Microsoft Entra External ID: gerenciando identidades externas e locatários

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Gerencie identidades externas com o Microsoft Entra: onboarding de parceiros e convidados, colaboração B2B, acesso entre locatários, Acesso Condicional e análises de acesso.

Automatically translated with AI from the original post. Read the English original

O Microsoft Entra External ID ajuda as organizações a gerenciar identidades de clientes, parceiros e convidados fora do locatário da força de trabalho. Comece separando o cenário de negócio, definindo o ciclo de vida da identidade e os métodos de entrada, atribuindo responsáveis e testando as políticas de acesso com usuários representativos. O design de identidades externas deve combinar experiência do usuário, segurança, governança e custo operacional desde o início.

As identidades externas do Microsoft Entra trazem o mundo exterior para o seu ecossistema do Microsoft 365 com segurança. Se você tem parceiros, fornecedores, prestadores de serviço ou até alguns convidados que precisam acessar o Teams ou o SharePoint, é isso que mantém tudo funcionando de forma fluida e segura. O Entra facilita a colaboração de usuários externos como se fizessem parte da sua equipe, sem nunca deixar a raposa solta no galinheiro.

Para profissionais de TI, isso significa menos noites de preocupação sobre quem está circulando no seu locatário ou quais dados estão sendo acessados. O Microsoft Teams, o SharePoint e o restante da família Microsoft 365 se tornam ambientes mais seguros para que todos possam trabalhar juntos. Este guia detalha exatamente como implementar, governar e escalar identidades externas, mantendo atenção constante aos requisitos de segurança e conformidade, porque ninguém quer ver o próprio nome nas manchetes de uma violação de dados amanhã. Para saber mais sobre o valor de boas barreiras de proteção na colaboração, confira como a governança do Teams transforma o caos em colaboração com confiança.

7 fatos surpreendentes sobre as identidades externas do Microsoft Entra

1. Escala massiva para logins de consumidores e parceiros: As identidades externas do Entra ID dão suporte a milhões de usuários externos e podem escalar para atender grandes volumes de entradas de consumidores, usando limitação inteligente integrada e infraestrutura global, o que as torna adequadas para aplicativos voltados ao cliente com alto tráfego.
2. Preço por usuário ativo: Em vez do licenciamento tradicional por conta, as identidades externas do Entra ID oferecem preço baseado em consumo para usuários externos ativos mensais, o que pode reduzir drasticamente os custos de aplicativos com muitos usuários esporádicos.
3. Suporte a provedores de identidade sociais e corporativos: Você pode permitir que usuários externos façam login com contas sociais (Google, Facebook, Apple) ou federação corporativa (SAML, OpenID Connect, Azure AD), oferecendo uma experiência de identidade flexível sem a necessidade de código de autenticação personalizado.
4. Colaboração entre locatários com convite e federação direta: As identidades externas do Entra ID possibilitam a colaboração B2B por meio de convites, federação direta ou gerenciamento de direitos, simplificando o acesso de parceiros e preservando a segurança e a governança.
5. Acesso condicional e proteção de identidade integrados: Usuários externos podem estar sujeitos às mesmas políticas de acesso condicional, MFA e proteções baseadas em risco disponíveis para usuários internos, reduzindo a superfície de ataque para identidades de clientes e parceiros.
6. Marca personalizada e jornadas de usuário customizáveis: Usando recursos do Azure AD B2C dentro das identidades externas do Entra ID, as organizações podem criar experiências de cadastro e login totalmente com a sua marca e personalizar as jornadas de usuário para verificação, vinculação de contas sociais e coleta de perfil.
7. Integração perfeita com o ecossistema e as APIs da Microsoft: As identidades externas do Entra ID se integram ao Microsoft Graph, aos aplicativos do Azure AD, ao controle de acesso baseado em funções e aos serviços subsequentes, permitindo o gerenciamento centralizado de identidades externas em aplicativos Microsoft e personalizados.

O que são identidades externas no Microsoft Entra

No universo do Microsoft Entra, identidades externas são exatamente o que o nome sugere: contas pertencentes a pessoas fora da sua organização. Em vez de dar acesso total de funcionário a quem não é da casa (o que ninguém quer), o Entra permite trazer usuários externos sob condições controladas. Podem ser parceiros trabalhando em um projeto conjunto, fornecedores que dão suporte aos seus sistemas de TI, freelancers ajudando com design ou clientes acessando um portal compartilhado.

Então, o que torna uma identidade "externa"? Basicamente, é qualquer pessoa que usa as próprias credenciais, como o login da empresa, uma conta Microsoft ou até mesmo uma conta Google, para acessar seus aplicativos, espaços do Teams ou documentos compartilhados. Usuários internos obtêm suas identidades do seu próprio diretório. Colaboradores externos chegam com credenciais emitidas por outra organização, mas o acesso deles é regido pelas suas políticas de segurança.

