Microsoft Entra External ID: ניהול זהויות חיצוניות ודיירים

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

ניהול זהויות חיצוניות עם Microsoft Entra: הטמעת שותפים ואורחים, שיתוף פעולה B2B, גישה בין דיירים, Conditional Access וסקירות גישה.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID מסייע לארגונים לנהל זהויות של לקוחות, שותפים ואורחים שמחוץ לדייר הארגוני. התחילו בהפרדת התרחיש העסקי, הגדרת מחזור החיים של הזהות ושיטות ההתחברות, הקצאת בעלי אחריות, ובדיקת מדיניות הגישה עם משתמשים מייצגים. תכנון זהויות חיצוניות צריך לשלב מההתחלה חוויית משתמש, אבטחה, ממשל ועלות תפעולית.

Microsoft Entra External Identities מביא את העולם החיצון אל תוך המערכת האקולוגית של Microsoft 365 בצורה בטוחה. אם יש לכם שותפים, ספקים, קבלנים ואפילו כמה אורחים שצריכים גישה ל-Teams או ל-SharePoint, זה מה שמבטיח שהכול יעבוד חלק ובטוח. Entra מאפשר למשתמשים חיצוניים לשתף פעולה כאילו הם חלק מהצוות שלכם, בלי לתת לשועל לשוטט חופשי בלול התרנגולות.

עבור אנשי IT, המשמעות היא פחות לילות לחוצים בשאלה מי נמצא בדייר שלכם או אילו נתונים הוא בודק. Microsoft Teams, SharePoint ושאר משפחת Microsoft 365 הופכים למקומות בטוחים יותר שבהם כולם יכולים לעבוד יחד. מדריך זה מפרט בדיוק איך להטמיע, לנהל ולהרחיב זהויות חיצוניות תוך שמירה על עין פקוחה לדרישות אבטחה ותאימות, כי אף אחד לא רוצה לראות את שמו בכותרות של פריצה מחר בבוקר. למידע נוסף על הערך של מנגנוני הגנה חזקים לשיתוף פעולה, כדאי לקרוא על איך ממשל Teams הופך כאוס לשיתוף פעולה בטוח.

7 עובדות מפתיעות על Microsoft Entra External Identities

1. קנה מידה גדול להתחברות של לקוחות ושותפים: Entra ID External Identities תומך במיליוני משתמשים חיצוניים ויכול להתרחב כדי לטפל בכניסות גדולות של לקוחות, באמצעות הגבלת קצב חכמה מובנית ותשתית גלובלית, מה שהופך אותו למתאים ליישומים עמוסים הפונים ללקוחות.
2. תמחור לפי משתמש פעיל: במקום רישוי מסורתי לפי חשבון, Entra ID External Identities מציע תמחור מבוסס צריכה למשתמשים חיצוניים פעילים חודשיים, מה שיכול להפחית משמעותית עלויות ליישומים עם הרבה משתמשים לא קבועים.
3. תמיכה בספקי זהות חברתיים וארגוניים: אפשר לאפשר למשתמשים חיצוניים להתחבר באמצעות חשבונות חברתיים (Google, Facebook, Apple) או באמצעות איחוד זהויות ארגוני (SAML, OpenID Connect, Azure AD), וכך לקבל חוויית זהות גמישה ללא קוד אימות מותאם אישית.
4. שיתוף פעולה בין דיירים באמצעות הזמנות ואיחוד ישיר: Entra ID External Identities מאפשר שיתוף פעולה B2B באמצעות הזמנות, איחוד ישיר או ניהול זכאויות, ומפשט את הגישה של שותפים תוך שמירה על אבטחה וממשל.
5. Conditional Access ו-Identity Protection מובנים: על משתמשים חיצוניים יכולות לחול אותן מדיניות Conditional Access, MFA והגנות מבוססות סיכון הזמינות למשתמשים פנימיים, מה שמפחית את משטח התקיפה של זהויות לקוחות ושותפים.
6. מיתוג מותאם אישית ומסעות משתמש הניתנים להתאמה: באמצעות יכולות Azure AD B2C בתוך Entra ID External Identities, ארגונים יכולים ליצור חוויות הרשמה והתחברות עם מיתוג מלא ולהתאים מסעות משתמש לאימות, קישור חשבונות חברתיים ואיסוף פרופיל.
7. אינטגרציה חלקה עם מערכת Microsoft וממשקי API: Entra ID External Identities משתלב עם Microsoft Graph, יישומי Azure AD, בקרת גישה מבוססת תפקידים ושירותים במורד הזרם, ומאפשר ניהול מרכזי של זהויות חיצוניות בין יישומי Microsoft ליישומים מותאמים אישית.

מהן זהויות חיצוניות ב-Microsoft Entra

בעולם של Microsoft Entra, זהויות חיצוניות הן בדיוק מה שהשם מרמז עליו: חשבונות ששייכים לאנשים מחוץ לארגון שלכם. במקום לתת לזרים גישה מלאה כמו לעובדים פנימיים (דבר שאף אחד לא רוצה), Entra מאפשר להכניס משתמשים חיצוניים בתנאים מבוקרים. אלה יכולים להיות שותפים שעובדים על פרויקט משותף, ספקים שתומכים במערכות ה-IT שלכם, פרילנסרים שעוזרים בעיצוב, או לקוחות שניגשים לפורטל משותף.

אז מה בעצם הופך זהות ל"חיצונית"? בקצרה, מדובר בכל מי שמשתמש בפרטי ההזדהות שלו – למשל חשבון הארגון שלו, חשבון Microsoft או אפילו חשבון Google – כדי לגשת לאפליקציות, לחללי Teams או למסמכים משותפים שלכם. משתמשים פנימיים מקבלים את הזהות שלהם מהספרייה הארגונית שלכם. משתפי פעולה חיצוניים נכנסים עם מפתחות שהונפקו על ידי גורם אחר, אבל הגישה שלהם כפופה למדיניות האבטחה שלכם.

אילו תרחישי שימוש טיפוסיים? חשבו על שותף לבנייה שמשתף פעולה בפרויקט דרך Teams, או על שיתוף של מסמכים רגישים ב-SharePoint עם גוף ממשלתי. במקום ליצור שם משתמש וסיסמה חדשים לכל אדם מבחוץ, מזמינים אותו כאורח, מנהלים את ההרשאות שלו בהדוקה ושומרים על הפרדה ברורה בין פנים לחוץ. הגישה הזו עוזרת לארגונים לשתף פעולה בהיקף גדול, מצמצמת עומס ניהולי ומאפשרת לשמור על שליטה במי רואה מה, מתי ולמה. היא גם תומכת במאמצי הציות לתקנות, על ידי מעקב אחר גישה חיצונית ואכיפת בקרות אבטחה מההתחלה.

כשעבודה מודרנית דורשת שיתוף פעולה מעבר לקירות הארגון, הגדרת זהות חיצונית חזקה ב-Microsoft Entra היא כבר לא אופציה, אלא הכרח.

סקירה כללית של Microsoft Entra External ID ותכונות עיקריות

Microsoft Entra External ID היא התשובה של הפלטפורמה לשיתוף פעולה מאובטח וניתן להרחבה עם משתמשים שאינם חלק מהארגון המרכזי. חשבו עליו כעל השומר בכניסה – מכניס את האורחים הנכונים, שומר על הסדר באירוח, ודואג שאף אחד לא ייכנס לאזורים מוגבלים. בין אם אתם מארחים שותפים, ספקים או לקוחות ב-Microsoft Teams או ב-SharePoint, Entra External ID עוזר לקבל אותם עם הבקרות הנכונות שכבר במקומן.

