Microsoft Entra External ID: zarządzanie tożsamościami zewnętrznymi i dzierżawami

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Zarządzanie tożsamościami zewnętrznymi w Microsoft Entra: wdrażanie partnerów i gości, współpraca B2B, dostęp między dzierżawami, Warunkowy dostęp i przeglądy dostępu.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID pomaga organizacjom zarządzać tożsamościami klientów, partnerów i gości spoza dzierżawy pracowniczej. Zacznij od określenia scenariusza biznesowego, zdefiniowania cyklu życia tożsamości i metod logowania, wyznaczenia odpowiedzialnych właścicieli oraz przetestowania zasad dostępu z udziałem reprezentatywnych użytkowników. Projektowanie tożsamości zewnętrznych powinno od samego początku łączyć doświadczenie użytkownika, bezpieczeństwo, zarządzanie i koszty operacyjne.

Tożsamości zewnętrzne w Microsoft Entra bezpiecznie otwierają Twój ekosystem Microsoft 365 na świat zewnętrzny. Jeśli masz partnerów, dostawców, podwykonawców, a nawet kilku gości, którzy potrzebują dostępu do usługi Microsoft Teams lub SharePoint, to właśnie to rozwiązanie sprawia, że współpraca przebiega płynnie i bezpiecznie. Entra ułatwia zewnętrznym użytkownikom współpracę tak, jakby byli częścią Twojego zespołu, a jednocześnie nie pozwala, by lis buszował w kurniku.

Dla specjalistów IT oznacza to mniej nocnych nerwów o to, kto kręci się w Twojej dzierżawie i do jakich danych zagląda. Microsoft Teams, SharePoint i pozostałe usługi rodziny Microsoft 365 stają się bezpieczniejszym miejscem do wspólnej pracy dla wszystkich. Ten przewodnik szczegółowo omawia, jak wdrażać, zarządzać i skalować tożsamości zewnętrzne, jednocześnie czujnie pilnując wymagań bezpieczeństwa i zgodności, bo nikt nie chce pojawić się w nagłówkach o jutrzejszym wycieku danych. Więcej o wartości solidnych zabezpieczeń współpracy znajdziesz w artykule jak zarządzanie usługą Teams zamienia chaos we pewną współpracę.

7 zaskakujących faktów o tożsamościach zewnętrznych w Microsoft Entra

1. Ogromna skala logowań konsumentów i partnerów: Tożsamości zewnętrzne w Entra ID obsługują miliony zewnętrznych użytkowników i mogą skalować się, by obsłużyć duży ruch logowań konsumentów, dzięki wbudowanemu inteligentnemu ograniczaniu ruchu i globalnej infrastrukturze, co czyni je odpowiednimi dla aplikacji klienckich o dużym natężeniu ruchu.
2. Cennik za aktywnych użytkowników: Zamiast tradycyjnego licencjonowania per konto, tożsamości zewnętrzne w Entra ID oferują model rozliczeń zależny od zużycia, oparty na miesięcznie aktywnych zewnętrznych użytkownikach, co może znacząco obniżyć koszty aplikacji z wieloma sporadycznymi użytkownikami.
3. Obsługa społecznościowych i przedsiębiorstwowych dostawców tożsamości: Możesz pozwolić zewnętrznym użytkownikom logować się kontami społecznościowymi (Google, Facebook, Apple) lub federacją przedsiębiorstwa (SAML, OpenID Connect, Azure AD), zapewniając elastyczne doświadczenie logowania bez własnego kodu uwierzytelniania.
4. Współpraca między dzierżawami dzięki zaproszeniom i bezpośredniej federacji: Tożsamości zewnętrzne w Entra ID umożliwiają współpracę B2B poprzez zaproszenia, bezpośrednią federację lub zarządzanie uprawnieniami, upraszczając dostęp partnerów przy zachowaniu bezpieczeństwa i zarządzania.
5. Wbudowany warunkowy dostęp i ochrona tożsamości: Zewnętrzni użytkownicy mogą podlegać tym samym zasadom warunkowego dostępu, uwierzytelnianiu wieloskładnikowemu i ochronie opartej na ryzyku, co użytkownicy wewnętrzni, co ogranicza powierzchnię ataku dla tożsamości klientów i partnerów.
6. Własne brandingi i dostosowywane ścieżki użytkownika: Korzystając z funkcji Azure AD B2C w ramach tożsamości zewnętrznych w Entra ID, organizacje mogą tworzyć w pełni markowe doświadczenia rejestracji i logowania oraz dostosowywać ścieżki użytkownika do weryfikacji, łączenia kont społecznościowych i zbierania profilu.
7. Płynna integracja z ekosystemem Microsoft i interfejsami API: Tożsamości zewnętrzne w Entra ID integrują się z Microsoft Graph, aplikacjami Azure AD, kontrolą dostępu opartą na rolach oraz usługami zależnymi, umożliwiając scentralizowane zarządzanie tożsamościami zewnętrznymi w aplikacjach Microsoft i aplikacjach niestandardowych.

Czym są tożsamości zewnętrzne w Microsoft Entra

W świecie Microsoft Entra tożsamości zewnętrzne są dokładnie tym, na co wyglądają: kontami należącymi do osób spoza Twojej organizacji. Zamiast przyznawać osobom z zewnątrz pełny dostęp przeznaczony dla pracowników (czego nikt nie chce), Entra pozwala wpuszczać zewnętrznych użytkowników na kontrolowanych warunkach. Mogą to być partnerzy pracujący przy wspólnym projekcie, dostawcy wspierający Twoje systemy IT, freelancerzy pomagający przy projektowaniu lub klienci uzyskujący dostęp do wspólnego portalu.

Co więc sprawia, że tożsamość jest „zewnętrzna”? Zasadniczo chodzi o każdego, kto korzysta z własnych poświadczeń – na przykład loginu firmowego, konta Microsoft, a nawet konta Google – aby uzyskać dostęp do Twoich aplikacji, przestrzeni w Teams lub udostępnionych dokumentów. Użytkownicy wewnętrzni otrzymują tożsamości z Twojego własnego katalogu. Zewnętrzni współpracownicy posługują się kluczami wystawionymi przez kogoś innego, ale ich dostęp podlega Twoim zasadom bezpieczeństwa.

Typowe scenariusze? Wyobraź sobie partnera z branży budowlanej, który współpracuje z Tobą nad projektem w Teams, albo udostępnianie poufnych dokumentów w SharePoint urzędowi administracji państwowej. Zamiast tworzyć nową nazwę użytkownika i hasło dla każdej osoby z zewnątrz, dodajesz ją jako gościa, ściśle zarządzasz jej uprawnieniami i zachowujesz wyraźny podział na to, co wewnętrzne, a co zewnętrzne. Takie podejście pomaga organizacjom współpracować na dużą skalę, ogranicza obciążenie administracyjne i pozwala kontrolować, kto, co, kiedy i dlaczego może zobaczyć. Wspiera też działania związane ze zgodnością, ponieważ śledzi dostęp zewnętrzny i od samego początku egzekwuje mechanizmy zabezpieczeń.

Skoro praca zespołowa coraz częściej wykracza poza mury firmy, solidna konfiguracja tożsamości zewnętrznych w Microsoft Entra jest już koniecznością, a nie opcją.

Przegląd Microsoft Entra External ID i kluczowe funkcje

Microsoft Entra External ID to odpowiedź platformy na potrzebę bezpiecznej, skalowalnej współpracy z użytkownikami spoza Twojej podstawowej organizacji. Pomyśl o tym jak o bramkarzu przy wejściu – wpuszcza właściwych gości, porządkuje imprezę i dba o to, by nikt nie trafił do stref o ograniczonym dostępie. Niezależnie od tego, czy zapraszasz partnerów, dostawców czy klientów do Microsoft Teams lub SharePoint, Entra External ID pozwala ich przyjąć przy zachowaniu odpowiednich mechanizmów kontroli.