Casos de uso típicos? Pense em um parceiro da construção civil colaborando em um projeto no Teams, ou no compartilhamento de documentos sensíveis no SharePoint com um órgão governamental. Em vez de criar um novo nome de usuário e senha para cada pessoa de fora, você a integra como convidada, gerencia suas permissões com rigor e mantém uma separação clara entre o que é interno e o que é externo. Essa abordagem ajuda as organizações a colaborar em escala, reduzir a sobrecarga administrativa e manter o controle sobre quem pode ver o quê, quando e por quê. Ela também apoia os esforços de conformidade, ao rastrear o acesso externo e aplicar controles de segurança desde o início.

Com o trabalho moderno exigindo colaboração regular além das quatro paredes da empresa, uma configuração sólida de identidades externas no Microsoft Entra agora é obrigatória, não uma opção.

Visão geral do Microsoft Entra External ID e principais recursos

O Microsoft Entra External ID é a resposta da plataforma para a colaboração segura e escalável com usuários que não fazem parte da sua organização principal. Pense nele como o segurança na porta: deixa entrar os convidados certos, mantém tudo organizado e garante que ninguém acesse áreas restritas. Seja que você receba parceiros, fornecedores ou clientes no Microsoft Teams ou no SharePoint, o Entra External ID ajuda a recebê-los com os controles certos já em vigor.

Os principais recursos incluem o gerenciamento fácil de usuários convidados B2B (business-to-business), a integração com uma ampla variedade de provedores de identidade e opções flexíveis de autenticação. Você pode convidar usuários usando suas contas corporativas, de instituições de ensino ou contas sociais, e personalizar exatamente como eles acessam seus recursos. Os usuários externos não precisam de uma conta nova: podem usar aquela em que já confiam, enquanto você define os limites com controles de acesso e políticas robustas.

O Entra External ID não serve apenas para abrir a porta, mas para mantê-la trancada conforme as suas especificações. Você obtém o gerenciamento centralizado de usuários pelo centro de administração do Microsoft Entra, com controles avançados para monitorar, auditar e governar cada evento de acesso externo. A plataforma permite definir políticas diferentes para convidados, controlar quais espaços do Teams e do SharePoint eles acessam e garantir a conformidade por meio de registros e relatórios abrangentes.

Para os profissionais de TI, o grande ganho é que o Entra External ID oferece suporte a tudo, desde o acesso simples de convidados até cenários avançados: colaboração entre locatários, experiências de usuário com marca própria, políticas personalizadas e fluxos de trabalho automatizados. Isso significa menos gerenciamento manual de usuários, compartilhamento mais seguro e governança simplificada à medida que você escala seus projetos e parcerias.

Guia de implementação de identidades externas do Microsoft Entra

Implementar identidades externas do Microsoft Entra é encontrar o equilíbrio certo entre colaboração e controle. Esta seção prepara você para liberar o acesso externo com cuidado, para que sua organização continue produtiva e segura à medida que traz colaboradores de fora. Você verá como a Microsoft possibilita conectar convidados e parceiros às ferramentas de que precisam, enquanto você mantém o controle sobre o acesso, a autenticação e a aplicação das políticas.

A jornada de implementação apresenta conceitos como colaboração B2B, configuração de acesso entre locatários e a configuração de uma série de provedores de identidade, cada um com um papel fundamental em como você integra usuários externos e mantém tudo organizado. Você também entenderá por que o planejamento estratégico é essencial: configurar convites, fluxos de usuário e regras entre locatários logo no início significa menos caos, menos proliferação e resultados de segurança e governança mais previsíveis.

As etapas detalhadas a seguir abordam cada parte importante desse processo, desde convidar e gerenciar usuários externos até ajustar quais provedores de identidade são suportados e configurar relações de confiança com organizações parceiras. O foco é sempre tornar a colaboração simples para os usuários, mas segura e rastreável para as áreas de TI e conformidade. Para aproveitar ao máximo o Entra External Identities, vale entender os blocos de construção antes de partir para os detalhes práticos nas próximas seções.

