во внешней организации.

   Примечание.

   Если вы блокируете доступ для всех внешних пользователей и групп, вам также потребуется заблокировать доступ ко всем внутренним приложениям (на вкладке Приложения).

   

8. Если вы выбрали Выбор внешних пользователей и групп, выполните следующие действия для каждого добавляемого пользователя или группы:

   • Выберите Добавление внешних пользователей и групп.
   • В области Добавить прочих пользователей и группы в поле поиска введите идентификатор объекта пользователя или идентификатор объекта группы, полученный от партнерской организации.
   • В меню рядом с полем поиска выберите вариант Пользователь или Группа.
   • Выберите Добавить.

   Примечание.

   Вы не можете использовать целевые пользователи или группы в параметрах по умолчанию для входящего трафика.

   

9. Завершив добавление пользователей и групп, нажмите кнопку Отправить.

   

10. Выберите вкладку Приложения .

11. В разделе Состояние доступа выберите один из следующих вариантов:

    • Разрешить доступ. Позволяет пользователям совместной работы B2B получать доступ к приложениям, указанным в разделе Область применения.
    • Запретить доступ. Запрещает пользователям совместной работы B2B получать доступ к приложениям, указанным в разделе Область применения.

    

12. В разделе Область применения выберите один из следующих вариантов:

    • Все приложения. Применяет выбранное в разделе Состояние доступа действие ко всем приложениям.
    • Выберите приложения (требуется подписка Microsoft Entra ID P1 или P2). Позволяет применить действие, выбранное в разделе "Доступ " к определенным приложениям в вашей организации.

    Примечание.

    Если вы блокируете доступ ко всем приложениям, вам также потребуется заблокировать доступ для всех внешних пользователей и групп (на вкладке Внешние пользователи и группы).

    

13. Если вы выбрали Выбор приложений, выполните следующие действия для каждого приложения, которое нужно добавить:

    • Выберите Добавить приложения Майкрософт или Добавить другие приложения.
    • В области Выбор введите в поле поиска имя приложения или идентификатор приложения (идентификатор клиентского приложения или идентификатор приложения-ресурса). Затем выберите приложение в результатах поиска. Повторите эти действия для каждого приложения, которое нужно добавить.
    • Завершив выбор приложений, нажмите кнопку Выбрать.

    

14. Выберите Сохранить.

Добавление приложения Microsoft Администратор Portals в службу совместной работы B2B

Вы не можете напрямую добавить приложение Microsoft Администратор Portals в параметры доступа между клиентами входящего и исходящего трафика в Центре администрирования Microsoft Entra. Однако вы можете добавить приложения, перечисленные ниже по отдельности, с помощью API Microsoft Graph.

Следующие приложения входят в группу приложений Microsoft Администратор Portals:

• Портал Azure (c44b4083-3bb0-49c1-b47d-974e53cbdf3c)
• Центр microsoft Entra Администратор (c44b4083-3bb0-49c1-b47d-974e53cbdf3c)
• Портал Microsoft 365 Defender (80ccca67-54bd-44ab-8625-4b79c4dc7775)
• Центр Администратор Microsoft Intune (80ccca67-54bd-44ab-8625-4b79c4dc7775)
• Портал соответствия Требованиям Microsoft Purview (80ccca67-54bd-44ab-8625-4b79c4dc7775)

Настройка заказа на активацию

Чтобы настроить порядок поставщиков удостоверений, которые гостевые пользователи могут использовать для входа при принятии приглашения, выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra с помощью учетной записи Глобального Администратор istrator или Администратор istrator. Затем откройте службу удостоверений слева.

2. Выберите Внешние удостоверения>Параметры доступа между арендаторами.

3. В разделе "Параметры организации" выберите ссылку в столбце "Входящий доступ " и вкладке совместной работы B2B.

4. Перейдите на вкладку "Заказ активации".

5. Переместите поставщиков удостоверений вверх или вниз, чтобы изменить порядок входа гостевых пользователей при принятии приглашения. Вы также можете сбросить заказ активации на параметры по умолчанию.