בין התכונות העיקריות: ניהול קל של משתמשי אורח מסוג B2B (עסק לעסק), שילוב עם מגוון רחב של ספקי זהות ואפשרויות אימות גמישות. ניתן להזמין משתמשים באמצעות חשבונות העבודה, הלימודים או החברתיים שלהם, ולהתאים בדיוק את האופן שבו הם ניגשים למשאבים. משתמשים חיצוניים לא צריכים חשבון חדש לגמרי – הם יכולים להשתמש בחשבון שכבר מוכרים להם, ואתם קובעים את הגבולות באמצעות בקרות גישה ומדיניות חזקות.

Entra External ID אינו רק עניין של פתיחת הדלת, אלא גם של נעילתה לפי המפרט שלכם. אתם מקבלים ניהול משתמשים מרכזי דרך מרכז הניהול של Microsoft Entra, עם בקרות מתקדמות לניטור, ביקורת וניהול של כל אירוע גישה חיצוני. הפלטפורמה מאפשרת להגדיר מדיניות שונה לאורחים, לשלוט באילו מרחבי Teams ו-SharePoint הם ניגשים, ולוודא עמידה בדרישות הציות באמצעות תיעוד ודיווח נרחבים.

עבור אנשי IT, היתרון האמיתי הוא ש-Entra External ID תומך בכל התרחישים, החל מגישת אורחים פשוטה ועד לתרחישים מתקדמים – שיתוף פעולה בין דיירים, חוויות משתמשממותגות, מדיניות מותאמת אישית ותהליכים אוטומטיים. המשמעות היא פחות ניהול משתמשים ידני, שיתוף בטוח יותר וממשל זמין וברור ככל שהפרויקטים והשותפויות שלכם גדלים.

מדריך מימוש של Microsoft Entra External Identities

מימוש של Microsoft Entra External Identities עוסק במציאת האיזון הנכון בין שיתוף פעולה לשליטה. הסעיף הזה יעזור לכם להפעיל גישה חיצונית בצורה מחושבת, כך שהארגון ישמור על פרודוקטיביות ואבטחה ככל שמצטרפים משתפי פעולה חיצוניים. תראו כיצד Microsoft מאפשרת לחבר אורחים ושותפים לכלים שהם צריכים, כשאתם שולטים בגישה, באימות ובאכיפת המדיניות.

מסע המימוש מציג מושגים כמו שיתוף פעולה B2B, הגדרת גישה בין דיירים והגדרת מגוון ספקי זהות – שלכל אחד מהם תפקיד מרכזי באופן שבו אתם מזמינים משתמשים חיצוניים ושומרים על סדר. תקבלו גם הקשר לגבי הסיבה שתכנון אסטרטגי הוא חיוני: הגדרת הזמנות, תהליכי משתמש וכללים בין דיירים מראש פירושה פחות בלגן, פחות התפשטות לא מבוקרת ותוצאות צפויות יותר מבחינת אבטחה וממשל.

השלבים המפורטים שבהמשך מפרקים כל חלק מרכזי בתהליך – from הזמנה וניהול של משתמשים חיצוניים, דרך כוונון של ספקי הזהות הנתמכים, ועד הקמת יחסי אמון עם ארגוני שותפים. הפוקוס הוא תמיד על הפיכת שיתוף הפעולה לפשוט עבור המשתמשים, אך בטוח וניתן למעקב עבור צוותי IT וגורמי ציות. כדי להפיק את המרב מ-Entra External Identities, כדאי להבין את אבני הבניין לפני שצוללים לפרטים הטכניים בסעיפים הבאים.

הגדרת שיתוף פעולה B2B ב-Microsoft Entra

1. הוספת משתמשי אורח לדייר שלך: התחילו בהזמנת שותפים חיצוניים ישירות דרך מרכז הניהול של Microsoft Entra או דרך תהליכי העבודה המשולבים שלכם ב-Microsoft Teams/SharePoint. ניתן לשלוח הזמנות לכתובות הדוא"ל של העבודה, הלימודים או הדוא"ל האישי שלהם. תהליך הקליטה הזה מבטיח שכל משתמש אורח רשום, ניתן למעקב ומקושר למדיניות האבטחה שלכם.
2. הגדרת הגדרות ההזמנה: החליטו מי בארגון רשאי להזמין אורחים ואילו פרטים נדרשים בהזמנות. ניתן להגביל הזמנות למחלקות מסוימות או להפעיל שירות עצמי כדי להאיץ את שיתוף הפעולה בפרויקטים. כדאי להגדיר כללי הזמנה ברורים כדי להימנע משיתוף יתר לא מכוון.
3. הגדרת גישה והרשאות למשתמשים: לאחר ההזמנה, שייכו את משתמשי האורח לקבוצות, לערוצי Teams או לאתרי SharePoint המתאימים. השתמשו ב-RBAC (בקרת גישה מבוססת תפקידים) כדי להגביל משאבים רגישים, והחילו הגדרות שיתוף שמתיישבות עם מדיניות החברה. בקרות מדויקות יעזרו לכם למנוע התפשטות בלתי נשלטת של אורחים וחשיפה לא מכוונת.
4. שילוב עם ממשל Teams ו-SharePoint: החילו מדיניות שיתוף פעולה שמחזקת את יעדי האבטחה והתאימות שלכם. כפי שמוסבר במדריך זה על ממשל Teams, סטנדרטיזציה של הרשאות, מוסכמות שמות ומדיניות מחזור חיים מייעלת את ניהול האורחים ומצמצמת סיכוני דליפת מידע ובלבול.
5. ניטור וניהול הגישה המתמשכת: בדקו באופן קבוע מי מחזיק בגישה, הסירו או צמצמו הרשאות למשתמשים שאינם זקוקים עוד לזכויות שיתוף פעולה, ודרשו אישור מחדש לאורחים לטווח ארוך. מעקב שוטף אחר הגישה של אורחים מונע חשבונות יתומים ושומר על סביבת העבודה הדיגיטלית שלכם מאובטחת, כפי שמודגש בהנחיות בנושא ממשל Teams ובשיטות עבודה מומלצות לניהול שיתוף פעולה חיצוני.

הגדרת הגדרות גישה חוצת דיירים עבור זהויות חיצוניות

1. הגדרת יחסי אמון: קבעו אילו ארגונים חיצוניים (דיירים) ב-Microsoft Entra ייחשבו מהימנים לשיתוף פעולה. הדבר כולל ציון אילו דיירים רשאים להתחבר ואילו סוגי משתמשים מותרים — פנימיים, אורחים או שניהם. הגדרת היחסים הנכונים מההתחלה מניחה את היסוד לשיתוף פעולה מאובטח וזורם.
2. הגדרת גישה נכנסת ויוצאת: גישה נכנסת פירושה מתן אפשרות למשתמשים מדיירים חיצוניים להיכנס לסביבה שלכם. בקרות יוצאות שולטות במשתמשים מהארגון שלכם שיכולים לגשת למשאבים בדיירים אחרים. על ידי התאמת ההגדרות הללו תוכלו לקבוע מי יכול להיכנס ולצאת, ולמזער את החשיפה לסיכונים.
3. בקרה על משאבים משותפים: הקצו מדיניות לגבי הנתונים והשירותים שניתן לשתף מעבר לגבולות הדיירים. שלטו בגישה למשאבים בעלי ערך גבוה, כגון מרחבי Teams סודיים או מסמכי SharePoint, ודאגו שרק משתמשים חיצוניים שנבדקו כראוי יקבלו גישה. כך מידע רגיש נשאר רחוק מהידיים הלא נכונות, גם בשיתופי פעולה רחבי היקף.
4. מינוף סנכרון חוצה דיירים וממשקי API: עבור קשרים מתמשכים, סנכרון חוצה דיירים וממשקי Microsoft Graph API מאפשרים לכם לאטמט ניהול זהויות, חברויות בקבוצות ועדכוני משתמשים. הכלים הללו מקלים על תמיכה בפרויקטים דינמיים בין מספר ארגונים ללא התערבות ידנית מתמדת.
5. ניטור הגישה ואכיפת תאימות: בצעו ביקורת קבועה של הגישה חוצת הדיירים באמצעות היומנים והדוחות של Entra. אם זיהיתם חריגות או חיבורים מיותרים, פעלו במהירות לחיזוק המדיניות. ערנות זו מבטיחה שמערכת שיתוף הפעולה שלכם תישאר איתנה וניתנת להגנה, במיוחד כאשר ביקורות תאימות הופכות לנפוצות יותר.