Configurando a colaboração B2B no Microsoft Entra

1. Adicione usuários convidados ao seu locatário: Comece convidando colaboradores externos diretamente pelo centro de administração do Microsoft Entra ou pelos seus fluxos integrados do Microsoft Teams/SharePoint. Você pode enviar convites usando o e-mail corporativo, de instituição de ensino ou pessoal da pessoa. Esse processo de integração garante que cada usuário convidado seja registrado, rastreável e vinculado às suas políticas de segurança.
2. Configure as definições de convite: Decida quem na sua organização pode convidar convidados e quais informações são obrigatórias nos convites. Você pode restringir os convites a determinados departamentos ou habilitar o autoatendimento para acelerar a colaboração em projetos. Vale a pena definir regras claras de convite para evitar o compartilhamento excessivo acidental.
3. Defina o acesso e as permissões dos usuários: Depois de convidados, atribua os usuários convidados aos grupos, equipes do Teams ou sites do SharePoint corretos. Use o controle de acesso baseado em funções (RBAC) para restringir recursos sensíveis e aplique configurações de compartilhamento alinhadas à política da empresa. Controles granulares ajudam a evitar a proliferação de convidados e a exposição acidental.
4. Integre com a governança do Teams e do SharePoint: Aplique políticas de colaboração que reforcem seus objetivos de segurança e conformidade. Como explicado neste guia sobre governança do Teams, padronizar permissões, convenções de nomenclatura e políticas de ciclo de vida simplifica a gestão de convidados e minimiza os riscos de vazamento de dados ou confusão.
5. Monitore e gerencie o acesso contínuo: Revise regularmente quem tem acesso, remova ou reduza privilégios de usuários que não precisam mais de direitos de colaboração e exija nova aprovação para convidados de longo prazo. Manter o controle sobre o acesso de convidados evita contas órfãs e garante que seu espaço de trabalho digital permaneça seguro, como destacado em orientações sobre governança do Teams e nas melhores práticas para gerenciar a colaboração externa.

Configurando as definições de acesso entre locatários para identidades externas

1. Defina relações de confiança: Determine quais organizações externas do Microsoft Entra (locatários) devem ser confiáveis para colaboração. Isso envolve especificar quais locatários podem se conectar e quais tipos de usuários são permitidos: internos, convidados ou ambos. Estabelecer as relações certas desde o início cria a base para uma colaboração segura e simplificada.
2. Configure o acesso de entrada e de saída: O acesso de entrada significa permitir que usuários de locatários externos entrem no seu ambiente. Os controles de saída determinam quais usuários da sua organização podem acessar recursos em outros locatários. Ao ajustar essas configurações, você controla quem pode entrar e sair, minimizando a exposição a riscos.
3. Controle os recursos compartilhados: Atribua políticas para definir quais dados e serviços podem ser compartilhados entre os limites dos locatários. Controle o acesso a recursos de alto valor, como espaços confidenciais do Teams ou documentos do SharePoint, garantindo que apenas usuários externos devidamente validados tenham acesso. Isso mantém conteúdos sensíveis fora das mãos erradas, mesmo em colaborações de grande escala.
4. Aproveite a sincronização entre locatários e as APIs: Para relacionamentos contínuos, a sincronização entre locatários e as APIs do Microsoft Graph permitem automatizar a gestão de identidades, as associações a grupos e as atualizações de usuários. Essas ferramentas facilitam o suporte a projetos dinâmicos com várias organizações sem intervenção manual constante.
5. Monitore o acesso e aplique a conformidade: Audite regularmente o acesso entre locatários usando os logs e relatórios do Entra. Se identificar anomalias ou conexões desnecessárias, aja rapidamente para endurecer as políticas. Essa vigilância mantém seu ecossistema colaborativo robusto e defensável, especialmente à medida que as auditorias de conformidade se tornam mais comuns.

Escolhendo provedores de identidade e opções de autenticação

1. Conecte locatários do Azure AD: A maioria dos usuários B2B externos virá do Azure AD de outra organização. Você pode vincular o locatário de origem deles, permitindo que os usuários façam login com as credenciais corporativas, enquanto você define localmente as permissões e os controles de acesso. Isso elimina a necessidade de gerenciar várias senhas e ajuda a preservar a segurança de ambos os lados.
2. Habilite contas Microsoft (MSA): Se você quiser incluir pessoas que usam contas Microsoft de consumidor (como o Outlook.com), o suporte do Entra para MSA abre as portas para um amplo grupo de colaboradores que não fazem parte de um diretório corporativo. Isso é ideal para cenários de clientes ou cidadãos.
3. Adicione IDPs sociais e de terceiros: Para alcançar a base de usuários mais ampla possível, conecte o Entra External ID a provedores de identidade sociais comuns, como Google, Facebook ou LinkedIn. O suporte a SAML ou OpenID Connect significa que você pode até integrar com provedores de identidade personalizados ou legados, o que é essencial para parceiros externos que usam infraestrutura não Microsoft.
4. Selecione os requisitos de autenticação: Para cada IDP, você pode adicionar autenticação multifator (MFA), políticas de conformidade de dispositivos ou códigos de acesso de uso único. A autenticação forte aumenta a confiança e mantém as portas trancadas, mesmo que a senha de um usuário externo seja comprometida.
5. Personalize as experiências do usuário: Adapte os fluxos de cadastro e de entrada, a identidade visual e as solicitações de consentimento para que os usuários externos vejam o estilo da sua empresa e entendam as expectativas de segurança desde o primeiro clique. Uma experiência de autenticação fluida reduz o atrito e diminui os chamados para o helpdesk, enquanto controles rigorosos continuam mantendo seu perímetro bem protegido.