Do kluczowych funkcji należą łatwe zarządzanie użytkownikami gości B2B (business-to-business), integracja z szeroką gamą dostawców tożsamości oraz elastyczne opcje uwierzytelniania. Możesz zapraszać użytkowników, korzystając z ich kont służbowych, szkolnych lub społecznościowych, i dostosować sposób, w jaki uzyskują dostęp do zasobów. Użytkownicy zewnętrzni nie potrzebują nowego konta – mogą korzystać z tego, któremu już ufają, a Ty wyznaczasz granice za pomocą silnych kontroli dostępu i zasad.

Entra External ID to nie tylko otwieranie drzwi, ale także ich zamykanie zgodnie z Twoimi wymaganiami. Zyskujesz scentralizowane zarządzanie użytkownikami w centrum administracyjnym Microsoft Entra oraz zaawansowane mechanizmy monitorowania, audytu i nadzoru nad każdym zdarzeniem dostępu zewnętrznego. Platforma umożliwia ustawienie różnych zasad dla gości, kontrolowanie, do których przestrzeni Teams i SharePoint mają dostęp, oraz zapewnienie zgodności dzięki rozbudowanemu rejestrowaniu i raportowaniu.

Dla specjalistów IT największą zaletą jest to, że Entra External ID obsługuje wszystko – od prostego dostępu gości po zaawansowane scenariusze: współpracę między dzierżawami, markowe środowiska użytkownika, niestandardowe zasady i zautomatyzowane przepływy pracy. Oznacza to mniej ręcznego zarządzania użytkownikami, bezpieczniejsze udostępnianie i uporządkowany nadzór w miarę skalowania projektów i partnerstw.

Przewodnik wdrożenia Microsoft Entra External Identities

Wdrożenie Microsoft Entra External Identities to kwestia znalezienia właściwej równowagi między współpracą a kontrolą. Ta sekcja pomoże Ci uruchomić dostęp zewnętrzny w przemyślany sposób, tak aby organizacja pozostała produktywna i bezpieczna w miarę zapraszania współpracowników z zewnątrz. Zobaczysz, jak Microsoft umożliwia łączenie gości i partnerów z narzędziami, których potrzebują, a Ty zachowujesz pełną kontrolę nad dostępem, uwierzytelnianiem i egzekwowaniem zasad.

Proces wdrożenia wprowadza pojęcia takie jak współpraca B2B, konfiguracja dostępu między dzierżawami oraz konfigurowanie różnych dostawców tożsamości – każde z nich odgrywa kluczową rolę w sposobie wprowadzania użytkowników zewnętrznych i utrzymywania porządku. Otrzymasz też kontekst, dlaczego planowanie strategiczne jest niezbędne: wcześniejsze skonfigurowanie zaproszeń, przepływów użytkownika i reguł między dzierżawami oznacza mniej chaosu, mniej rozproszenia zasobów i bardziej przewidywalne wyniki w zakresie bezpieczeństwa i zarządzania.

Szczegółowe kroki, które przedstawimy dalej, omawiają każdy kluczowy element tego procesu – od zapraszania i zarządzania użytkownikami zewnętrznymi, przez dostosowywanie obsługiwanych dostawców tożsamości, po konfigurowanie relacji zaufania z organizacjami partnerskimi. Zawsze chodzi o to, by współpraca była prosta dla użytkowników, a zarazem bezpieczna i możliwa do prześledzenia dla działów IT i zgodności. Aby w pełni wykorzystać Entra External Identities, warto poznać podstawowe elementy, zanim przejdziemy do szczegółów w kolejnych sekcjach.

Konfigurowanie współpracy B2B w Microsoft Entra

1. Dodaj użytkowników-gości do swojej dzierżawy: Zacznij od zaproszenia zewnętrznych współpracowników bezpośrednio w centrum administracyjnym Microsoft Entra lub w zintegrowanych procesach w usługach Microsoft Teams i SharePoint. Zaproszenia możesz wysłać na ich służbowe, szkolne lub prywatne adresy e-mail. Takie wdrożenie gwarantuje, że każdy gość jest zarejestrowany, możliwy do prześledzenia i powiązany z Twoimi zasadami bezpieczeństwa.
2. Skonfiguruj ustawienia zaproszeń: Określ, kto w organizacji może zapraszać gości i jakie informacje są wymagane w zaproszeniach. Możesz ograniczyć zaproszenia do wybranych działów lub włączyć samoobsługę, aby przyspieszyć współpracę przy projektach. Warto ustalić jasne zasady zapraszania, aby zapobiec przypadkowemu udostępnianiu zbyt wielu informacji.
3. Ustaw dostęp i uprawnienia użytkowników: Po zaproszeniu przypisz użytkowników-gości do odpowiednich grup, zespołów lub witryn SharePoint. Użyj kontroli dostępu opartej na rolach (RBAC), aby ograniczyć dostęp do zasobów wrażliwych, i zastosuj ustawienia udostępniania zgodne z zasadami firmy. Szczegółowa kontrola pomaga uniknąć nadmiernej liczby kont gości i przypadkowego ujawnienia danych.
4. Zintegruj z zarządzaniem w usługach Teams i SharePoint: Stosuj zasady współpracy, które wzmacniają cele w zakresie bezpieczeństwa i zgodności. Jak wyjaśniono w tym przewodniku o zarządzaniu usługą Teams, standaryzacja uprawnień, konwencji nazewnictwa i zasad cyklu życia usprawnia zarządzanie gośćmi i minimalizuje ryzyko wycieku danych lub nieporozumień.
5. Monitoruj i zarządzaj bieżącym dostępem: Regularnie sprawdzaj, kto ma dostęp, usuwaj lub ograniczaj uprawnienia użytkownikom, którzy nie potrzebują już dostępu do współpracy, i wymagaj ponownej akceptacji w przypadku gości o długotrwałym dostępie. Stała kontrola dostępu gości zapobiega powstawaniu osieroconych kont i zapewnia bezpieczeństwo Twojej przestrzeni roboczej, jak podkreślono w wskazówkach dotyczących zarządzania usługą Teams oraz najlepszych praktykach zarządzania współpracą zewnętrzną.

Konfigurowanie ustawień dostępu między dzierżawami dla tożsamości zewnętrznych

1. Określ relacje zaufania: Ustal, które zewnętrzne organizacje Microsoft Entra (dzierżawy) mają być zaufane w zakresie współpracy. Obejmuje to wskazanie, które dzierżawy mogą się łączyć i jakie typy użytkowników są dozwolone: wewnętrzni, goście lub jedni i drudzy. Wcześniejsze ustanowienie właściwych relacji stanowi podstawę bezpiecznej i sprawnej współpracy.
2. Skonfiguruj dostęp przychodzący i wychodzący: Dostęp przychodzący oznacza zezwolenie użytkownikom z zewnętrznych dzierżaw na dostęp do Twojego środowiska. Kontrole wychodzące określają, którzy użytkownicy Twojej organizacji mogą uzyskiwać dostęp do zasobów w innych dzierżawach. Dostosowując te ustawienia, możesz zablokować, kto może wejść i wyjść, minimalizując ryzyko.
3. Kontroluj udostępniane zasoby: Przypisz zasady określające, jakie dane i usługi mogą być udostępniane poza granicami dzierżaw. Kontroluj dostęp do zasobów o wysokiej wartości, takich jak poufne przestrzenie w usłudze Teams czy dokumenty w SharePoint, dbając o to, by przez zabezpieczenia przechodzili wyłącznie sprawdzeni użytkownicy zewnętrzni. Dzięki temu poufne treści nie trafią w niepowołane ręce, nawet w dużych projektach współpracy.
4. Wykorzystaj synchronizację między dzierżawami i interfejsy API: W przypadku stałych relacji synchronizacja między dzierżawami oraz interfejsy API Microsoft Graph pozwalają zautomatyzować zarządzanie tożsamościami, członkostwem w grupach i aktualizacjami użytkowników. Narzędzia te ułatwiają obsługę dynamicznych projektów wielu organizacji bez stałej ręcznej ingerencji.
5. Monitoruj dostęp i egzekwuj zgodność: Regularnie audytuj dostęp między dzierżawami, korzystając z dzienników i raportów Entra. Jeśli zauważysz anomalie lub zbędne połączenia, szybko zaostrz zasady. Taka czujność sprawia, że Twój ekosystem współpracy pozostaje solidny i obronny, zwłaszcza że audyty zgodności są coraz powszechniejsze.