בחירת ספקי זהות ואפשרויות אימות

1. חיבור דיירי Azure AD: רוב משתמשי B2B החיצוניים יגיעו מ-Azure AD של ארגון אחר. ניתן לקשר את הדייר הביתי שלהם, ולאפשר למשתמשים להתחבר באמצעות פרטי הזיהוי של העבודה שלהם, בעוד שאתם מגדירים הרשאות ובקרות גישה באופן מקומי. כך מתבטלת הצורך לנהל סיסמאות רבות, ונשמרת רמת האבטחה של שני הצדדים.
2. הפעלת חשבונות Microsoft (MSA): אם ברצונכם לכלול אנשים שמשתמשים בחשבונות Microsoft לצרכנים (כמו Outlook.com), התמיכה של Entra ב-MSA פותחת דלת לקשת רחבה של משתפי פעולה שאינם חלק מספריית ארגון. זה אידיאלי לתרחישים של לקוחות או אזרחים.
3. הוספת IDP חברתיים וצד שלישי: כדי להגיע לבסיס המשתמשים הרחב ביותר, חברו את Entra External ID לספקי זהות חברתיים נפוצים כמו Google, Facebook או LinkedIn. התמיכה ב-SAML או ב-OpenID Connect מאפשרת לשלב גם ספקי זהות מותאמים אישית או מדור קודם, וזה קריטי עבור שותפים חיצוניים שמשתמשים בתשתית שאינה של Microsoft.
4. בחירת דרישות אימות: עבור כל IDP ניתן להוסיף אימות מרובה גורמים (MFA), מדיניות תאימות מכשירים או קודי גישה חד-פעמיים. אימות חזק מגביר את רמת האמון ומשאיר את הדלתות נעולות, גם אם הסיסמה של משתמש חיצוני נחשפה.
5. התאמה אישית של חוויית המשתמש: התאימו את תהליכי ההרשמה וההתחברות, המיתוג ומסכי ההסכמה, כך שמשתמשים חיצוניים יראו את הסגנון של החברה שלכם ויבינו את דרישות האבטחה מהלחיצה הראשונה. חוויית אימות חלקה מפחיתה חיכוך ומצמצמת פניות לתמיכה, ובמקביל הבקרות המחמירות ממשיכות לשמור על הperimeter הדוק.

הגדרות מתקדמות והתאמה אישית עבור Entra External Identities

אחרי שהשלטתם בבסיס, הגיע הזמן להיות יצירתיים. אפשרויות התצורה המתקדמות ב-Microsoft Entra External Identities מאפשרות לארגונים לעבור מעבר להטמעה בסיסית של אורחים, ולתזמר חוויות משתמש חיצוני ממותגות, מאובטחות ואוטומטיות. כאן מוסיפים את הליטוש שגורם לשיתוף פעולה חיצוני להרגיש כחלק טבעי מהעסק, בלי לוותר על שליטה.

חשבו על תרחישים שבהם אתם רוצים דף התחברות ממותג, מדיניות מותאמת אישית על בסיס סיכון או מיקום גיאוגרפי, או שאלות הטמעה ייחודיות לסוגי שותפים מסוימים. אולי קצין הציות שלכם רוצה שליטה הדוקה יותר על הקבצים שאורחים יכולים לגשת אליהם, או שאתם צריכים תהליכי משתמש שונים ללקוחות לעומת ספקים. האפשרויות רחבות כשמתעמקים בניהול מדיניות מותאמת אישית ובניהול תהליכי משתמש.

ואם אתם שואפים ליעילות ולקנה מידה, Microsoft Graph API פותח עולם שלם של אוטומציה. הזמנות בכמות גדולה, שיוך דינמי לקבוצות, ואפילו שילוב בקשות גישה עם מערכות הכרטוס הפנימיות שלכם – כל אלה נגישים עם התאמות מתקדמות.

בהמשך נעבור על הנחיות שלב אחר שלב כיצד צוותי IT יכולים לעצב את מסע הזהות החיצוני ולשמור על ממשל ברמה גבוהה, גם כאשר צרכי העסק מתפתחים או הופכים מורכבים יותר.

ניהול מדיניות מותאמת אישית ותהליכי משתמש עבור משתמשים חיצוניים

1. עיצוב חוויות הרשמה והתחברות מותאמות אישית: השתמשו בתהליכי משתמש כדי לאסוף מידע ספציפי ממשתמשים חיצוניים בעת ההרשמה, להוסיף מיתוג ארגוני ולדרוש הסכמה מפורשת לתנאים שלכם. ההתאמה הזו מבטיחה שהרושם הראשון של כל משתמש – אורח, שותף או לקוח – יתאים למותג ולדרישות הציות שלכם.
2. יישום בקרות גישה מבוססות מדיניות: צרו והקצו מדיניות שמפקחת על האופן שבו משתמשים חיצוניים מתקשרים עם המשאבים שלכם. לדוגמה, ייתכן שתדרשו MFA לפעולות בסיכון גבוה, תגבילו גישה לקבצים רגישים לפי סוג משתמש או פרויקט, או תתירו שיתוף פעולה רק עם דומיינים מאושרים.
3. הגדרת מאפיינים וטענות (claims): אספו במהלך ההטמעה את המידע הנדרש ממשתמשים חיצוניים, כגון שם החברה, המחלקה או קוד הפרויקט, ולאחר מכן בנו מדיניות וכללי גישה על בסיס הטענות האלה. כך תוכלו לכוונן הרשאות גישה ודיווח, ולתמוך בדרישות פרטיות או ציות מותנות.
4. בדיקה ושיפור חוזר של מדיניות לפני פרסום: בדקו תהליכי משתמש בסביבות ארגז חול (sandbox), ולאחר מכן הטמיעו עדכונים בסביבת הייצור. ככל ששיתוף הפעולה החיצוני מתפתח, בדקו באופן קבוע את תצורות המדיניות כדי לסגור פערי אבטחה, לפשט תהליכים מורכבים או להתאים לדרישות רגולציה משתנות.
5. ניהול מחזור חיים וסיום גישה: הגדירו תאריכי תפוגה אוטומטיים לגישת אורחים, הגבילו את החשיפה של משאבים לפי סטטוס המשתמש, והשתמשו בטריגרים של מדיניות כדי להתחיל סקירות או הסרות כאשר פרויקטים מסתיימים. ניהול פרואקטיבי מסוג זה מפחית סיכונים ושומר על ניהול האורחים בהתאם לשיטות העבודה המומלצות בתחומי הציות והממשל.