Configuração avançada e personalização para Entra External Identities

Depois que você dominar o básico, é hora de ser criativo. As opções de configuração avançada no Microsoft Entra External Identities permitem que as organizações vão além da simples integração de convidados e orquestrem experiências de usuários externos personalizadas, seguras e automatizadas. É aqui que você acrescenta o acabamento que faz da colaboração externa uma parte natural do seu negócio, sem abrir mão do controle.

Pense em cenários em que você queira uma página de entrada com a sua identidade visual, políticas personalizadas com base em risco ou localização geográfica, ou perguntas de integração exclusivas para tipos específicos de parceiros. Talvez o seu responsável por compliance queira um controle mais rígido sobre quais arquivos os convidados podem acessar, ou você precise de fluxos de usuário diferentes para clientes e fornecedores. As possibilidades são muitas quando você se aprofunda em políticas personalizadas e no gerenciamento de fluxos de usuário.

E, se você busca eficiência e escala de verdade, a Microsoft Graph API abre um universo de automação. Convites em massa, atribuições dinâmicas de grupos ou até a integração de solicitações de acesso com seus sistemas internos de chamados: tudo isso está ao seu alcance com personalizações avançadas.

Daqui em diante, você verá um passo a passo de como as equipes de TI podem moldar a jornada de identidade externa e manter a governança em alto nível, mesmo quando as necessidades do negócio evoluírem ou se tornarem mais complexas.

Gerenciando políticas personalizadas e fluxos de usuário para usuários externos

1. Crie experiências personalizadas de cadastro e de entrada: Use fluxos de usuário para coletar informações específicas dos usuários externos no momento do registro, aplicar a identidade visual da organização e exigir consentimento explícito para os seus termos. Essa personalização garante que a primeira impressão de cada usuário, seja ele convidado, parceiro ou cliente, esteja alinhada à sua marca e às necessidades de compliance.
2. Implemente controles de acesso baseados em políticas: Crie e atribua políticas que controlem como os usuários externos interagem com seus recursos. Por exemplo, você pode exigir MFA para ações de alto risco, restringir o acesso a arquivos confidenciais com base no tipo de usuário ou no projeto, ou criar uma lista de permissões com os domínios autorizados à colaboração.
3. Defina atributos e declarações: Colete no onboarding as informações de que você precisa dos usuários externos, como nome da empresa, departamento ou código do projeto, e então crie políticas e regras de acesso com base nessas declarações. Isso permite ajustar com precisão as permissões de acesso e os relatórios, além de atender a requisitos condicionais de privacidade ou compliance.
4. Teste e itere a publicação de políticas: Visualize os fluxos de usuário em ambientes de sandbox e só então publique as atualizações em produção. À medida que a colaboração externa evolui, revise regularmente as configurações de política para fechar lacunas de segurança, simplificar processos complexos ou se alinhar a mudanças nos requisitos regulatórios.
5. Governe o ciclo de vida e o desligamento de acessos: Defina datas de expiração automática para o acesso de convidados, limite a visibilidade dos recursos com base no status do usuário e use gatilhos de política para iniciar revisões ou remoções quando os projetos forem concluídos. Essa gestão proativa reduz riscos e mantém o gerenciamento de convidados alinhado às melhores práticas de compliance e governança.

Usando a Microsoft Graph API para gerenciar identidades externas

1. Automatize convites e a integração de convidados: Use a API do Microsoft Graph para criar um script que faça o processo de convidar usuários externos, coletar a aprovação dos proprietários dos recursos e adicionar os convidados aos grupos ou Teams adequados. Isso reduz o trabalho manual, acelera a colaboração e cria um fluxo de trabalho repetível e resistente a erros.
2. Gerencie as atribuições de grupos e recursos: Com a API do Graph, você pode atribuir (ou remover) usuários externos de sites do SharePoint, Teams ou outros aplicativos em massa. Isso é especialmente útil em ambientes de projetos dinâmicos ou para parceiros que precisam de acesso temporário e rápido a vários recursos.
3. Monitore a atividade e aplique a governança: Acompanhe automaticamente a atividade dos usuários externos (logins, eventos de acesso ou alterações) e envie alertas ou acione ações com base em regras predefinidas. A integração com o Power Platform ou o Power BI, como detalhado neste guia sobre como controlar a proliferação de Teams, torna a automação do ciclo de vida e a auditoria mais fáceis do que nunca.
4. Integre com ferramentas de chamados e de conformidade: Conecte os fluxos de convite, as cadeias de aprovação e o gerenciamento do ciclo de vida a sistemas ITSM ou de conformidade de terceiros. A API do Graph permite que o Entra se encaixe na sua estratégia mais ampla de automação e fluxos de trabalho, mantendo todas as suas ferramentas alinhadas.
5. Force revisões periódicas e automatize o offboarding: Configure scripts para lembrar os proprietários de revisar regularmente o acesso dos convidados, sinalizar contas inativas para desprovisionamento e tratar a remoção segura e as políticas de retenção de dados. Com automação orientada por API, você reduz o risco e garante que as identidades externas não permaneçam além do necessário.