Wybór dostawców tożsamości i opcji uwierzytelniania

1. Połącz dzierżawy Azure AD: Większość zewnętrznych użytkowników B2B będzie pochodzić z Azure AD innej organizacji. Możesz połączyć ich dzierżawę macierzystą, dzięki czemu użytkownicy będą logować się swoimi służbowymi danymi uwierzytelniającymi, a Ty lokalnie ustawisz uprawnienia i kontrole dostępu. Eliminuje to konieczność zarządzania wieloma hasłami i pomaga zachować bezpieczeństwo po obu stronach.
2. Włącz konta Microsoft (MSA): Jeśli chcesz objąć osoby korzystające z kont Microsoft dla klientów indywidualnych (np. Outlook.com), obsługa MSA w Entra otwiera drogę do szerokiego grona współpracowników spoza katalogu firmowego. To idealne rozwiązanie w scenariuszach obsługi klientów lub obywateli.
3. Dodaj zewnętrznych dostawców tożsamości społecznościowych i innych firm: Aby dotrzeć do jak najszerszego grona użytkowników, połącz Entra External ID z popularnymi społecznościowymi dostawcami tożsamości, takimi jak Google, Facebook czy LinkedIn. Obsługa SAML i OpenID Connect oznacza, że możesz zintegrować usługę nawet z niestandardowymi lub przestarzałymi dostawcami tożsamości, co jest kluczowe dla zewnętrznych partnerów korzystających z infrastruktury spoza Microsoft.
4. Wybierz wymagania uwierzytelniania: Dla każdego dostawcy tożsamości możesz dodatkowo wymusić uwierzytelnianie wieloskładnikowe (MFA), zasady zgodności urzędzeń lub jednorazowe kody dostępu. Silne uwierzytelnianie buduje zaufanie i pozwala utrzymać zabezpieczenia, nawet gdy hasło zewnętrznego użytkownika zostanie skompromitowane.
5. Dostosuj środowisko użytkownika: Dopasuj procesy rejestracji i logowania, wygląd oraz monity o zgodę tak, aby zewnętrzni użytkownicy od pierwszego kliknięcia widzieli styl Twojej firmy i rozumieli oczekiwania dotyczące bezpieczeństwa. Płynne uwierzytelnianie zmniejsza tarcia i ogranicza liczbę zgłoszeń do centrum pomocy, a rygorystyczne kontrole nadal utrzymują szczelność Twojego perymetru.

Zaawansowana konfiguracja i dostosowywanie tożsamości zewnętrznych w Entra External Identities

Gdy opanujesz podstawy, czas na kreatywność. Zaawansowane opcje konfiguracji w Microsoft Entra External Identities pozwalają organizacjom wykroczyć poza prosty proces wdrażania gości i zbudować markowe, bezpieczne oraz zautomatyzowane doświadczenia użytkowników zewnętrznych. To tutaj dopracowujesz szczegóły, które sprawiają, że współpraca z zewnętrznymi podmiotami staje się naturalnym elementem Twojej działalności, bez utraty kontroli.

Pomyśl o scenariuszach, w których potrzebujesz markowej strony logowania, niestandardowych zasad opartych na ryzyku lub lokalizacji albo unikalnych pytań podczas wdrażania dla określonych typów partnerów. Być może Twój oficer ds. zgodności chce ściślejszej kontroli nad tym, do których plików mogą uzyskać dostęp goście, a może potrzebujesz odrębnych przepływów użytkowników dla klientów i dostawców. Możliwości są ogromne, gdy zagłębisz się w niestandardowe zasady i zarządzanie przepływami użytkowników.

A jeśli zależy Ci na prawdziwej efektywności i skalowaniu, interfejs Microsoft Graph API otwiera cały świat automatyzacji. Zbiorcze zaproszenia, dynamiczne przypisywanie grup, a nawet integrowanie żądań dostępu z wewnętrznymi systemami obsługi zgłoszeń — wszystko to jest w zasięgu dzięki zaawansowanym dostosowaniom.

W kolejnych częściach przeprowadzimy Cię krok po kroku przez to, jak zespoły IT mogą kształtować proces zarządzania tożsamością zewnętrzną i utrzymywać najwyższy poziom nadzoru, nawet gdy potrzeby biznesowe ewoluują lub stają się bardziej złożone.

Zarządzanie niestandardowymi zasadami i przepływami użytkowników dla użytkowników zewnętrznych

1. Projektuj niestandardowe doświadczenia rejestracji i logowania: Użyj przepływów użytkowników, aby zbierać określone informacje od użytkowników zewnętrznych podczas rejestracji, dodać branding organizacji i wymagać wyraźnej zgody na Twoje warunki. Takie dostosowanie gwarantuje, że pierwsze wrażenie każdego użytkownika — gościa, partnera czy klienta — będzie zgodne z Twoją marką i wymogami zgodności.
2. Wdrażaj kontrole dostępu oparte na zasadach: Twórz i przypisuj zasady kontrolujące sposób, w jaki użytkownicy zewnętrzni korzystają z zasobów. Na przykład możesz wymagać MFA przy działaniach wysokiego ryzyka, ograniczać dostęp do poufnych plików w zależności od typu użytkownika lub projektu albo zezwalać na współpracę wyłącznie z określonymi domenami.
3. Definiuj atrybuty i oświadczenia: Zbieraj od użytkowników zewnętrznych informacje potrzebne na etapie wdrażania — takie jak nazwa firmy, dział czy kod projektu — a następnie buduj zasady i reguły dostępu w oparciu o te oświadczenia. Pozwala to precyzyjnie dostosować uprawnienia dostępu i raportowanie oraz obsłużyć wymogi dotyczące prywatności lub zgodności w określonych przypadkach.
4. Testuj i iteruj publikowanie zasad: Podglądaj przepływy użytkowników w środowiskach piaskownicy, a następnie wdrażaj aktualizacje w środowisku produkcyjnym. W miarę rozwoju współpracy zewnętrznej regularnie weryfikuj konfiguracje zasad, aby zamykać luki w zabezpieczeniach, upraszczać złożone procesy i dostosowywać je do zmieniających się wymogów regulacyjnych.
5. Zarządzaj cyklem życia i wygaszaniem dostępu: Ustawiaj automatyczne daty wygaśnięcia dostępu gości, ograniczaj widoczność zasobów w zależności od statusu użytkownika i wykorzystuj wyzwalacze zasad do inicjowania przeglądów lub usuwania kont po zakończeniu projektów. Takie proaktywne zarządzanie ogranicza ryzyko i pozwala utrzymać zarządzanie gośćmi zgodnie z najlepszymi praktykami w zakresie zgodności i nadzoru.