שימוש ב-Microsoft Graph API לניהול זהויות חיצוניות

1. אוטומציה של הזמנות אורחים והטמעה: השתמשו ב-Microsoft Graph API כדי לכתוב סקריפט שמזמין משתמשים חיצוניים, אוסף אישורים מבעלי המשאבים ומוסיף את האורחים לקבוצות או ל-Teams המתאימים. כך מצטמצמת העבודה הידנית, שיתוף הפעולה מתקצר, ומתקבל תהליך חוזר ואמין שפחות מועד לטעויות.
2. ניהול הקצאות לקבוצות ולמשאבים: בעזרת Graph API אפשר להקצות (או להסיר) משתמשים חיצוניים מאתרי SharePoint, מ-Teams או מיישומים אחרים בכמות גדולה בבת אחת. זה שימושי במיוחד בסביבות פרויקטים דינמיות, או עבור שותפים שזקוקים לגישה מהירה וזמנית למשאבים שונים.
3. מעקב אחר פעילות ואכיפת ממשל: עקבו באופן אוטומטי אחר פעילות של משתמשים חיצוניים—כניסות, אירועי גישה או שינויים—ושלחו התראות או הפעילו פעולות לפי כללים שהוגדרו מראש. השילוב עם Power Platform או Power BI, כפי שמוסבר בהמדריך הזה על ריסון התפשטות של Teams, הופך את אוטומציית מחזור החיים והביקורת לפשוטים מתמיד.
4. שילוב עם כלי ticketing וכלי ציות: חברו את תהליכי ההזמנה, שרשראות האישורים וניהול מחזור החיים למערכות ITSM או ציות של צד שלישי. Graph API מאפשר ל-Entra להשתלב באסטרטגיית האוטומציה ותהליכי העבודה הרחבים שלכם, כך שכל הכלים פועלים בתיאום מלא.
5. אכפו סקירות תקופתיות והפעילו אוטומציה להסרת גישה: הגדירו סקריפטים שמזכירים לבעלי המשאבים לסקור את הגישה של האורחים באופן קבוע, מסמנים חשבונות לא פעילים להסרה, ומטפלים בהסרה מאובטחת ובמדיניות שמירת הנתונים. עם אוטומציה מבוססת API תצמצמו סיכונים ותוודאו שזהויות חיצוניות לא נשארות זמן רב מעבר למה שנדרש.

אבטחה וניהול גישה ל-Microsoft Entra External Identities

פתיחת הדלת הדיגיטלית לאורחים, לשותפים ולספקים יכולה להגביר את הפרודוקטיביות, אבל רק אם מגדירים את מעקות הבטיחות הנכונים. הגישה החיצונית ב-Microsoft Entra דורשת שכבות של בקרות אבטחה, כך שלעולם לא תחליפו נוחות בסיכון, בין אם אתם משתפים מידע רגיש ב-Teams ובין אם אתם משתפים פעולה במסמכים ב-SharePoint.

החלק הזה של המדריך מתעמק בשכבות האבטחה האלה, ומתמקד באופן שבו מדיניות אסטרטגית, כמו גישה מותנית ואימות רב-שלבי, מעלה את הרף עבור משתמשים חיצוניים. גישה מותנית היא המקום שבו אתם אומרים: "בסדר, אתם מוזמנים להיכנס, אבל אלה כללי הבית שלי". תקני ציות של מכשירים מבטיחים שגם אם מחשב נייד של משתמש מגיע מחוץ לרשת שלכם, הוא עומד בדרישות שלכם לפני שהוא נוגע בנתונים שלכם.

עם העלייה המתמדת בפריצות הקשורות לגישה של שותפים וקבלנים, אי אפשר להתפשר על קיצורי דרך. הסעיפים הבאים ילוו אתכם בכלים המרכזיים ובשלבי ההגדרה הנדרשים כדי לאבטח שיתוף פעולה, למנוע דליפות מידע בשוגג ולעמוד בביקורות ציות בביטחון. מעוניינים במבט רחב יותר על אבטחה מרובת שכבות ב-Teams? אל תפספסו את הפודקאסט על הקשחת האבטחה של Teams, שעוסק באסטרטגיות הגנה בחמש שכבות לשיתוף פעולה עם אורחים ושותפים.

הגדרת מדיניות גישה מותנית למשתמשים חיצוניים

1. התחילו עם תבניות מדיניות לשיתוף פעולה חיצוני: ל-Microsoft Entra יש תבניות מובנות של גישה מותנית שנועדו במיוחד למשתמשי B2B ואורחים. התבניות האלה מאפשרות להגדיר במהירות דרישות כמו אכיפת MFA, תנאים לפי סיכון כניסה, או חסימת אימות מדור קודם עבור משתמשים מבחוץ.
2. הגדירו את היקף המדיניות והשיוך שלה: החילו מדיניות גישה מותנית על קבוצות המשתמשים המתאימות, כמו "Guests and External Users", והגבילו את היכולות שלהם בהתאם לרגישות המשאב או לתרחיש העסקי. לדוגמה, ייתכן שתידרשו בקרות מחמירות יותר לגישה של קבלנים לנתונים פיננסיים בהשוואה לגישה ל-Teams כלליים של פרויקטים.
3. הגדירו תנאי גישה מפורטים: בנו כללים על בסיס גורמים כמו ציון סיכון כניסה, מצב ציות של המכשיר, מיקום רשת או בקרות הפעלה. כך תוכלו להדק את האבטחה במצבי סיכון גבוה (למשל, חסימת גישה ממכשירים לא מנוהלים) בלי להעניש שותפים אמינים בסיכון נמוך.
4. בדיקה ומעקב אחר השפעת המדיניות: השתמשו בכלי ה-"what if" ובכלי הדיווח של Entra כדי לצפות בהשפעות לפני ההטמעה לכלל המשתמשים. עקבו באופן רציף אחר ניסיונות גישה חיצוניים והתאימו את המדיניות על בסיס הפעילות בפועל. כך מפחיתים חיכוך מיותר וסוגרים במהירות כל סיכון חדש שצץ – ולרעיונות נוספים, כדאי לקרוא על האופן שבו Copilot משלב גישה בהרשאות מינימליות ומעקב רציף.
5. הגיבו להפרות מדיניות במהירות: הגדירו התראות אוטומטיות ושלבי תיקון למקרים שבהם משתמשים חיצוניים מפעילים כללי אבטחה – למשל ביטול מיידי של הסשן או אימות זהות נוסף. כך נסגר המעגל בין אכיפת המדיניות לתגובה מהירה לאירועים, ושלמות הסביבה שלכם נשמרת.

אימות רב-שלבי ותאימות מכשירים לגישה חיצונית

אימות רב-שלבי (MFA) מוסיף מחסום קריטי בפני משתמשים חיצוניים שמנסים להתחבר לסביבת Microsoft שלכם. באמצעות דרישה לאימות בשלב שני – כמו קוד שנשלח לטלפון – MFA מקשה מאוד על פרטי זיהוי גנובים לגרום נזק. בדיקות תאימות מכשירים מוסיפות שכבה נוספת, ומבטיחות שרק מכשירים מהימנים העומדים במדיניות מתחברים למידע רגיש. להגנה מיטבית, הפעילו MFA כברירת מחדל עבור כל הזהויות החיצוניות, ודרשו בדיקות תקינות מכשיר בתרחישי גישה בסיכון גבוה יותר ב-Entra. יחד, האסטרטגיות האלה מפחיתות באופן משמעותי את החשיפה שלכם לגניבת פרטי זיהוי ולתוכנות זדוניות.