Segurança e gerenciamento de acesso para identidades externas do Microsoft Entra

Abrir sua porta digital para convidados, parceiros e fornecedores pode aumentar a produtividade, mas só se você definir as proteções certas. Configurar o acesso externo corretamente no Microsoft Entra significa combinar camadas de controles de segurança para que você nunca troque conveniência por risco, seja compartilhando informações sensíveis no Teams ou colaborando em documentos no SharePoint.

Esta parte do guia analisa essas camadas de segurança, com foco em como políticas estratégicas, como o acesso condicional e a autenticação multifator, elevam o nível de proteção para usuários externos. O acesso condicional é onde você diz: "Pode entrar, mas estas são as regras da casa." Os padrões de conformidade de dispositivos garantem que, mesmo que o notebook de um usuário esteja vindo de fora da sua rede, ele atenda aos seus requisitos antes de acessar seus dados.

Com o aumento constante de violações relacionadas ao acesso de parceiros e prestadores de serviço, você não pode se dar ao luxo de economizar nos detalhes. As seções a seguir mostram as principais ferramentas e etapas de configuração para proteger a colaboração, evitar vazamentos acidentais de dados e se sair bem em auditorias de conformidade. Quer uma visão mais ampla da segurança em camadas do Teams? Não perca o podcast sobre como reforçar a segurança do Teams, que trata de estratégias de proteção em cinco camadas para colaboração com convidados e parceiros.

Configurando políticas de acesso condicional para usuários externos

1. Comece com modelos de política para colaboração externa: O Microsoft Entra oferece modelos de acesso condicional integrados, criados especificamente para usuários B2B e convidados. Esses modelos permitem definir rapidamente requisitos como a imposição de MFA, condições de risco de entrada ou o bloqueio de autenticação legada para usuários externos.
2. Defina o escopo e a atribuição da política: Aplique as políticas de acesso condicional aos grupos de usuários certos, como "Convidados e usuários externos", e limite os recursos disponíveis com base na sensibilidade do recurso ou no cenário de negócio. Por exemplo, você pode exigir controles mais rígidos para o acesso de prestadores de serviço a dados financeiros do que para o acesso a Teams de projetos gerais.
3. Defina condições de acesso granulares: Crie regras com base em fatores como pontuação de risco de entrada, status de conformidade do dispositivo, localização da rede ou controles de sessão. Isso permite aumentar a segurança em situações de alto risco (por exemplo, bloqueando o acesso a partir de dispositivos não gerenciados) sem prejudicar parceiros confiáveis e de baixo risco.
4. Teste e monitore o impacto das políticas: Use as ferramentas “what if” e de relatórios do Entra para visualizar os efeitos antes de implantar para todos os usuários. Monitore continuamente as tentativas de acesso externo e ajuste as políticas com base na atividade real, reduzindo o atrito e eliminando rapidamente quaisquer riscos emergentes—para mais ideias, veja como o Copilot combina acesso de privilégio mínimo com monitoramento contínuo.
5. Responda rapidamente às violações de política: Configure alertas automatizados e etapas de remediação caso usuários externos acionem regras de segurança—como a revogação imediata de sessões ou verificação de identidade adicional. Isso fecha o ciclo entre a aplicação das políticas e a resposta rápida a incidentes, preservando a integridade do seu ambiente.

Autenticação multifator e conformidade de dispositivos para acesso externo

A autenticação multifator (MFA) adiciona uma barreira essencial para usuários externos que tentam acessar seu ambiente Microsoft. Ao exigir uma segunda forma de verificação—como um código enviado para o celular—a MFA torna muito mais difícil que credenciais roubadas causem danos. As verificações de conformidade de dispositivos adicionam mais uma camada, garantindo que apenas dispositivos confiáveis e em conformidade com as políticas se conectem a dados sensíveis. Para uma defesa mais forte, habilite a MFA por padrão para todas as identidades externas e exija verificações de integridade do dispositivo em cenários de acesso de maior risco no Entra. Juntas, essas estratégias reduzem significativamente sua exposição ao roubo de credenciais e ao malware.

Preços e cobrança do Microsoft Entra External Identities explicados

Dinheiro fala, e quando se trata do Microsoft Entra External Identities, entender o modelo de custos pode evitar surpresas no orçamento de TI. O Entra calcula os preços com base em quantos usuários externos exclusivos—convidados, parceiros ou contatos B2B—fazem login ativamente a cada mês. Essa métrica é conhecida como Monthly Active Users (MAU) e foi projetada para crescer conforme sua colaboração cresce.