Korzystanie z Microsoft Graph API do zarządzania tożsamościami zewnętrznymi

1. Automatyzuj zapraszanie gości i proces wdrażania: Użyj interfejsu Microsoft Graph API, aby zautomatyzować proces zapraszania użytkowników zewnętrznych, zbierania zatwierdzeń od właścicieli zasobów oraz dodawania gości do odpowiednich grup lub zespołów w usłudze Teams. Ogranicza to ręczną pracę, przyspiesza współpracę i tworzy powtarzalny, odporny na błędy przepływ pracy.
2. Zarządzaj przypisaniami do grup i zasobów: Dzięki Graph API możesz masowo przypisywać (lub usuwać) użytkowników zewnętrznych w witrynach SharePoint, zespołach w usłudze Teams lub innych aplikacjach. Jest to szczególnie przydatne w dynamicznych projektach lub w przypadku partnerów, którzy potrzebują szybkiego, tymczasowego dostępu do różnych zasobów.
3. Monitoruj aktywność i egzekwuj zarządzanie: Automatycznie śledź aktywność użytkowników zewnętrznych – logowania, zdarzenia dostępu lub zmiany – i wysyłaj alerty albo uruchamiaj działania na podstawie wcześniej zdefiniowanych reguł. Integracja z usługami Power Platform lub Power BI, opisana w tym przewodniku o opanowywaniu nadmiaru zespołów w usłudze Teams, sprawia, że automatyzacja cyklu życia i audyt są łatwiejsze niż kiedykolwiek.
4. Integruj z narzędziami do obsługi zgłoszeń i zgodności: Połącz przepływy zaproszeń, łańcuchy zatwierdzeń i zarządzanie cyklem życia z zewnętrznymi systemami ITSM lub zgodności. Interfejs Graph API pozwala dopasować usługę Entra do szerszej strategii automatyzacji i przepływów pracy, dzięki czemu wszystkie narzędzia działają w jednym rytmie.
5. Wymuszaj okresowe przeglądy i automatyzuj wycofywanie dostępu: Skonfiguruj skrypty, które będą przypominać właścicielom o regularnym przeglądzie dostępu gości, oznaczać nieaktywne konta do wycofania oraz obsługiwać bezpieczne usuwanie i zasady przechowywania danych. Dzięki automatyzacji opartej na interfejsie API ograniczysz ryzyko i zadbasz o to, by tożsamości zewnętrzne nie zostawały w dzierżawie dłużej, niż jest to potrzebne.

Zabezpieczenia i zarządzanie dostępem dla tożsamości zewnętrznych w usłudze Microsoft Entra

Otwarcie cyfrowych drzwi dla gości, partnerów i dostawców może zwiększyć produktywność, ale tylko wtedy, gdy odpowiednio zabezpieczysz kluczowe zasady. Prawidłowe zarządzanie dostępem zewnętrznym w usłudze Microsoft Entra wymaga warstwowego stosowania mechanizmów kontroli bezpieczeństwa, abyś nigdy nie wymieniał bezpieczeństwa na wygodę – niezależnie od tego, czy udostępniasz poufne materiały w usłudze Teams, czy współpracujesz nad dokumentami w usłudze SharePoint.

Ta część przewodnika omawia te warstwy zabezpieczeń, koncentrując się na tym, jak strategiczne zasady – takie jak dostęp warunkowy i uwierzytelnianie wieloskładnikowe – podnoszą poprzeczkę dla użytkowników zewnętrznych. Dostęp warunkowy to moment, w którym mówisz: „Oczywiście, możesz wejść, ale obowiązują u mnie te zasady”. Standardy zgodności urządzeń gwarantują, że nawet jeśli laptop użytkownika łączy się spoza Twojej sieci, spełnia wymagania, zanim uzyska dostęp do Twoich danych.

Wraz ze stałym wzrostem liczby naruszeń bezpieczeństwa związanych z dostępem partnerów i podwykonawców nie możesz iść na skróty. Poniższe sekcje przeprowadzą Cię przez kluczowe narzędzia i kroki konfiguracji, które pozwolą zabezpieczyć współpracę, zapobiec przypadkowym wyciekom danych i z powodzeniem przejść audyty zgodności. Chcesz szerszego spojrzenia na wielowarstwowe zabezpieczenia usługi Teams? Koniecznie posłuchaj podcastu o wzmacnianiu zabezpieczeń usługi Teams, w którym omawiamy pięciowarstwową ochronę współpracy z gośćmi i partnerami.

Konfigurowanie zasad dostępu warunkowego dla użytkowników zewnętrznych

1. Zacznij od szablonów zasad dla współpracy zewnętrznej: Microsoft Entra oferuje wbudowane szablony dostępu warunkowego przeznaczone specjalnie dla użytkowników B2B i gości. Pozwalają one szybko ustawić wymagania, takie jak wymuszanie MFA, warunki ryzyka logowania lub blokowanie starszych metod uwierzytelniania dla użytkowników zewnętrznych.
2. Skonfiguruj zakres i przypisanie zasad: Stosuj zasady dostępu warunkowego do odpowiednich grup użytkowników – na przykład „Goście i użytkownicy zewnętrzni” – i ograniczaj ich uprawnienia w zależności od wrażliwości zasobów lub scenariuszy biznesowych. Na przykład dostęp podwykonawców do danych finansowych może wymagać ostrzejszych kontroli niż dostęp do ogólnych zespołów projektowych.
3. Zdefiniuj szczegółowe warunki dostępu: Twórz reguły oparte na czynnikach takich jak wynik ryzyka logowania, stan zgodności urządzenia, lokalizacja sieciowa czy kontrola sesji. Pozwala to zaostrzyć zabezpieczenia w sytuacjach wysokiego ryzyka (np. blokując dostęp z niezarządzanych urządzeń), bez utrudniania pracy zaufanym, mało ryzykownym partnerom.
4. Testuj i monitoruj wpływ zasad: Użyj funkcji „what if” i narzędzi raportowania w Entra, aby przed wdrożeniem dla wszystkich użytkowników sprawdzić skutki zmian. Stale monitoruj próby dostępu zewnętrznego i dostosowuj zasady na podstawie rzeczywistej aktywności. Dzięki temu ograniczysz utrudnienia dla użytkowników i szybko zamkniesz wszelkie pojawiające się zagrożenia. Więcej pomysłów znajdziesz w artykule o tym, jak Copilot łączy dostęp z zasadą najmniejszych uprawnień i ciągłym monitorowaniem.
5. Szybko reaguj na naruszenia zasad: Skonfiguruj automatyczne alerty i kroki naprawcze na wypadek, gdy użytkownicy zewnętrzni naruszą reguły bezpieczeństwa, na przykład natychmiastowe unieważnienie sesji lub dodatkową weryfikację tożsamości. Dzięki temu zamykasz pętlę między egzekwowaniem zasad a szybką reakcją na incydenty, co chroni integralność środowiska.

Uwierzytelnianie wieloskładnikowe i zgodność urządzeń w dostępie zewnętrznym

Uwierzytelnianie wieloskładnikowe (MFA) stanowi istotną barierę dla użytkowników zewnętrznych, którzy próbują uzyskać dostęp do Twojego środowiska Microsoft. Wymagając drugiego składnika weryfikacji, na przykład kodu wysłanego na telefon, MFA znacznie utrudnia wykorzystanie skradzionych poświadczeń. Sprawdzanie zgodności urządzeń dodaje kolejną warstwę, dzięki czemu do wrażliwych danych mogą łączyć się wyłącznie zaufane urządzenia spełniające zasady. Dla najlepszej ochrony włącz MFA domyślnie dla wszystkich tożsamości zewnętrznych i wymagaj kontroli kondycji urządzeń w scenariuszach dostępu o wyższym ryzyku w Entra. Razem te działania znacząco ograniczają ryzyko kradzieży poświadczeń i złośliwego oprogramowania.