תמחור וחיוב של Microsoft Entra External Identities – הסבר

כסף מדבר, וכשמדובר ב-Microsoft Entra External Identities, הבנת מודל העלויות יכולה לחסוך מהתקציב של מחלקת IT הפתעות לא נעימות. Entra מבסס את התמחור על מספר המשתמשים החיצוניים הייחודיים – אורחים, שותפים או אנשי קשר B2B – שמבצעים כניסה בפועל מדי חודש. מדד זה נקרא Monthly Active Users (MAU), והוא תוכנן לגדול יחד עם שיתופי הפעולה שלכם.

הבנת מודל החיוב הזה חיונית למנהלי IT ולמתכנני תקציב. הוא משפיע לא רק על אופן התקצוב, אלא גם על אופן ניהול תהליכי הקליטה, הסיום והסקירות התקופתיות של הגישה. ככל שתנהלו את הגישה החיצונית ביעילות רבה יותר, העלויות החודשיות שלכם יהיו צפויות יותר (ואולי גם נמוכות יותר). המשמעות היא שהבנת שיאי שימוש, פרויקטים עונתיים וחשבונות רדומים הפכה לנושא שנוגע ישירות לתוצאות העסקיות.

כשארגונים פותחים את Microsoft Teams, SharePoint ומשאבי 365 נוספים לבעלי עניין חיצוניים, כדאי לעקוב מקרוב אחר הרישוי ומספר המשתמשים. הפירוט המלא שבהמשך מכסה את רמות הסף של המשתמשים, את ההבדל בין גישה חינמית לגישה בתשלום, וטיפים לאופטימיזציה של שיתוף הפעולה בלי לחרוג מהתקציב. למבט מעמיק יותר על מיצוי ערך הרישיונות, כדאי לקרוא את המדריך לרישוי Microsoft Copilot – אותה לוגיקה חלה גם בתכנון התקציב לזהויות Entra.

מודל התמחור של External Identities ומשתמשים פעילים חודשיים

1. הבינו את מודל Monthly Active User (MAU): Microsoft Entra External Identities סופר את מספר המשתמשים החיצוניים הייחודיים שנכנסים לדייר שלכם במהלך חודש קלנדרי. כל אורח נספר פעם אחת בחודש, ללא קשר לתדירות הגישה למשאבים.
2. נצלו את שכבת השימוש החינמית: Microsoft מציעה מספר קבוע של MAU בחינם (בדרך כלל 50,000, אך בדקו את פרטי המנוי שלכם). מספר זה מספיק לעתים קרובות לארגונים קטנים ובינוניים, או לפרויקטי פיילוט עם צורך מוגבל בשיתוף פעולה חיצוני.
3. עקבו אחר משתמשים בתשלום מול רמות הסף: כשמספר האורחים שלכם עולה על מכסת ה-MAU החינמית, כל משתמש פעיל נוסף מייצר חיוב לפי משתמש. רמות הרישוי והמחירים עשויים להשתנות, ולכן בדקו באופן קבוע את התיעוד העדכני של Microsoft כדי להימנע מהפתעות בתקציב.
4. אמדו וייעלו הוצאות: השתמשו בכלי הדיווח של Entra כדי לעקוב אחר פעילות של משתמשים חיצוניים, לזהות חשבונות רדומים ולנקות גישה כדי להישאר בתוך השכבה החינמית או לצמצם משתמשים בתשלום. סיום הגישה באופן אוטומטי וסקירות גישה קבועות הם החברים הכי טובים שלכם כאן.
5. יש לקחת בחשבון תרחישים מיוחדים: אורחי B2B חיצוניים שמשתמשים בתכונות פרימיום או בבקרות אבטחה מתקדמות (כגון גישה מותנית או Identity Protection) עשויים לדרוש רישוי נוסף. תכננו את פרויקטי השיתוף בהתאם, בדומה לניהול הרישוי של Copilot: הקצאות מדויקות מצמצמות עלויות מיותרות ומבטיחות עמידה בדרישות הציות.

אוטומציה של סקירות גישה לניהול משתמשים חיצוניים

אם אתם רוצים לשמור על פתיחות לאנשים מחוץ לארגון בלי להשאיר את הדלתות פתוחות לנצח, סקירות גישה אוטומטיות הן פתרון הכרחי. ככל שארגונים מרחיבים שיתוף פעולה עם B2B ואורחים, הניהול של מי עדיין זקוק לגישה, מי אינו פעיל ומי נותר עם הרשאות שלא נבדקו הופך למורכב מדי עבור רשימות בדיקה חודשיות באקסל. אוטומציה מביאה סדר לתוך הכאוס הזה וחוסכת גם זמן וגם כאב ראש.

סקירות גישה ב-Microsoft Entra External ID מאפשרות לתזמן בדיקות קבועות ומבוססות מדיניות על חשבונות חיצוניים. ניתן להקצות אחריות לסקירות (בעלי פרויקטים, מנהלי IT או מובילים עסקיים) ולבקש מהם לאמת את הצורך של כל אורח. המטרה? לזהות חשבונות מיושנים או יתומים לפני שהם הופכים לסיכון אבטחתי או לבעיית ציות.

בהמשך יוסברו ניהול מחזור החיים, תהליך הסרת הגישה, וכיצד לשלב סקירות אוטומטיות באסטרטגיית הממשל הכוללת שלכם. לפרטים נוספים על האופן שבו ממשל טוב הופך כאוס לביטחון, עיינו במשאב הזה על ממשל Teams ומסגרות שיתוף פעולה. עקרונות רבים מתוכו חלים גם על זהויות חיצוניות.

ניהול מחזור חיים לביטול זהויות חיצוניות

1. זיהוי חשבונות לא פעילים או יתומים: תזמנו ביקורות קבועות או סריקות אוטומטיות שיאתרו משתמשים חיצוניים שלא ניגשו למשאבים לתקופה מוגדרת. חשבונות רדומים עלולים להפוך לפרצות אבטחה אם לא מנקים אותם במהירות.
2. אוטומציה של תהליכי הסרה: הגדירו ב-Entra מדיניות שתפוג אוטומטית את הגישה של אורחים לאחר משך זמן קבוע (למשל 60 ימי חוסר פעילות) או עם סיום הפרויקט. השתמשו בסקריפטים או ב-Graph API כדי להסיר בכמות גדולה משתמשים שאינם עומדים עוד בקריטריונים לגישה המשכית.
3. יש להודיע ולאשר עם בעלי המשאבים: בעת ביטול הרשאות, יש להתריע בפני בעלי הפרויקטים או ראשי הצוותים כדי שיוכלו לבדוק ולערער על הסרות שעלולות לפגוע בשיתוף פעולה לגיטימי. בדיקה כפולה תסייע לאזן נכון בין אבטחה לפרודוקטיביות.
4. הגדירו מדיניות לשמירת מידע וציות: החליטו מה יקרה לתוכן משותף, ליומני צ'אט או לקבצים שבבעלות משתמשים חיצוניים לאחר הביטול. קבעו נהלים להעברת בעלות, לארכוב או למחיקת נתונים בהתאם לדרישות הרגולציה והממשל.
5. תעדו את תהליכי הביטול לצורכי ביקורת: שמרו תיעוד של כל החשבונות שבוטלו, פעולות ההסרה והגדרות המדיניות שהובילו לפעולות אלה. תיעוד זה יהיה בעל ערך רב בביקורות ציות ובמענה לבקשות רגולטוריות.