Conhecer o funcionamento desse modelo de cobrança é essencial para líderes de TI e responsáveis financeiros. Ele influencia não só como você planeja o orçamento, mas também como estrutura o onboarding, o offboarding e as revisões periódicas de acesso. Quanto mais eficientemente você gerenciar o acesso externo, mais previsíveis (e possivelmente menores) serão seus custos mensais. Isso significa que entender picos de uso, projetos sazonais ou contas inativas agora é uma questão que impacta diretamente o resultado financeiro.

À medida que as organizações abrem o Microsoft Teams, o SharePoint e outros recursos do 365 para partes interessadas externas, vale a pena acompanhar de perto o licenciamento e a contagem de usuários. A análise detalhada a seguir aborda os limites por faixa de usuários, o acesso gratuito versus o cobrável e dicas para otimizar sua colaboração sem estourar o orçamento. Para uma visão mais aprofundada sobre como extrair o máximo valor das licenças, você vai se interessar pelo guia sobre licenciamento do Microsoft Copilot—a mesma lógica se aplica ao planejamento do orçamento para identidades do Entra.

Modelo de preços de External Identities e usuários ativos mensais

1. Entenda o modelo de Monthly Active Users (MAU): O Microsoft Entra External Identities contabiliza o número de usuários externos exclusivos que fazem login no seu locatário durante um mês do calendário. Cada convidado é contado uma única vez por mês, não importa quantas vezes acesse os recursos.
2. Aproveite o nível gratuito de uso: A Microsoft oferece uma quantidade fixa de MAUs gratuitos (normalmente 50.000, mas confira os detalhes da sua assinatura). Esse volume costuma ser suficiente para organizações pequenas ou médias, ou para projetos piloto com necessidades limitadas de colaboração externa.
3. Acompanhe os usuários cobráveis em relação aos limites: Quando a quantidade de convidados ultrapassa a franquia gratuita de MAUs, cada usuário ativo adicional gera cobranças por usuário. Os limites de licenciamento e os preços podem mudar, então verifique regularmente a documentação mais recente da Microsoft para evitar surpresas no orçamento.
4. Estime e otimize os gastos: Use as ferramentas de relatórios do Entra para monitorar a atividade de usuários externos, identificar contas inativas e limpar acessos para permanecer dentro do nível gratuito ou minimizar os usuários cobrados. Desprovisionamento automatizado e revisões regulares de acesso são seus melhores aliados nesse caso.
5. Considere cenários especiais: convidados externos do B2B que usam recursos premium ou controles de segurança avançados (como o Acesso Condicional ou a Proteção de Identidade) podem exigir licenciamento adicional. Planeje os projetos de colaboração de acordo com isso — assim como com a governança de licenciamento do Copilot, atribuições cuidadosas reduzem custos desnecessários e mantêm você em conformidade.

Automatizando as revisões de acesso para a governança de usuários externos

Se você quer manter as portas digitais abertas para pessoas de fora, mas sem deixá-las escancaradas para sempre, as revisões de acesso automatizadas são a sua tábua de salvação. À medida que as organizações expandem a colaboração B2B e com convidados, descobrir quem ainda precisa de acesso, quem ficou inativo e quem passou despercebido se torna algo complexo demais para checklists mensais no Excel. A automação traz ordem a essa bagunça, economizando tempo e dores de cabeça.

As revisões de acesso no Microsoft Entra External ID ajudam você a agendar verificações periódicas e baseadas em políticas sobre contas externas. Você pode atribuir a responsabilidade pelas revisões (proprietários de projetos, administradores de TI ou líderes de negócio) e pedir que validem a necessidade de acesso de cada convidado. O objetivo? Identificar contas obsoletas ou órfãs antes que elas se tornem um risco de segurança ou um pesadelo de conformidade.

Os detalhes a seguir vão abordar o gerenciamento do ciclo de vida, o processo de desligamento (offboarding) e como integrar as revisões automatizadas à sua estratégia geral de governança. Para saber mais sobre como uma governança sólida pode transformar o caos em confiança, acesse este recurso sobre governança do Teams e estruturas de colaboração — muitos dos mesmos princípios se aplicam às identidades externas.