Cennik i rozliczanie Microsoft Entra External Identities – wyjaśnienie

Liczby mają znaczenie, a w przypadku Microsoft Entra External Identities zrozumienie modelu kosztów może uchronić budżet IT przed niespodziankami. Entra oblicza cenę na podstawie liczby unikalnych użytkowników zewnętrznych – gości, partnerów lub kontaktów B2B – którzy aktywnie logują się w danym miesiącu. Ta miara nazywa się Monthly Active Users (MAU) i została zaprojektowana tak, aby rosła wraz ze wzrostem współpracy.

Znajomość zasad rozliczeń jest kluczowa dla liderów IT i osób odpowiedzialnych za finanse. Wpływa ona nie tylko na planowanie budżetu, ale także na sposób organizowania wdrażania, odłączania użytkowników i okresowych przeglądów dostępu. Im efektywniej zarządzasz dostępem zewnętrznym, tym bardziej przewidywalne (a być może niższe) będą Twoje miesięczne koszty. Oznacza to, że zrozumienie wzrostów wykorzystania, projektów sezonowych i nieaktywnych kont staje się obecnie kwestią wpływającą na wynik finansowy.

Gdy organizacje udostępniają usługi Microsoft Teams, SharePoint i inne zasoby Microsoft 365 interesariuszom zewnętrznym, warto pilnować licencji i liczby użytkowników. Szczegółowe zestawienie poniżej obejmuje progi liczby użytkowników, dostęp bezpłatny i płatny oraz wskazówki, jak optymalizować współpracę bez przekraczania budżetu. Aby dokładniej poznać sposoby maksymalizowania wartości licencji, warto zapoznać się z wskazówkami dotyczącymi licencjonowania Microsoft Copilot – ta sama logika dotyczy planowania budżetu na tożsamości Entra.

Model cenowy External Identities i miesięczni aktywni użytkownicy (MAU)

1. Poznaj model miesięcznych aktywnych użytkowników (MAU): Microsoft Entra External Identities zlicza liczbę unikalnych użytkowników zewnętrznych, którzy logują się do Twojej dzierżawy w ciągu kalendarzowego miesiąca. Każdy gość jest liczony raz w miesiącu, bez względu na to, jak często korzysta z zasobów.
2. Wykorzystaj bezpłatny poziom użytkowania: Microsoft oferuje określoną liczbę MAU za darmo (zazwyczaj 50 000, ale sprawdź szczegóły swojej subskrypcji). Ta liczba zwykle wystarcza małym lub średnim organizacjom albo projektom pilotażowym z ograniczonymi potrzebami współpracy z podmiotami zewnętrznymi.
3. Śledź użytkowników płatnych względem progów: Gdy liczba gości przekroczy bezpłatny limit MAU, każdy dodatkowy aktywny użytkownik generuje opłaty za użytkownika. Progi licencyjne i ceny mogą ulec zmianie, dlatego regularnie sprawdzaj najnowszą dokumentację Microsoft, aby uniknąć niespodzianek w budżecie.
4. Oszacuj i optymalizuj wydatki: Używaj narzędzi raportowania w Entra, aby monitorować aktywność użytkowników zewnętrznych, identyfikować nieaktywne konta i porządkować dostęp, tak aby mieścić się w bezpłatnym poziomie lub ograniczyć liczbę rozliczanych użytkowników. Automatyczne odłączanie kont i regularne przeglądy dostępu są tu Twoimi najlepszymi sprzymierzeńcami.
5. Uwzględnij szczególne scenariusze: Zewnętrzni goście B2B korzystający z funkcji premium lub zaawansowanych mechanizmów zabezpieczeń (takich jak Dostęp warunkowy czy Ochrona tożsamości) mogą wymagać dodatkowych licencji. Planuj projekty współpracy z tym na uwadze – podobnie jak w przypadku zarządzania licencjami Copilot, przemyślane przydziały ograniczają niepotrzebne koszty i jednocześnie pozwalają zachować zgodność z wymogami.

Automatyzacja przeglądów dostępu w zarządzaniu zewnętrznymi użytkownikami

Jeśli chcesz utrzymać otwarte drzwi dla osób spoza organizacji, ale nie zostawiać ich otwartych na zawsze, zautomatyzowane przeglądy dostępu będą Twoim ratunkiem. Wraz z rozwojem współpracy B2B i z gośćmi ustalanie, kto nadal potrzebuje dostępu, kto jest nieaktywny, a kto przeoczył kontrolę, staje się zbyt dużym wyzwaniem dla miesięcznych list kontrolnych w Excelu. Automatyzacja wprowadza w tym porządek, oszczędzając czas i nerwy.

Przeglądy dostępu w usłudze Microsoft Entra External ID pozwalają regularnie i zgodnie z zasadami sprawdzać konta zewnętrzne. Możesz przypisać odpowiedzialność za przeglądy (właścicielom projektów, administratorom IT lub kierownikom biznesowym) i poprosić ich o potwierdzenie, że każdy gość faktycznie potrzebuje dostępu. Cel? Wykryć nieaktualne lub osierocone konta, zanim staną się zagrożeniem dla bezpieczeństwa albo źródłem problemów z zgodnością.

Dalsza część omówi zarządzanie cyklem życia, proces wyłączania kont oraz sposób integracji zautomatyzowanych przeglądów z ogólną strategią zarządzania. Więcej o tym, jak dobre zarządzanie może zamienić chaos w pewną siebie współpracę, znajdziesz w materiale o zarządzaniu usługą Teams i ramach współpracy – wiele z tych samych zasad dotyczy także tożsamości zewnętrznych.

Zarządzanie cyklem życia przy wyłączaniu tożsamości zewnętrznych

1. Zidentyfikuj nieaktywne lub osierocone konta: Planuj regularne audyty lub zautomatyzowane skanowania, aby wykrywać użytkowników zewnętrznych, którzy nie uzyskiwali dostępu do zasobów przez określony czas. Uśpione konta mogą stać się furtką dla incydentów bezpieczeństwa, jeśli nie zostaną szybko usunięte.
2. Zautomatyzuj procedury usuwania: Skonfiguruj w usłudze Entra zasady, które automatycznie wygaszą dostęp gości po określonym czasie (np. po 60 dniach nieaktywności) lub po zakończeniu projektu. Użyj skryptów lub interfejsu Graph API, aby zbiorczo usuwać użytkowników, którzy nie spełniają już kryteriów dalszego dostępu.
3. Powiadamiaj właścicieli zasobów i uzyskuj ich potwierdzenie: Przed wycofaniem dostępu informuj właścicieli projektów lub liderów zespołów, aby mieli szansę przejrzeć i zakwestionować usunięcia, które mogłyby zakłócić uzasadnioną współpracę. Dodatkowa weryfikacja pomaga znaleźć właściwą równowagę między bezpieczeństwem a produktywnością.
4. Zdefiniuj zasady przechowywania danych i zgodności: Ustal, co stanie się z udostępnioną zawartością, historią czatów lub plikami należącymi do użytkowników zewnętrznych po wyłączeniu ich kont. Opracuj procedury przekazywania własności, archiwizowania lub usuwania danych, aby spełnić wymogi regulacyjne i zasady ładu korporacyjnego.
5. Dokumentuj procesy wyłączania na potrzeby audytów: Prowadź ewidencję wszystkich wyłączonych kont, działań usuwających oraz konfiguracji zasad, które te działania uruchomiły. Taka dokumentacja będzie bezcenna podczas przeglądów zgodności i przy odpowiadaniu na żądania organów regulacyjnych.