שילוב Microsoft Entra External ID עם יישומים שאינם של Microsoft

נניח שהעולם הטכנולוגי שלכם אינו מסתכם ב-Microsoft 365. אולי יש לכם CRM, פורטל פנימי ישן או כמה פלטפורמות SaaS. Microsoft Entra External ID אינו חייב להישאר רק בתחום של Microsoft. ניתן להרחיב את הגישה המאובטחת והמבוססת-המדיניות שלו כמעט לכל מערכת חיצונית, וכך לנהל זהויות בצורה חלקה בכל המערכות.

לא משנה אם אתם עובדים עם יישומי ענן, פלטפורמות מקומיות או סביבות היברידיות, Entra יכול לשמש כגשר זהויות מאובטח. אינטגרציות עם SAML, OAuth ו-OpenID Connect מאפשרות לאחד זהויות ואימות מול Salesforce, ServiceNow, יישומי Java ישנים, או כמעט כל מערכת התומכת בכניסה מבוססת תקנים.

הגישה הזו מקלה על מתן זהות חיצונית אחידה ליחידה לשותפים, ללקוחות וליצרנים לכל היישומים שלכם, בלי סיסמאות מרובות ובלי תהליכי קליטה ידניים מורכבים. בסעיף הבא תראו כיצד לבנות דפוסי פדרציה מאובטחים ולהגן על ה-API שלכם כשפותחים גישה למשתמשים חיצוניים.

דפוסי פדרציה ואבטחת API חיצוניים

• אינטגרציה של SAML/WS-Federation עם אפליקציות מדור קודם: חברו את Entra External ID לאפליקציות פנימיות או של שותפים ישנות באמצעות SAML או WS-Fed, כך שמשתמשים חיצוניים יוכלו להתחבר עם אותם פרטי זיהוי שהם משתמשים בהם ב-Teams או ב-SharePoint. הדבר מפשט את תהליך ההטמעה של משתמשים חיצוניים ומצמצם את התפשטות הסיסמאות.
• OpenID Connect/OAuth לאפליקציות SaaS ולאפליקציות ווב: הרחיבו את אימות Entra לאפליקציות ענן מודרניות או לפורטלים מותאמים אישית. משתמשים חיצוניים מקבלים כניסה יחידה (SSO), והמדיניות הארגונית שלכם לאבטחה ולתאימות חלה עליהם, ללא קשר לפלטפורמה.
• אבטחת API עם OAuth2 וניהול טוקנים: כאשר אתם חושפים API לשותפים חיצוניים, השתמשו ב-OAuth2 עם טוקני גישה שמונפקים על ידי Entra. אכפו היקפי הרשאות (scopes), תוקף ושלילה של טוקנים, כדי לשמור על אינטגרציות השותפים מהודקות וניתנות לביקורת.
• דפוסי פדרציה מרובת ענני ו-היברידיים: השתמשו ב-Entra כעוגן האמון למשתמשים שמגיעים מ-AWS, מ-Google או מספריות מקומיות. הפדרציה מאפשרת לנהל מדיניות, דיווחים ובדיקות גישה ממרכז אחד, גם כאשר האפליקציות שלכם נמצאות במקום אחר.
• ניטור והגבלת שימוש ב-API: עבור API שחשופים לציבור, יישמו הגבלת קצב (rate limiting) ורישום גישה. הדבר מגן מפני שימוש לרעה, תומך בתאימות ומספק נתיב ביקורת ברור למקרה של מחלוקות או חקירות.

תאימות והגנת פרטיות עבור זהויות חיצוניות

הכנסת זהויות חיצוניות לעולם Microsoft 365 שלכם אומרת שאתם אחראים להרבה יותר מסתם שיתוף קבצים. אתם אחראים גם לתאימות רגולטורית ולפרטיות. בין אם מדובר ב-GDPR, ב-CCPA או בתקנון ייעודי לתעשייה, Entra External ID תומך בבקרות ובדיווחים שנדרשים לכם כדי להראות לרגולטורים שאתם מנהלים גישה חיצונית באחריות ובכבוד.

הסעיף הזה מכין את הקרקע להגדרות פרטיות, לניהול הסכמות ולבניית שקיפות בכל קשר עם משתמש. תראו כיצד לאסוף ולנהל הסכמה של משתמשים חיצוניים, להגדיר הודעות פרטיות ולכבד את זכויות נושאי המידע כאשר משתמשים רוצים לדעת, או לשלוט, במידע שאתם מחזיקים. ככל שתקני התאימות מחמירים ברחבי העולם, יכולות אלה המובנות במערכת אינן רק נחמדות לקיום; הן הכרחיות.

הגדרת תאימות נכונה פירושה שלא תופתעו משינויי חקיקה חדשים ולא תתקשו בטיפול בבקשות של נושאי מידע. לארגונים שמשתמשים ב-Microsoft Copilot או בכלי AI אחרים יש חפיפות שימושיות בבקרות פרטיות ובמנגנוני הסכמה, כפי שמפורט בסקירה זו של מסגרת הפרטיות של Copilot. בהמשך נתמקד בהקמת נתיבי ביקורת ודיווחים מקיפים לכל גישה של משתמשים חיצוניים.

נתיבי ביקורת ודיווח לגישה חיצונית

1. הפעלת רישום גישה מפורט: הפעילו רישום עבור כל פעילויות המשתמשים החיצוניים, כולל כניסות, שיתוף משאבים ושינויי הרשאות. רישומים מקיפים מבטיחים שיש לכם תמונה מלאה של מי עשה מה, מתי ומהיכן.
2. הגדרת ניטור והתראות בזמן אמת: הגדירו התראות על התנהגויות חריגות או מסוכנות של גישה חיצונית. הדבר מאפשר תגובה מהירה לאירועים חשודים, כגון ניסיונות כניסה כושלים או גישה ממיקומים לא מוכרים.
3. פריסת לוחות מחוונים לדיווח: השתמשו במרכז הניהול של Entra או בכלים משולבים (כגון Power BI) כדי להפיק דוחות על פעילות משתמשים חיצוניים, שמציגים את מצב התאימות במבט אחד, לצורך ביקורות או לבעלי עניין בהנהלה.
4. עמידה בדרישות רגולטוריות באמצעות ייצוא נתונים: שמרו יומנים מוכנים לייצוא ודוחות תקופתיים כדי לתמוך בדרישות GDPR, CCPA או בדרישות תעשייתיות. כאשר רגולטור או לקוח דורשים מידע, יהיו בידיכם הוכחות לשקידה הביטחונית ולממשל התפעולי שלכם.

רשימת בדיקה של Microsoft Entra External Identities

תכונות של Microsoft Entra External: יכולות של דייר Microsoft Entra ושל External ID

מהו Entra ID External Identities ומה הקשר שלו ל-Azure AD External Identities?

Entra ID External Identities (לשעבר Azure AD External Identities) הוא מערך יכולות ב-Microsoft Entra שמאפשר לארגונים לאפשר למשתמשים ולארגונים חיצוניים גישה מאובטחת למשאבים שלכם. השירות תומך בניהול זהויות וגישה של לקוחות, בתכונות External ID ובתרחישי דייר External ID, כך שעסקים יוכלו לשתף פעולה עם שותפים עסקיים, ספקים ולקוחות, תוך אכיפת זהות וגישה למשתמשים חיצוניים.

כיצד מנהלים גישה למשתמשים חיצוניים ולדיירים חיצוניים?