Gerenciamento do ciclo de vida para o offboarding de identidades externas

1. Identifique contas inativas ou órfãs: agende auditorias periódicas ou varreduras automatizadas para encontrar usuários externos que não acessam recursos há um período definido. Contas dormentes podem se tornar portas abertas para incidentes de segurança se não forem removidas rapidamente.
2. Automatize os procedimentos de remoção: configure políticas no Entra para expirar automaticamente o acesso de convidados após períodos definidos (por exemplo, 60 dias de inatividade) ou ao final do projeto. Use scripts ou a Graph API para remover em massa os usuários que não atendem mais aos critérios de acesso contínuo.
3. Notifique e confirme com os proprietários dos recursos: ao desprovisionar, avise os proprietários de projetos ou líderes de equipe para que tenham a chance de revisar e contestar remoções que possam interromper colaborações legítimas. Uma dupla verificação ajuda a encontrar o equilíbrio certo entre segurança e produtividade.
4. Defina políticas de retenção de dados e conformidade: decida o que acontece com conteúdos compartilhados, registros de chat ou arquivos de propriedade de usuários externos após o offboarding. Estabeleça procedimentos para transferir a propriedade, arquivar ou excluir dados, atendendo às necessidades regulatórias e de governança.
5. Documente os processos de offboarding para auditorias: mantenha registros de todas as contas desligadas, das ações de remoção e das configurações de política que motivaram essas ações. Essa documentação será muito valiosa durante as revisões de conformidade e ao responder a solicitações regulatórias.

Integrando o Microsoft Entra External ID com aplicações não Microsoft

Digamos que o seu ambiente técnico não seja formado apenas pelo Microsoft 365 — talvez você tenha um CRM, um portal interno legado ou algumas plataformas SaaS no meio do caminho. O Microsoft Entra External ID não precisa se limitar ao seu território. Você pode estender a sua abordagem segura e baseada em políticas a praticamente qualquer sistema externo, tornando o gerenciamento de identidades contínuo em todo o ambiente.

Não importa se você trabalha com aplicações em nuvem, plataformas locais ou ambientes híbridos: o Entra pode funcionar como a sua ponte de identidade segura. As integrações com SAML, OAuth e OpenID Connect permitem federar identidades e autenticação para Salesforce, ServiceNow, aplicações Java legadas ou praticamente qualquer sistema com suporte a login baseado em padrões.

Essa abordagem facilita oferecer a parceiros, clientes e fornecedores uma identidade externa única e unificada para todas as suas aplicações, sem a fadiga de senhas nem o trabalho manual de onboarding. Na próxima seção, você verá como definir padrões de federação seguros e proteger as suas APIs ao abrir o acesso a usuários externos.

Padrões de federação e segurança de APIs externas

• SAML/WS-Federation para integração de aplicativos legados: Conecte o Entra External ID a aplicativos internos ou de parceiros mais antigos usando SAML ou WS-Fed, permitindo que usuários externos façam login com as mesmas credenciais que usam no Teams ou no SharePoint. Isso simplifica a integração de externos e reduz a proliferação de senhas.
• OpenID Connect/OAuth para SaaS e aplicativos web: Estenda a autenticação do Entra para aplicativos modernos em nuvem ou portais personalizados. Usuários externos obtêm single sign-on, com as suas políticas de segurança e conformidade aplicadas por cima, independentemente da plataforma.
• Segurança de API com OAuth2 e gerenciamento de tokens: Ao expor APIs para parceiros externos, use OAuth2 com tokens de acesso emitidos pelo Entra. Aplique escopos, expiração e revogação de tokens para manter as integrações com parceiros restritas e auditáveis.
• Padrões de federação multinuvem e híbrida: Use o Entra como âncora de confiança para usuários vindos da AWS, do Google ou de diretórios locais. A federação permite gerenciar políticas, relatórios e revisões de acesso em um único hub central, mesmo quando as suas aplicações estão em outro lugar.
• Monitore e limite o uso de APIs: Para APIs expostas publicamente, implemente limitação de taxa (rate limiting) e registro de acessos. Isso protege contra abuso, dá suporte à conformidade e oferece uma trilha de auditoria clara em caso de disputas ou investigações.

Conformidade e privacidade de dados para identidades externas

Trazer identidades externas para o seu ambiente Microsoft 365 significa ser responsável por muito mais do que o compartilhamento de arquivos: você também responde pela conformidade regulatória e pela privacidade. Seja GDPR, CCPA ou um conjunto de regras específico do seu setor, o Entra External ID oferece os controles e relatórios necessários para demonstrar aos reguladores que você gerencia o acesso externo de forma responsável e respeitosa.

Esta seção prepara o terreno para configurações de privacidade, gerenciamento de consentimento e a construção de transparência em cada relacionamento com usuários. Você verá como coletar e gerenciar o consentimento de usuários externos, configurar avisos de privacidade e atender aos direitos dos titulares de dados quando eles quiserem saber, ou controlar, quais informações você mantém sobre eles. Com os padrões de conformidade cada vez mais rigorosos no mundo todo, ter esses recursos nativos não é apenas um diferencial: é obrigatório.

Uma boa configuração de conformidade evita surpresas com novas leis e atrapalhos em solicitações de titulares de dados. Para organizações que usam o Microsoft Copilot ou outras ferramentas de IA, há sobreposições úteis nos controles de privacidade e nos mecanismos de consentimento, conforme detalhado em esta análise da estrutura de privacidade de dados do Copilot. Em seguida, vamos nos concentrar na configuração de trilhas de auditoria e relatórios robustos para todos os acessos de usuários externos.