   

6. Выберите Сохранить.

Вы также можете настроить заказ активации с помощью API Microsoft Graph.

1. Откройте Обозреватель Microsoft Graph.

2. Войдите с помощью учетной записи глобального Администратор istrator или учетной записи Администратор istrator в клиенте ресурсов.

3. Выполните следующий запрос, чтобы получить текущий заказ на активацию:

GET https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/default

4. В этом примере мы переместим федерацию поставщика удостоверений SAML/WS-Fed в начало заказа на активацию выше поставщика удостоверений Microsoft Entra. Исправляйте тот же URI с этим текстом запроса:

{
  "invitationRedemptionIdentityProviderConfiguration":
  {
  "primaryIdentityProviderPrecedenceOrder": ["ExternalFederation ","AzureActiveDirectory"],
  "fallbackIdentityProvider": "defaultConfiguredIdp "
  }
}

5. Чтобы проверить изменения, снова запустите запрос GET.

6. Чтобы сбросить заказ активации на параметры по умолчанию, выполните следующий запрос:

    {
    "invitationRedemptionIdentityProviderConfiguration": {
    "primaryIdentityProviderPrecedenceOrder": [
    "azureActiveDirectory",
    "externalFederation",
    "socialIdentityProviders"
    ],
    "fallbackIdentityProvider": "defaultConfiguredIdp"
    }
    }

Федерация SAML/WS-Fed (прямая федерация) для проверенных доменов Идентификатора Microsoft Entra

Теперь вы можете добавить проверенный домен Microsoft Entra ID, чтобы настроить прямую связь федерации. Сначала необходимо настроить конфигурацию прямой федерации в Центре администрирования или через API. Убедитесь, что домен не проверен в одном клиенте. После настройки конфигурации можно настроить заказ на активацию. Поставщик удостоверений SAML/WS-Fed добавляется в заказ на активацию в качестве последней записи. Его можно переместить в порядке активации, чтобы задать его над поставщиком удостоверений Microsoft Entra.

Запретить пользователям B2B активировать приглашение с помощью учетных записей Майкрософт

Чтобы запретить гостевым пользователям B2B активировать приглашение с помощью существующих учетных записей Майкрософт или создания нового, чтобы принять приглашение, выполните указанные ниже действия.

1. Войдите в Центр администрирования Microsoft Entra с помощью учетной записи Глобального Администратор istrator или Администратор istrator. Затем откройте службу удостоверений слева.

2. Выберите Внешние удостоверения>Параметры доступа между арендаторами.

3. В разделе "Параметры организации" выберите ссылку в столбце "Входящий доступ " и вкладке совместной работы B2B.

4. Перейдите на вкладку "Заказ активации".

5. В разделе "Резервные поставщики удостоверений" отключите учетную запись службы Майкрософт (MSA).

   

6. Выберите Сохранить.

Необходимо включить по крайней мере один резервный поставщик удостоверений в любое время. Если вы хотите отключить учетные записи Майкрософт, необходимо включить одноразовый секретный код электронной почты. Вы не можете отключить оба резервных поставщика удостоверений. Все существующие гостевые пользователи, вошедшего в систему с помощью учетных записей Майкрософт, продолжают использовать его во время последующих входов. Необходимо сбросить состояние активации для применения этого параметра.

Изменение параметров входящего доверия для MFA и утверждений устройств

1. Перейдите на вкладку Параметры доверия.

2. (Этот шаг применяется только к параметрам организации.) Если вы настраиваете параметры для организации, выберите один из следующих параметров.

   • Параметры по умолчанию: организация использует параметры, настроенные на вкладке "Параметры по умолчанию ". Если настроенные параметры уже настроены для этой организации, выберите "Да ", чтобы убедиться, что все параметры будут заменены параметрами по умолчанию. Затем выберите Сохранитьи пропустите остальные шаги в этой процедуре.

   • Настройка параметров. Параметры можно настроить для применения для этой организации вместо параметров по умолчанию. Далее выполните остальные шаги этой процедуры.