מנהלים גישה למשתמשים חיצוניים על ידי הזמנתם באמצעות שיתוף פעולה B2B של Azure AD, הגדרת שיתוף פעולה עם מדיניות חיצונית, ושימוש בתכונות של Microsoft Entra כמו גישה מותנית למשתמשים חיצוניים, ניהול זכאויות וחבילות גישה. ניתן להוסיף ארגונים חיצוניים, להגדיר הגדרות שיתוף פעולה חיצוניות בדייר Microsoft Entra שלכם, ולהשתמש בהגדרות external ID provider כדי לשלוט בהרשאות ובמחזור החיים של חשבונות אורחים.

האם ניתן לאפשר למשתמשים חיצוניים להשתמש בחשבונות Microsoft Entra שלהם או בזהויות חברתיות אחרות?

כן. Microsoft Entra External ID משלב פתרונות חזקים שמאפשרים למשתמשים חיצוניים להתחבר באמצעות חשבונות Microsoft Entra שלהם, זהויות חברתיות או חשבונות מקומיים. באמצעות Microsoft Entra ID או Azure AD B2C ניתן לתמוך בשימוש בחשבונות Microsoft Entra שלהם, להפעיל ניהול זהויות וגישה ללקוחות (CIAM), ולספק אפשרויות אימות גמישות למשתמשים חיצוניים בקנה מידה גדול.

כיצד מאבטחים גישה חיצונית ומהימנות לאימות רב-גורמי (MFA) עבור משתמשי אורח?

מאבטחים גישה חיצונית על ידי אכיפת מדיניות גישה מותנית עבור B2B חיצוני, הפעלת מהימנות לאימות רב-גורמי (MFA) לפעולות בסיכון גבוה, והחלת מדיניות על שיתוף פעולה B2B חיצוני. ניתן לדרוש MFA ממשתמשים חיצוניים, לקבל MFA מדיירי שותפים, ולהשתמש בגישה המותנית ובהגנת הזהויות של Microsoft Entra כדי להפחית סיכון תוך שמירה על שיתוף פעולה חיצוני.

אילו תכונות של External ID עוזרות בממשל ובניהול מחזור החיים?

תכונות External ID כוללות ניהול זכאויות, חבילות גישה, מחזור חיים אוטומטי של משתמשי אורח, סקירות גישה ומדיניות לשיתוף פעולה B2B חיצוני. היכולות הללו של Microsoft Entra External ID מאפשרות למנהלים לקבוע מי יש לו גישה, לנהל את תוקף הגישה ולאוטומט סקירות, כך שהגישה למשתמשים חיצוניים וארגונים חיצוניים תישאר מאובטחת ותואמת לדרישות הרגולציה.

כיצד נבדלים תרחישי דייר עובדים ודייר חיצוני ב-Microsoft Entra?

דייר עובדים מארח בדרך כלל זהויות של עובדים ואוכף מדיניות פנימית, ואילו דייר חיצוני משמש למשתמשים חיצוניים, שותפים או לקוחות. Microsoft Entra External ID תומך בדיירי עובדים ובדיירים חיצוניים באמצעות שיתוף פעולה בין דיירים, הגדרת הגדרות שיתוף פעולה חיצוניות והפרדה של מדיניות, כך שניתן לנהל בנפרד את הגישה הפנימית של העובדים ואת שיתוף הפעולה עם שותפים חיצוניים.

האם ניתן לשתף פעולה עם שותפים עסקיים חיצוניים בין מספר ארגונים של Microsoft Entra?

כן. Microsoft Entra תומך בשיתוף פעולה עם ארגונים חיצוניים ובעבודה עם שותפים חיצוניים בין מספר דיירים. תכונות כמו זהויות חיצוניות של Azure AD, הגדרות גישה בין דיירים וגישה מותנית למשתמשים חיצוניים מאפשרות שיתוף פעולה עם ארגונים אחרים של Microsoft Entra, ומספקות גישה מאובטחת ל-Microsoft 365 ולמשאבים אחרים.

כיצד Microsoft Entra מטפל בהרחבה למשתמשים חיצוניים ובהטמעה אוטומטית?

Microsoft Entra External ID מספק יכולת הרחבה למשתמשים חיצוניים באמצעות תמיכה בהזמנות בכמות גדולה, הרשמה בשירות עצמי ואינטגרציה עם מערכות ניהול זהויות וגישה ללקוחות. באמצעות היכולות של דייר External ID ניתן לאוטומט את תהליך ההטמעה, להשתמש בחבילות גישה למדיניות גישה עקבית, ולנהל משתמשים חיצוניים בקנה מידה גדול עם תכונות ביקורת ודיווח.

אילו שיטות עבודה מומלצות קיימות להגדרת שיתוף פעולה חיצוני ומדיניות גישה?

שיטות עבודה מומלצות כוללות שימוש בגישה מותנית למשתמשים חיצוניים, הפעלת מהימנות MFA, הגדרת הגדרות שיתוף פעולה חיצוניות שמגבילות הרשאות של אורחים, שימוש בניהול זכאויות של Microsoft Entra לניהול מחזור החיים של הגישה, וניטור פעילות חיצונית. יש לשלב את יכולות External ID עם מדיניות גישה מחמירה לשיתוף פעולה B2B חיצוני, כדי להבטיח גישה חיצונית מאובטחת ולאפשר שיתוף פעולה עם שותפים עסקיים חיצוניים.

מהם Entra ID External Identities, וכיצד הם קשורים ל-Azure Active Directory?

Entra ID External Identities הוא הפתרון של Microsoft לניהול משתמשים חיצוניים ושותפים הזקוקים לגישה מאובטחת למשאבים שלכם. הוא חלק מ-Microsoft Entra ונשען על מודל Azure Active Directory המסורתי. הפתרון מאפשר שיתוף פעולה B2B, תמיכה בזהויות חברתיות כמו Google או Facebook, ותרחישי פדרציה. Entra ID External Identities משתלב ביכולות של Azure Active Directory כמו גישה מותנית וממשל, ומספק גישה מאובטחת לארגון שלכם.

כיצד שיתוף פעולה B2B עם זהויות חיצוניות שונה משיתוף פעולה עם משתפי פעולה חיצוניים בודדים?

שיתוף פעולה B2B של External ID מתייחס בדרך כלל להזמנת משתמשים מארגוני Microsoft Entra אחרים ומדיירים אחרים, כך שישתפו פעולה באמצעות חשבונות הארגון או החשבונות המנוהלים שלהם. משתפי פעולה חיצוניים בודדים משתמשים לרוב בזהויות צרכניות או חברתיות כמו Google כדי להתחבר. שני המודלים מאפשרים שיתוף פעולה עם משתמשים חיצוניים, אך במודל B2B האורח נשאר בדייר Microsoft Entra שמכיל את העובדים שלכם, ושומר על זהותו הארגונית ועל ה-claims שהגיעו ממספקי זהות אחרים של Microsoft או ממספקי זהות בפדרציה.

האם אפשר להשתמש בזהויות כמו Google או Facebook ובזהויות חברתיות אחרות לגישת אורחים?

כן. Entra ID External Identities תומך בזהויות חברתיות כמו Google ו-Facebook, כך שמשתמשים יכולים להתחבר באמצעותן. ניתן לבצע אוטומציה לתמיכה בזהויות החברתיות האלה באמצעות Microsoft Graph APIs, וניתן להגדיר אותן ב-Azure portal בהגדרות שיתוף הפעולה החיצוני. כניסה חברתית מפשטת את תהליך ההטמעה של שותפים וקבלנים שאין להם חשבונות Azure AD ארגוניים.