Integracja Microsoft Entra External ID z aplikacjami innych firm

Załóżmy, że Twój świat technologiczny to nie tylko Microsoft 365 – może używasz CRM, starego wewnętrznego portalu albo kilku platform SaaS. Microsoft Entra External ID nie musi ograniczać się do własnego podwórka. Możesz rozszerzyć jego bezpieczne, oparte na zasadach podejście na niemal każdy zewnętrzny system, dzięki czemu zarządzanie tożsamościami stanie się spójne w całej organizacji.

Nieważne, czy pracujesz z aplikacjami chmurowymi, platformami lokalnymi, czy środowiskami hybrydowymi – Entra może pełnić rolę bezpiecznego mostu tożsamości. Integracje z protokołami SAML, OAuth i OpenID Connect pozwalają federować tożsamości i uwierzytelnianie do takich systemów jak Salesforce, ServiceNow, stare aplikacje Java czy praktycznie wszystko, co obsługuje logowanie oparte na standardach.

To podejście ułatwia partnerom, klientom i dostawcom posiadanie jednej, zunifikowanej tożsamości zewnętrznej do wszystkich aplikacji – koniec ze zmęczeniem hasłami i ręcznym wdrażaniem użytkowników. W kolejnej sekcji pokażemy, jak zabezpieczyć wzorce federacji i chronić interfejsy API, gdy udostępniasz zasoby użytkownikom zewnętrznym.

Wzorce federacji i zabezpieczenia zewnętrznych interfejsów API

• Integracja z dawnymi aplikacjami przez SAML/WS-Federation: Podłącz Entra External ID do starszych wewnętrznych lub partnerskich aplikacji przy użyciu SAML lub WS-Fed. Zewnętrzni użytkownicy zalogują się tymi samymi danymi, których używają w usługach Teams lub SharePoint. Upraszcza to wdrażanie użytkowników zewnętrznych i ogranicza mnożenie się haseł.
• OpenID Connect/OAuth dla aplikacji SaaS i aplikacji internetowych: Rozszerz uwierzytelnianie Entra na nowoczesne aplikacje chmurowe lub niestandardowe portale. Użytkownicy zewnętrzni uzyskają logowanie jednokrotne, a Twoje zasady bezpieczeństwa i zgodności zostaną zastosowane niezależnie od platformy.
• Zabezpieczenia API z OAuth2 i zarządzaniem tokenami: Udostępniając interfejsy API partnerom zewnętrznym, używaj OAuth2 z tokenami dostępu wystawianymi przez Entra. Wymuszaj zakresy, czas wygaśnięcia i unieważnianie tokenów, aby integracje z partnerami były ściśle kontrolowane i podlegały audytowi.
• Wzorce federacji w środowiskach wielochmurowych i hybrydowych: Wykorzystaj Entra jako centralny punkt zaufania dla użytkowników pochodzących z AWS, Google lub katalogów lokalnych. Federacja pozwala zarządzać zasadami, raportowaniem i przeglądami dostępu w jednym centrum, nawet jeśli Twoje aplikacje działają gdzie indziej.
• Monitoruj i ograniczaj użycie API: W przypadku publicznie udostępnionych interfejsów API wdróż ograniczanie liczby żądań i rejestrowanie dostępu. Chroni to przed nadużyciami, wspiera zgodność z przepisami i zapewnia jasny ślad audytowy na wypadek sporów lub dochodzeń.

Zgodność z przepisami i ochrona prywatności w przypadku tożsamości zewnętrznych

Dodanie tożsamości zewnętrznych do środowiska Microsoft 365 oznacza odpowiedzialność znacznie wykraczającą poza udostępnianie plików – odpowiadasz również za zgodność z przepisami i ochronę prywatności. Niezależnie od tego, czy chodzi o RODO, CCPA, czy branżowe wymogi, Entra External ID zapewnia mechanizmy kontroli i raportowania, których potrzebujesz, aby wykazać przed regulatorami, że zarządzasz dostępem zewnętrznym w sposób odpowiedzialny i z poszanowaniem prywatności.

Ta sekcja przygotowuje grunt pod ustawienia prywatności, zarządzanie zgodami i budowanie przejrzystości w każdej relacji z użytkownikiem. Dowiesz się, jak zbierać i zarządzać zgodami użytkowników zewnętrznych, konfigurować komunikaty o prywatności i realizować prawa osób, których dane dotyczą, gdy chcą wiedzieć – lub kontrolować – jakie informacje przechowujesz. Wraz ze wzrostem wymogów w zakresie zgodności na świecie posiadanie tych możliwości w standardzie nie jest już dodatkiem; jest obowiązkowe.

Właściwa konfiguracja zgodności sprawia, że nie zaskoczą Cię nowe przepisy i nie będziesz miał problemów z żądaniami osób, których dane dotyczą. Organizacje korzystające z Microsoft Copilot lub innych narzędzi AI mogą liczyć na przydatne podobieństwa w zakresie kontroli prywatności i mechanizmów zgody, opisane szczegółowo w tym omówieniu struktury ochrony danych w Copilot. Dalej przyjrzymy się konfiguracji ścieżek audytu i solidnego raportowania dla całego dostępu użytkowników zewnętrznych.

Ścieżki audytu i raportowanie dostępu zewnętrznego

1. Włącz szczegółowe rejestrowanie dostępu: Włącz rejestrowanie wszystkich działań użytkowników zewnętrznych, w tym logowań, udostępniania zasobów i zmian uprawnień. Kompletne dzienniki dają pełny obraz tego, kto, co, kiedy i skąd zrobił.
2. Skonfiguruj monitorowanie w czasie rzeczywistym i alerty: Ustaw alerty dotyczące nietypowych lub ryzykownych zachowań dostępu zewnętrznego. Pozwala to szybko reagować na podejrzane zdarzenia, takie jak nieudane próby logowania lub dostęp z nieznanych lokalizacji.
3. Wdróż pulpity raportowania: Użyj centrum administracyjnego Entra lub zintegrowanych narzędzi (jak Power BI), aby pobierać raporty dotyczące aktywności użytkowników zewnętrznych i przedstawiać zgodność na pierwszy rzut oka podczas audytów lub dla interesariuszy na poziomie kierowniczym.
4. Spełniaj wymogi regulacyjne dzięki eksportowi danych: Utrzymuj dzienniki gotowe do eksportu i okresowe raporty, aby wspierać wymogi RODO, CCPA lub branżowe. Gdy zgłosi się regulator lub klient, będziesz mieć dowody na czujność w zakresie bezpieczeństwa i sprawne zarządzanie operacyjne.

Lista kontrolna funkcji Microsoft Entra External Identities

Funkcje Microsoft Entra External: możliwości dzierżawy Microsoft Entra i External ID

Czym są Entra ID External Identities i jaki mają związek z Azure AD External Identities?

Entra ID External Identities (dawniej Azure AD External Identities) to zestaw możliwości w ramach Microsoft Entra, który umożliwia organizacjom bezpieczny dostęp zewnętrznych użytkowników i organizacji do Twoich zasobów. Obsługuje zarządzanie tożsamością i dostępem klientów oraz funkcje external id, a także scenariusze external id tenant, dzięki czemu firmy mogą współpracować z zewnętrznymi partnerami biznesowymi, dostawcami i klientami, egzekwując jednocześnie tożsamość i dostęp użytkowników zewnętrznych.