3. Выберите один или несколько следующих параметров:

   • Доверять многофакторной проверке подлинности из клиентов Microsoft Entra: выберите этот проверка box, чтобы разрешить политикам условного доступа доверять утверждениям MFA из внешних организаций. Во время проверки подлинности идентификатор Microsoft Entra проверка учетные данные пользователя для утверждения о завершении многофакторной проверки подлинности. В противном случае вызов MFA инициируется в домашнем клиенте пользователя.

   • Доверенные устройства: позволяет политикам условного доступа доверять утверждениям устройств из внешней организации при доступе пользователей к ресурсам.

   • Доверять гибридным устройствам Microsoft Entra: позволяет политикам условного доступа доверять утверждениям гибридного присоединенного устройства Microsoft Entra из внешней организации при доступе пользователей к ресурсам.

   

4. (Этот шаг применяется к Только параметры организации.) Просмотрите параметр автоматического активации :

   • Автоматическое активация приглашений с клиентом клиента<>. Проверьте этот параметр, если вы хотите автоматически активировать приглашения. Если это так, пользователям из указанного клиента не придется принимать запрос согласия при первом доступе к этому клиенту с помощью межтенантной синхронизации, совместной работы B2B или прямого подключения B2B. Этот параметр подавляет запрос согласия, если указанный клиент также проверка этот параметр для исходящего доступа.

   

5. Выберите Сохранить.

Разрешить пользователям синхронизироваться с этим клиентом

Если выбрать входящий доступ к добавленной организации, вы увидите вкладку синхронизации между клиентами и поле "Разрешить пользователям синхронизироваться с этим клиентом проверка". Синхронизация между клиентами — это односторонняя служба синхронизации в идентификаторе Microsoft Entra, которая автоматизирует создание, обновление и удаление пользователей совместной работы B2B в организации. Дополнительные сведения см. в разделе "Настройка межтенантной синхронизации " и документации по мультитенантным организациям.

Изменение параметров исходящего доступа

При использовании исходящих параметров вы выбираете, какие из пользователей и групп могут получить доступ к выбранным внешним приложениям. Действия по изменению параметров исходящего доступа между арендаторами одинаковы как для параметров по умолчанию, так и для параметров организации. Как описано в этом разделе, перейдите на вкладку по умолчанию или организацию на вкладке "Параметры организации", а затем внесите изменения.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа внешних>удостоверений>между клиентами.

3. Перейдите к параметрам, которые нужно изменить:

   • Чтобы изменить параметры исходящего доступа по умолчанию, перейдите на вкладку Параметры по умолчанию, а затем в разделе Параметры исходящего доступа выберите Изменить параметры по умолчанию для исходящего трафика.

   • Чтобы изменить параметры для конкретной организации, перейдите на вкладку Параметры организации, найдите организацию в списке (или добавьте ее), а затем выберите ссылку в столбце Исходящий доступ.

4. Перейдите на вкладку Совместная работа B2B.

5. (Этот шаг применяется к Только параметры организации.) Если вы настраиваете параметры для организации, выберите параметр:

   • Параметры по умолчанию: организация использует параметры, настроенные на вкладке "Параметры по умолчанию ". Если настроенные параметры уже настроены для этой организации, необходимо выбрать "Да ", чтобы убедиться, что все параметры будут заменены параметрами по умолчанию. Затем выберите Сохранитьи пропустите остальные шаги в этой процедуре.

   • Настройка параметров. Параметры можно настроить для применения для этой организации вместо параметров по умолчанию. Далее выполните остальные шаги этой процедуры.

6. Выберите Пользователи и группы

7. В разделе Состояние доступа выберите один из следующих вариантов:

   • Разрешить доступ. Позволяет приглашать пользователей и группы, указанные в разделе Область применения, во внешние организации для совместной работы B2B.
   • Запретить доступ. Запрещает приглашать пользователей и группы, указанные в разделе Область применения, для совместной работы B2B. Если вы блокируете доступ для всех пользователей и групп, это также блокирует доступ ко всем внешним приложениям через совместную работу B2B.

