在 Microsoft Entra 外部 ID 中配置 B2B 外部协作设置

适用于： 员工租户白色 外部租户（了解详细信息）

可以通过外部协作设置指定组织中的哪些角色能够邀请外部用户进行 B2B 协作。 这些设置还包括 允许或阻止特定域的选项，以及限制外部来宾用户在 Microsoft Entra 目录中可见内容的选项。 可使用以下选项：

• 确定来宾用户访问：Microsoft Entra 外部 ID 允许您限制外部来宾用户在 Microsoft Entra 目录中可以查看的内容。 例如，可以限制来宾用户查看组成员身份，或允许来宾仅查看其自己的个人资料信息。

• 默认情况下，组织中的所有用户（包括 B2B 协作来宾用户）均可邀请外部用户进行 B2B 协作。 若要限制发送邀请的能力，可以为所有人打开或关闭邀请，或将邀请限制为特定角色。

• 通过用户流启用来宾用户自助注册：对于构建的应用程序，也可以创建用户流，以允许用户注册应用并创建新的来宾帐户。 可以在外部协作设置中启用该功能，然后将 自助注册用户流添加到应用。

• 允许或阻止域：可以使用协作限制允许或拒绝所指定域的邀请。 有关详细信息，请参阅 允许或阻止域。

对于与其他 Microsoft Entra 组织进行 B2B 协作，您还应检查跨租户访问设置，以确保 B2B 协作的入站和出站访问权限适用于特定用户、组以及应用程序。

对于执行跨租户登录的 B2B 协作最终用户，即使未指定自定义品牌，也会显示其主租户品牌。 在以下示例中，Woodgrove Groceries 的公司品牌显示在左侧。 右侧的示例显示用户主租户的默认品牌。

在门户中配置设置

配置来宾用户访问

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>外部身份>外部协作设置。

3. 在“来宾用户访问”下，选择希望来宾用户拥有的访问级别：

   

   • 来宾用户具有与成员相同的访问权限（最具包容性）：此选项为来宾提供与成员用户相同的 Microsoft Entra 资源和目录数据的访问权限。

   • 来宾用户对目录对象的属性和成员身份的访问权限有限：（默认值）此设置阻止来宾执行某些目录任务，例如枚举用户、组或其他目录资源。 来宾可以看到所有非隐藏组的成员身份。 详细了解默认来宾权限。

   • 来宾用户访问仅限于其自己的目录对象的属性和成员身份（限制最严格）：通过此设置，来宾只能访问自己的配置文件。 不允许来宾查看其他用户的配置文件、组或组成员身份。

配置来宾邀请设置

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>外部身份>外部协作设置。

3. 在 “来宾邀请设置”下，选择相应的设置：

   

   • 组织中的任何人都可以邀请来宾用户（包括来宾和非管理员）：若要允许组织中的来宾邀请其他来宾（包括非组织成员的用户），请选择此单选按钮。
   • 成员用户和分配到特定管理员角色的用户可以邀请来宾用户(包括具有成员权限的来宾)：若要允许成员用户和具有特定管理员角色的用户邀请来宾，请选择此单选按钮。
   • 只有分配给特定管理员角色的用户才能邀请来宾用户：若要仅允许具有 用户管理员 或 来宾邀请者 角色的用户邀请来宾，请选择此单选按钮。
   • 组织中的任何人都不能邀请来宾用户（包括管理员）（最严格）：若要拒绝组织中的每个人邀请来宾，请选择此单选按钮。

配置来宾自助注册

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>外部身份>外部协作设置。

3. 在启用通过用户流进行来宾自助注册下，如果希望能够创建允许用户注册应用的用户流，请选择是。 有关此设置的详细信息，请参阅 向应用添加自助注册用户流。

   

配置外部用户离开设置

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>外部身份>外部协作设置。

3. 在 “外部用户离开设置”下，可以控制外部用户是否可以从组织中删除自己。

   • 是：用户无需管理员或隐私联系人批准即可离开组织。
   • 否：用户无法自行离开组织。 用户看到一条消息，该消息指导他们联系管理员或隐私联系人以请求从组织中进行移除。

   重要

   仅当您已将您的隐私信息添加到 Microsoft Entra 租户时，您才能配置外部用户离开设置。 否则，此设置将不可用。

   

配置协作限制（允许或阻止域）

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>外部身份>外部协作设置。

3. 在 协作限制下，可以选择是允许还是拒绝你指定的域的邀请，并在文本框中输入特定的域名。 若要阻止多个域，请分行输入每个域。 有关详细信息，请参阅 允许或阻止来自特定组织的 B2B 用户的邀请。

   

使用 Microsoft Graph 配置设置

可以使用 Microsoft 图形 API 配置外部协作设置：

• 对于 来宾用户访问限制 和 来宾邀请限制，请使用 authorizationPolicy 资源类型。
• 对于启用来宾自助服务注册的设置，请使用authenticationFlowsPolicy 资源类型。
• 对于 外部用户离开设置，请使用 externalidentitiespolicy 资源类型。
• 对于电子邮件一次性密码设置（现在在 Microsoft Entra 管理中心“所有标识提供者”的页面上），请使用 emailAuthenticationMethodConfiguration 资源类型。

将“来宾邀请者”角色分配给用户

借助 “来宾邀请者 ”角色，你可以为单个用户提供邀请来宾的能力，而无需为其分配更高的特权管理员角色。 具有来宾邀请者角色的用户即使在选择了只有分配有特定管理员角色的用户才能邀请来宾用户（位于来宾邀请设置下）时，也能够邀请来宾。

下面是一个示例，它展示了如何使用 PowerShell 将用户添加到“Guest Inviter”角色：

Import-Module Microsoft.Graph.Identity.DirectoryManagement

$roleName = "Guest Inviter"
$role = Get-MgDirectoryRole | where {$_.DisplayName -eq $roleName}
$userId = <User Id/User Principal Name>

$DirObject = @{
  "@odata.id" = "https://graph.microsoft.com/v1.0/directoryObjects/$userId"
  }

New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $DirObject

B2B 用户的登录日志

当 B2B 用户登录到资源租户进行协作时，主租户和资源租户中均会生成登录日志。 这些日志包括主租户和资源租户所使用的应用程序、电子邮件地址、租户名称和租户 ID 等信息。

后续步骤

请参阅以下有关 Microsoft Entra B2B 协作的文章：

• 什么是Microsoft Entra B2B 协作？
• 将 B2B 协作用户添加到角色