共用方式為

允許來賓存取和 B2B 外部使用者存取的原則

  • 發行項

本文討論調整建議的 零信任 身分識別和裝置存取原則，以允許具有 Microsoft Entra Business-to-Business （B2B） 帳戶的來賓和外部使用者存取。 本指南以一般身分識別和裝置存取原則為基礎。

這些建議的設計目的是要套用至 保護的起點 層。 但您也可以根據企業和特製化安全性保護的特定需求來調整建議。

為 B2B 帳戶提供向 Microsoft Entra 租使用者進行驗證的路徑，並不會授與這些帳戶對您整個環境的存取權。 B2B 使用者及其帳戶可以存取服務和資源，例如檔案，透過條件式存取原則與他們共用。

更新通用原則以允許和保護來賓和外部使用者存取

下圖顯示哪些原則要新增或更新通用身分識別和裝置存取原則，以供 B2B 來賓和外部使用者存取。

顯示保護來賓存取之原則更新摘要的圖表。

下表列出您需要建立和更新的原則。 通用身分識別和裝置存取原則一文中相關聯的設定指示連結。

保護等級 原則 其他相關資訊
起點 來賓和外部使用者一律需要 MFA 建立此新原則並設定：
  • 針對 [ > 指派使用者和群組 > 包含]，選擇 [ 選取使用者和群組]，然後選取 [ 所有來賓和外部使用者]。
  • 針對 [指派條件>] [登入風險]，然後選取 [所有>登入風險層級]。
登入風險為 中 或 高時需要 MFA 修改此原則以排除來賓和外部使用者。

若要在條件式存取原則中包含或排除來賓和外部使用者，針對 [指派>使用者和群組>包含] 或 [排除]，請檢查 [所有來賓和外部使用者]。

排除來賓和外部使用者的控制件螢幕快照。

其他相關資訊

來賓和外部使用者透過 Microsoft Teams 存取

Microsoft Teams 會定義下列使用者：

  • 來賓存取 會使用可新增為小組成員的 Microsoft Entra B2B 帳戶，並存取小組的通訊和資源。

  • 外部存取 適用於沒有 B2B 帳戶的外部使用者。 外部使用者存取包括邀請、通話、聊天和會議，但不包含小組成員資格和小組資源的存取權。

如需詳細資訊，請參閱 來賓與小組外部使用者存取之間的比較。

如需保護 Teams 身分識別和裝置存取原則的詳細資訊，請參閱 保護 Teams 聊天、群組和檔案的原則建議。

來賓和外部使用者一律需要 MFA

此原則會提示來賓在您的租用戶中註冊 MFA，不論他們是否已在主租用戶中註冊 MFA。 需要來賓和外部使用者存取租使用者中的資源，才能針對每個要求使用 MFA。

將來賓和外部使用者排除在風險型 MFA 之外

雖然組織可以使用 Microsoft Entra ID Protection 為 B2B 使用者強制執行以風險為基礎的原則，但對於資源目錄中 B2B 共同作業使用者的 Microsoft Entra ID Protection 實作有限制，因為他們的身分識別存在於主目錄中。 由於這些限制，Microsoft 建議您將來賓排除在風險型 MFA 原則中，並要求這些使用者一律使用 MFA。

如需詳細資訊，請參閱 B2B 共同作業使用者的標識碼保護限制。

從裝置管理中排除來賓和外部使用者

只有一個組織可以管理裝置。 如果您未從需要裝置合規性的原則中排除來賓和外部使用者，這些原則會封鎖這些使用者。

後續步驟

Microsoft 365 雲端應用程式和 適用於雲端的 Microsoft Defender Apps 原則的螢幕快照。

針對下列項目設定條件式存取原則：