   

8. В разделе Область применения выберите один из следующих вариантов:

   • Все пользователи <вашей организации>. Применяет выбранное действие в разделе Состояние доступа ко всем пользователям и группам.
   • Выберите <пользователей и группы организации> (требуется подписка Microsoft Entra ID P1 или P2). Позволяет применить действие, выбранное в разделе "Доступ" для определенных пользователей и групп.

   Примечание.

   Если вы блокируете доступ для всех пользователей и групп в организации, вам также потребуется заблокировать доступ ко всем внешним приложениям (на вкладке Внешние приложения).

   

9. Если вы выбрали Выбор пользователей и групп<вашей организации>, выполните следующие действия для каждого добавляемого пользователя или группы:

   • Выберите Добавить пользователей и группы <вашей организации>.
   • В области Выбор введите имя пользователя или группы в поле поиска.
   • Выберите пользователя или группу в результатах поиска.
   • Выбрав пользователей и группы, которые вы хотите добавить, нажмите кнопку Выбрать.

   Примечание.

   При выборе пользователей и групп нельзя выбрать пользователей, настроивших проверку подлинности на основе SMS. Это связано с тем, что пользователи, у которых есть "федеративные учетные данные" в объекте пользователя, блокируются, чтобы предотвратить добавление внешних пользователей в параметры исходящего доступа. В качестве обходного пути можно использовать API Microsoft Graph для добавления идентификатора объекта пользователя непосредственно или указания группы, к которой принадлежит пользователь.

10. Перейдите на вкладку Внешние приложения.

11. В разделе Состояние доступа выберите один из следующих вариантов:

    • Разрешить доступ. Позволяет пользователям вашей организации получать доступ к внешним приложениям, указанным в разделе Область применения, в рамках совместной работы B2B.
    • Запретить доступ. Запрещает пользователям вашей организации получать доступ к внешним приложениям, указанным в разделе Область применения, в рамках совместной работы B2B.

    

12. В разделе Область применения выберите один из следующих вариантов:

    • Все внешние приложения. Применяет выбранное в разделе Состояние доступа действие ко всем внешним приложениям.
    • Выбрать внешние приложения. Применяет выбранное в разделе Состояние доступа действие ко всем внешним приложениям.

    Примечание.

    Если вы блокируете доступ ко всем внешним приложениям, вам также потребуется заблокировать доступ для всех пользователей и групп в вашей организации (на вкладке Пользователи и группы).

    

13. Если вы выбрали Выбрать внешние приложения, выполните следующие действия для каждого приложения, которое нужно добавить:

    • Выберите Добавить приложения Майкрософт или Добавить другие приложения.
    • В поле поиска введите имя приложения или идентификатор приложения (идентификатор клиентского приложения или идентификатор приложения-ресурса). Затем выберите приложение в результатах поиска. Повторите эти действия для каждого приложения, которое нужно добавить.
    • Завершив выбор приложений, нажмите кнопку Выбрать.

    

14. Выберите Сохранить.

Изменение параметров исходящего доверия

(Этот раздел относится к Только параметры организации.)

1. Перейдите на вкладку Параметры доверия.

2. Просмотрите параметр автоматического активации :

   • Автоматическое активация приглашений с клиентом клиента<>. Проверьте этот параметр, если вы хотите автоматически активировать приглашения. Если это так, пользователи из этого клиента не должны принимать запрос согласия при первом доступе к указанному клиенту с помощью межтенантной синхронизации, совместной работы B2B или прямого подключения B2B. Этот параметр подавляет запрос согласия, только если указанный клиент также проверка этот параметр для входящего доступа.

     

3. Выберите Сохранить.

При удалении организации из параметров организации параметры доступа между клиентами по умолчанию входят в силу для этой организации.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор istrator безопасности.

2. Перейдите к параметрам доступа внешних>удостоверений>между клиентами.

3. Перейдите на вкладку Параметры организации.

4. Найдите организацию в списке, а затем нажмите на значок корзины в этой строке.