Jak zarządzać dostępem dla użytkowników zewnętrznych i dzierżaw zewnętrznych?

Zarządzaj dostępem użytkowników zewnętrznych, zapraszając ich za pomocą współpracy Azure AD B2B, konfigurując współpracę zgodnie z zasadami dla użytkowników zewnętrznych oraz korzystając z funkcji Microsoft Entra, takich jak dostęp warunkowy dla użytkowników zewnętrznych, zarządzanie uprawnieniami (entitlement management) i pakiety dostępu. Możesz dodawać organizacje zewnętrzne, konfigurować ustawienia współpracy zewnętrznej w dzierżawie Microsoft Entra oraz używać ustawień dostawców external id do kontrolowania uprawnień i cyklu życia kont gości.

Czy mogę zezwolić użytkownikom zewnętrznym na korzystanie z ich kont Microsoft Entra lub innych tożsamości społecznościowych?

Tak. Microsoft Entra external id łączy zaawansowane rozwiązania, które pozwalają użytkownikom zewnętrznym logować się przy użyciu kont Microsoft Entra, tożsamości społecznościowych lub kont lokalnych. Korzystając z Microsoft Entra ID lub Azure AD B2C, możesz obsługiwać konta Microsoft Entra, włączyć zarządzanie tożsamością i dostępem klientów oraz zapewnić elastyczne opcje uwierzytelniania dla użytkowników zewnętrznych na dużą skalę.

Jak zabezpieczyć dostęp zewnętrzny i zaufać MFA dla użytkowników gości?

Zabezpiecz dostęp zewnętrzny, wymuszając zasady dostępu warunkowego dla zewnętrznego B2B, włączając zaufanie do MFA (uwierzytelniania wieloskładnikowego) w przypadku operacji wysokiego ryzyka i stosując zasady współpracy B2B. Możesz wymagać MFA od użytkowników zewnętrznych, ufać MFA z dzierżaw partnerów oraz korzystać z dostępu warunkowego i ochrony tożsamości Microsoft Entra, aby ograniczać ryzyko, jednocześnie umożliwiając współpracę zewnętrzną.

Jakie funkcje external id wspierają zarządzanie i cykl życia?

Funkcje external id obejmują zarządzanie uprawnieniami (entitlement management), pakiety dostępu, zautomatyzowany cykl życia użytkowników gości, przeglądy dostępu oraz zasady współpracy B2B z podmiotami zewnętrznymi. Te możliwości Microsoft Entra external ID pozwalają administratorom nadzorować, kto ma dostęp, zarządzać wygasaniem dostępu i automatyzować przeglądy, aby zapewnić bezpieczny dostęp oraz zgodność dla użytkowników zewnętrznych i organizacji.

Czym różnią się scenariusze dzierżawy pracowniczej i zewnętrznej w Microsoft Entra?

Dzierżawa pracownicza zazwyczaj przechowuje tożsamości pracowników i egzekwuje zasady wewnętrzne, natomiast dzierżawa zewnętrzna służy użytkownikom zewnętrznym, partnerom lub klientom. Microsoft Entra external ID obsługuje dzierżawy pracownicze i zewnętrzne, umożliwiając współpracę między dzierżawami, konfigurowanie ustawień współpracy zewnętrznej oraz różnicowanie zasad, dzięki czemu możesz zarządzać dostępem pracowników oddzielnie od współpracy z partnerami zewnętrznymi.

Czy mogę współpracować z zewnętrznymi partnerami biznesowymi w wielu organizacjach Microsoft Entra?

Tak. Microsoft Entra obsługuje współpracę z organizacjami zewnętrznymi oraz pracę z partnerami zewnętrznymi w wielu dzierżawach. Funkcje takie jak tożsamości zewnętrzne Azure AD, ustawienia dostępu między dzierżawami oraz dostęp warunkowy dla użytkowników zewnętrznych ułatwiają współpracę z innymi organizacjami Microsoft Entra i zapewniają bezpieczny dostęp do Microsoft 365 oraz innych zasobów.

Jak Microsoft Entra radzi sobie ze skalowaniem dla użytkowników zewnętrznych i automatycznym wdrażaniem?

Microsoft Entra external ID zapewnia skalowalność dla użytkowników zewnętrznych dzięki obsłudze zbiorczych zaproszeń, samorejestracji oraz integracji z systemami zarządzania tożsamością i dostępem klientów. Korzystając z możliwości dzierżawy external id, możesz zautomatyzować wdrażanie, stosować pakiety dostępu zapewniające spójne zasady dostępu i zarządzać użytkownikami zewnętrznymi na dużą skalę, z funkcjami audytu i raportowania.

Jakie są najlepsze praktyki konfigurowania współpracy zewnętrznej i zasad dostępu?

Najlepsze praktyki obejmują stosowanie dostępu warunkowego dla użytkowników zewnętrznych, włączanie zaufania do MFA, konfigurowanie ustawień współpracy zewnętrznej w celu ograniczenia uprawnień gości, korzystanie z zarządzania uprawnieniami Microsoft Entra w cyklu życia dostępu oraz monitorowanie działań zewnętrznych. Połącz możliwości external id z rygorystycznymi zasadami dostępu dla współpracy B2B, aby zapewnić bezpieczny dostęp zewnętrzny, jednocześnie umożliwiając współpracę z zewnętrznymi partnerami biznesowymi.

Czym jest Entra ID External Identities i jaki ma związek z Azure Active Directory?

Entra ID External Identities to rozwiązanie Microsoft do zarządzania użytkownikami zewnętrznymi i partnerami, którzy potrzebują bezpiecznego dostępu do Twoich zasobów. Jest częścią Microsoft Entra i opiera się na wcześniejszym modelu Azure Active Directory. Umożliwia współpracę B2B z użytkownikami zewnętrznymi, logowanie za pomocą tożsamości społecznościowych, takich jak Google czy Facebook, oraz scenariusze federacyjne. Entra ID External Identities integruje się z funkcjami Azure Active Directory, takimi jak dostęp warunkowy i zarządzanie, aby zapewnić bezpieczny dostęp do Twojego przedsiębiorstwa.

Czym różni się współpraca B2B z użytkownikami zewnętrznymi od indywidualnych współpracowników zewnętrznych?

Współpraca External ID B2B zwykle polega na zapraszaniu użytkowników z innych organizacji Microsoft Entra, w tym z innych dzierżaw, aby współpracowali, korzystając ze swoich firmowych lub zarządzanych kont. Indywidualni współpracownicy zewnętrzni często logują się za pomocą tożsamości konsumenckich lub społecznościowych, takich jak Google. Oba modele umożliwiają współpracę z użytkownikami zewnętrznymi, ale w modelu B2B gość pozostaje w dzierżawie Microsoft Entra, w której są Twoi pracownicy, zachowując tożsamość organizacyjną i oświadczenia z innych dostawców tożsamości Microsoft lub federacyjnych.

Czy mogę używać tożsamości Google, Facebook i innych tożsamości społecznościowych do dostępu gości?

Tak, Entra ID External Identities obsługuje tożsamości społecznościowe, takie jak Google i Facebook, dzięki czemu użytkownicy mogą logować się za ich pomocą. Te tożsamości są obsługiwane w automatyzacji za pośrednictwem interfejsów API Microsoft Graph i można je skonfigurować w portalu Azure w ustawieniach współpracy z użytkownikami zewnętrznymi. Logowanie społecznościowe upraszcza wdrażanie partnerów i kontrahentów, którzy nie mają firmowych kont Azure AD.

Jak wygląda rozliczanie? Jaki jest model rozliczeniowy dla Microsoft Entra External Identities?