כיצד מטופל התמחור? מהו מודל החיוב של Microsoft Entra External Identities?

מודל החיוב של Microsoft Entra External Identities מבוסס בדרך כלל על צריכה עבור משתמשים חיצוניים, עם רמות תמחור שונות בהתאם ליכולות ולמספר המשתמשים הפעילים החודשיים. Microsoft מפרסמת את פרטי מודל החיוב לשימוש חיצוני ב-Microsoft Entra. בדקו את המנוי שלכם ואת Azure portal לקבלת המחירים העדכניים. בחלק מהתרחישים היכולות חופפות לאלה של Azure AD B2C, ו-Azure AD B2C נותר רלוונטי לחוויות זהות הפונות ללקוחות, עם מודל תמחור משלו.

אילו יכולות ממשל ותאימות זמינות (Entra ID governance ו-claims תואמים)?

יכולות הממשל של Entra ID לזהויות חיצוניות כוללות ניהול זכאויות, סקירות גישה ואוטומציה של מחזור החיים, כדי להבטיח שה-claims התואמים ומדיניות Microsoft Entra נאכפים. ניתן למפות ולהמיר claims ממספקי זהות חיצוניים ומדיירי Microsoft אחרים, כך שיעמדו במדיניות התאימות שלכם. Entra ID governance עוזר לנהל מי מקבל גישה, האם לאורחים יש גישה למשאבי Microsoft, ומבטיח גישה מאובטחת לארגון שלכם תוך שמירה על דרישות ביקורת ורגולציה.

כיצד מגדירים את הגדרות שיתוף הפעולה החיצוני ומנהלים שיתוף פעולה עם דיירי Microsoft אחרים?

מגדירים את הגדרות שיתוף הפעולה החיצוני ב-Azure portal, שם ניתן לקבוע מדיניות הזמנה, הרשאות ברירת מחדל למשתמשים והגבלות למשתמשים חיצוניים. כדי לנהל שיתוף פעולה עם ארגוני Microsoft אחרים ובין דיירים, יש להשתמש ביכולות Azure AD B2B collaboration כדי לקבל משתמשים מדייר Microsoft Entra שמכיל עובדי שותפים, להגדיר גישה מותנית ולהחיל בקרות ממשל. אוטומציה באמצעות Microsoft Graph APIs יכולה לעזור לאוטומט הזמנות, הקצאה וניהול מחזור חיים.

האם מכשירים שהוצטרפו בהיברידיות ל-Microsoft Entra וגישה מותנית של Microsoft Entra נתמכים עבור משתמשים חיצוניים?

אפשר להחיל מדיניות גישה מותנית של Microsoft Entra על משתמשים חיצוניים כדי לשלוט בגישה על בסיס סיכון, תאימות המכשיר או מיקום הרשת. עם זאת, תרחישי מכשירים שהוצטרפו בהיברידיות ל-Microsoft Entra מיועדים בעיקר למכשירים בבעלות הארגון בתוך הדייר שלכם. משתפי פעולה חיצוניים בודדים בדרך כלל אינם רושמים מכשירים כמצורפים בהיברידיות. ניתן לדרוש מכשירים תואמים או מצורפים בהיברידיות עבור חשבונות של ארגוני שותפים, אם הם מנוהלים בדייר שמכיל את המכשירים של הארגון החיצוני ונותן אמון במדיניות שלכם.

כיצד אוטומציה באמצעות Microsoft Graph APIs מסייעת בניהול זהויות חיצוניות?

אוטומציה באמצעות Microsoft Graph APIs מאפשרת ניהול תוכנתי של הזמנות, מחזור החיים של משתמשי אורח, חברויות בקבוצות וניהול זכאויות (entitlement management) עבור תכונות external id. תכונות רבות של id נתמכות גם דרך Graph API, מה שמאפשר שילוב עם כלי ממשל זהויות או IAM קיימים לאוטומציה של תהליכים כמו הקצאה, ביטול הקצאה, סקירות גישה ודיווח עבור משתמשים בכל דייר של Microsoft Entra.

האם כדאי להשתמש ב-Azure AD B2C או ב-Entra ID External Identities עבור אפליקציות הפונות ללקוחות?

Azure AD B2C מיועד ליישומים הפונים לצרכנים, עם התאמה אישית נרחבת של מסעות משתמש וספקי רשתות חברתיות, ואילו Entra ID External Identities ו-azure ad b2b collaboration ממוטבים לשיתוף פעולה עם משתמשים חיצוניים ושותפים של כוח העבודה. Azure AD B2C עדיין זמין לתרחישים הדורשים זרימות צרכניות מתקדמות. הערכו אם התרחיש שלכם הוא שיתוף פעולה עם משתמשים חיצוניים או ניהול זהויות לקוחות, כדי לבחור את דייר external id ואת המודל הנכונים לפריסות של Microsoft Entra external.

מהן שיטות העבודה המומלצות לאבטחת שיתוף פעולה עם משתמשים חיצוניים בכמה טכנולוגיות של Microsoft Entra?

שיטות העבודה המומלצות כוללות שימוש בגישה עם הרשאות מינימליות ובניהול זכאויות (entitlement management), החלת מדיניות גישה מותנית של Microsoft Entra לבקרות כניסה מבוססות סיכון, הפעלת אימות רב-שלבי עבור חשבונות חיצוניים, ניטור claims ממקורות Microsoft אחרים וביקורת גישת אורחים. השתמשו ביכולות הממשל של Microsoft Entra כדי לתזמן סקירות גישה, לאוטומט משימות מחזור חיים באמצעות Graph APIs ולרכז הגדרות ב-Azure portal, כך שהגישה לארגון תישאר מאובטחת בעת שיתוף פעולה עם דיירים חיצוניים ועם משתפי פעולה חיצוניים בודדים.

Microsoft Entra External ID: החלטות יישום

אמתו את בחירות הפלטפורמה הנוכחיות מול Microsoft Learn for External ID. מעבר מ-Azure AD B2C דורש תוכנית מכוונת. יש להעריך מזהי דייר, כתובות authority, תצורת יישומים ומסעות משתמש, ולא להניח שהם יועברו אוטומטית.

שאלות נפוצות

האם Microsoft Entra External ID מיועד רק ללקוחות?

לא. השירות תומך בתרחישי זהות חיצונית, כולל יישומים הפונים ללקוחות ודפוסי שיתוף פעולה הכוללים אנשים מחוץ לדייר כוח העבודה.

מה יש לתעד לפני הטמעת משתמשים חיצוניים?

יש לתעד את בעל העסק, אוכלוסיית המשתמשים, מטרת היישום, שיטות הכניסה הנתמכות, תהליך סקירת הגישה וערוץ התמיכה.

נבדק לאחרונה: יולי 2026.

🎧 מומלץ להאזין גם ל

• ממשל זהויות ב-Microsoft Entra

  הכירו את מחזור החיים, הבעלות ופרקטיקות הסקירה שהופכים את Microsoft Entra External ID לברי קיימא.

• Microsoft Entra Private Access – הסבר פשוט

  גלו דפוס גישה נוסף ב-Entra ואת שאלות הארכיטקטורה שמאחורי שירותי זהות מאובטחים.

• Conditional Access לאורחים ב-Microsoft Entra ID – מדריך מלא

  חברו בין תכנון זהות חיצונית לבקרות אבטחה מעשיות לגישת אורחים ושותפים.