Model rozliczeniowy dla tożsamości zewnętrznych Microsoft Entra zwykle opiera się na zużyciu dla użytkowników zewnętrznych, z różnymi poziomami zależnymi od funkcji i liczby aktywnych użytkowników miesięcznie. Microsoft publikuje szczegóły modelu rozliczeniowego dla użycia Microsoft Entra przez użytkowników zewnętrznych. Aktualne ceny sprawdź w swojej subskrypcji i w portalu Azure. W niektórych scenariuszach funkcje mogą częściowo pokrywać się z ofertą Azure AD B2C, a usługa Azure AD B2C nadal jest dostępna dla doświadczeń tożsamości skierowanych do klientów, z własnym cennikiem.

Jakie funkcje zarządzania i zgodności są dostępne (zarządzanie Entra ID i oświadczenia zgodne z wymogami)?

Możliwości zarządzania Entra ID dla tożsamości zewnętrznych obejmują zarządzanie prawami dostępu, przeglądy dostępu i automatyzację cyklu życia, aby zapewnić egzekwowanie oświadczeń zgodnych z wymogami oraz zasad Microsoft Entra. Oświadczenia z innych dzierżaw Microsoft i zewnętrznych dostawców tożsamości można mapować i przekształcać zgodnie z Twoimi zasadami zgodności. Zarządzanie Entra ID pomaga kontrolować, kto ma dostęp, czy goście mają dostęp do zasobów Microsoft, i zapewnia bezpieczny dostęp do Twojego przedsiębiorstwa przy zachowaniu wymogów audytowych i regulacyjnych.

Jak skonfigurować ustawienia współpracy z użytkownikami zewnętrznymi i zarządzać współpracą z innymi dzierżawami Microsoft?

Ustawienia współpracy z użytkownikami zewnętrznymi konfigurujesz w portalu Azure, gdzie możesz ustawić zasady zaproszeń, domyślne uprawnienia użytkowników i ograniczenia dla użytkowników zewnętrznych. Aby zarządzać współpracą z innymi organizacjami Microsoft, w tym z innymi dzierżawami, użyj funkcji współpracy B2B Azure AD, aby akceptować użytkowników z dzierżawy Microsoft Entra, w której są pracownicy partnera, skonfigurować dostęp warunkowy i zastosować mechanizmy zarządzania. Automatyzacja za pośrednictwem interfejsów API Microsoft Graph może pomóc w automatyzowaniu zaproszeń, aprowizacji i zarządzania cyklem życia.

Czy urządzenia hybrydowo dołączone do Microsoft Entra oraz dostęp warunkowy Microsoft Entra są obsługiwane dla użytkowników zewnętrznych?

Zasady dostępu warunkowego Microsoft Entra można stosować wobec użytkowników zewnętrznych, aby kontrolować dostęp na podstawie ryzyka, zgodności urządzenia lub lokalizacji sieciowej. Scenariusze urządzeń hybrydowo dołączonych do Microsoft Entra dotyczą jednak przede wszystkim urządzeń firmowych w Twojej dzierżawie. Indywidualni współpracownicy zewnętrzni zwykle nie rejestrują urządzeń jako hybrydowo dołączonych. Możesz wymagać urządzeń zgodnych lub hybrydowo dołączonych dla kont organizacji partnerskich, jeśli są zarządzane w dzierżawie zawierającej urządzenia zewnętrznej organizacji i ufającej Twoim zasadom.

W jaki sposób automatyzacja za pośrednictwem interfejsów API Microsoft Graph pomaga zarządzać tożsamościami zewnętrznymi?

Automatyzacja z użyciem interfejsów Microsoft Graph API umożliwia programowe zarządzanie zaproszeniami, cyklem życia użytkowników gości, członkostwem w grupach oraz zarządzaniem uprawnieniami (entitlement management) dla funkcji External ID. Wiele funkcji External ID obsługuje również Graph API, co pozwala integrować je z istniejącymi narzędziami do zarządzania tożsamością (identity governance) lub IAM i automatyzować procesy, takie jak provisioning, deprovisioning, przeglądy dostępu i raportowanie dotyczące użytkowników w dowolnej dzierżawie Microsoft Entra.

Czy do aplikacji dla klientów powinienem użyć Azure AD B2C, czy Microsoft Entra External ID?

Azure AD B2C jest przeznaczony do aplikacji dla klientów i oferuje rozbudowane możliwości dostosowywania ścieżek użytkownika oraz dostawców społecznościowych. Microsoft Entra External ID i Azure AD B2B collaboration są natomiast zoptymalizowane pod kątem współpracy z użytkownikami zewnętrznymi i partnerami pracowniczymi. Azure AD B2C nadal jest dostępny dla scenariuszy wymagających zaawansowanych przepływów dla konsumentów. Oceń, czy Twój scenariusz dotyczy współpracy z użytkownikami zewnętrznymi, czy zarządzania tożsamością klientów, aby wybrać właściwą dzierżawę external ID i model wdrożenia Microsoft Entra external.

Jakie są najlepsze praktyki zabezpieczania współpracy z użytkownikami zewnętrznymi w kilku technologiach Microsoft Entra?

Do najlepszych praktyk należą: stosowanie dostępu z najmniejszymi wymaganymi uprawnieniami (least privilege) i zarządzania uprawnieniami (entitlement management), stosowanie warunkowego dostępu Microsoft Entra do kontroli logowania opartej na ryzyku, włączanie uwierzytelniania wieloskładnikowego dla kont zewnętrznych, monitorowanie oświadczeń pochodzących z innych źródeł Microsoft oraz audytowanie dostępu gości. Korzystaj z funkcji zarządzania (governance) Microsoft Entra, aby planować przeglądy dostępu, automatyzować zadania związane z cyklem życia za pomocą Graph API i centralnie konfigurować ustawienia w portalu Azure, co zapewni bezpieczny dostęp do przedsiębiorstwa podczas współpracy z zewnętrznymi dzierżawami i pojedynczymi współpracownikami zewnętrznymi.

Microsoft Entra External ID: decyzje wdrożeniowe

Zweryfikuj aktualne wybory platformy w dokumentacji Microsoft Learn dla External ID. Migracja z Azure AD B2C wymaga przemyślanego planu. Identyfikatory dzierżawy, adresy URL autorytetu, konfigurację aplikacji i ścieżki użytkownika trzeba ocenić, a nie zakładać, że przeniosą się automatycznie.

Często zadawane pytania

Czy Microsoft Entra External ID jest przeznaczony wyłącznie dla klientów?

Nie. Obsługuje scenariusze tożsamości zewnętrznych, w tym aplikacje dla klientów oraz wzorce współpracy z osobami spoza dzierżawy pracowniczej.

Co należy udokumentować przed wdrożeniem użytkowników zewnętrznych?

Udokumentuj właściciela biznesowego, populację użytkowników, cel aplikacji, obsługiwane metody logowania, proces przeglądu dostępu oraz ścieżkę wsparcia.

Ostatni przegląd: lipiec 2026 r.

🎧 Warto też posłuchać

• Identity Governance in Microsoft Entra

  Poznaj cykl życia, model własności i praktyki przeglądów, dzięki którym Microsoft Entra External ID jest trwały i łatwy w utrzymaniu.

• Microsoft Entra Private Access – Simply Explained

  Poznaj inny wzorzec dostępu w Entra oraz kwestie architektury, na których opierają się bezpieczne usługi tożsamości.

• Dostęp warunkowy dla gości w Microsoft Entra ID

  Połącz planowanie tożsamości zewnętrznych z praktycznymi mechanizmami bezpieczeństwa dla dostępu gości i partnerów.