Trilhas de auditoria e relatórios para acesso externo

1. Ative o registro detalhado de acessos: Ligue o log de todas as atividades de usuários externos, incluindo entradas (sign-ins), compartilhamento de recursos e alterações de permissões. Logs completos garantem uma visão completa de quem fez o quê, quando e de onde.
2. Configure monitoramento e alertas em tempo real: Crie alertas para comportamentos de acesso externo incomuns ou arriscados. Isso permite uma resposta rápida a eventos suspeitos, como tentativas de login malsucedidas ou acessos a partir de localizações desconhecidas.
3. Implante painéis de relatórios: Use o centro de administração do Entra ou ferramentas integradas (como o Power BI) para gerar relatórios sobre a atividade de usuários externos, mostrando a conformidade de forma rápida para auditorias ou para a liderança.
4. Atenda às exigências regulatórias com exportação de dados: Mantenha logs prontos para exportação e relatórios periódicos para atender a GDPR, CCPA ou exigências do setor. Quando um regulador ou cliente bater à porta, você terá provas da sua vigilância de segurança e da governança operacional.

Checklist de identidades externas do Microsoft Entra

Recursos do Microsoft Entra External: locatário do Microsoft Entra e recursos de identidades externas

O que são as identidades externas do Entra ID e como elas se relacionam com as identidades externas do Azure AD?

As identidades externas do Entra ID (antigamente chamadas de identidades externas do Azure AD) são um conjunto de recursos do Microsoft Entra que permite que organizações concedam acesso seguro aos seus recursos a usuários e organizações externas. Elas oferecem suporte a gerenciamento de identidade e acesso de clientes, recursos de identidade externa e cenários de locatário de identidade externa, para que empresas colaborem com parceiros de negócios, fornecedores e clientes externos, aplicando controles de identidade e acesso para usuários externos.

Como gerenciar o acesso de usuários externos e de locatários externos?

Gerencie o acesso de usuários externos convidando-os por meio da colaboração B2B do Azure AD, configurando a colaboração com políticas externas e usando recursos do Microsoft Entra, como o acesso condicional para usuários externos, o gerenciamento de direitos (entitlement management) e os pacotes de acesso. Você pode adicionar organizações externas, configurar as definições de colaboração externa no seu locatário do Microsoft Entra e usar as configurações de external id provider para controlar as permissões e o ciclo de vida das contas de convidado.

Posso permitir que usuários externos usem suas contas do Microsoft Entra ou outras identidades sociais?

Sim. O Microsoft Entra External ID reúne soluções poderosas que permitem que usuários externos façam login com suas contas do Microsoft Entra, identidades sociais ou contas locais. Usando o Microsoft Entra ID ou o Azure AD B2C, você pode oferecer suporte ao uso de suas contas do Microsoft Entra, habilitar o gerenciamento de identidade e acesso de clientes e fornecer opções flexíveis de autenticação para usuários externos em escala.

Como proteger o acesso externo e confiar na MFA para usuários convidados?

Proteja o acesso externo aplicando políticas de acesso condicional para B2B externo, habilitando a confiança em MFA (autenticação multifator) para operações de alto risco e aplicando políticas para a colaboração B2B externa. Você pode exigir MFA para usuários externos, confiar na MFA de locatários parceiros e usar o acesso condicional e a proteção de identidade do Microsoft Entra para reduzir riscos, mantendo a colaboração externa.

Quais são os recursos do External ID que ajudam na governança e no gerenciamento do ciclo de vida?

Os recursos do External ID incluem o gerenciamento de direitos (entitlement management), os pacotes de acesso, o ciclo de vida automatizado de usuários convidados, as revisões de acesso e as políticas para a colaboração B2B externa. Esses recursos do Microsoft Entra External ID permitem que administradores controlem quem tem acesso, gerenciem a expiração desses acessos e automatizem revisões para garantir acesso seguro e conformidade para usuários e organizações externas.

Como os cenários de locatário de força de trabalho e de locatário externo diferem no Microsoft Entra?

Um locatário de força de trabalho normalmente hospeda as identidades dos funcionários e aplica políticas internas, enquanto um locatário externo é usado para usuários externos, parceiros ou clientes. O Microsoft Entra External ID oferece suporte aos dois cenários ao permitir a colaboração entre locatários, configurar as definições de colaboração externa e diferenciar as políticas, para que você possa gerenciar o acesso da força de trabalho interna separadamente da colaboração com parceiros externos.

Posso colaborar com parceiros de negócios externos em várias organizações do Microsoft Entra?

Sim. O Microsoft Entra oferece suporte à colaboração com organizações externas e ao trabalho com parceiros externos em vários locatários. Recursos como identidades externas do Azure AD, configurações de acesso entre locatários e acesso condicional para usuários externos facilitam a colaboração com outras organizações do Microsoft Entra e oferecem acesso seguro ao Microsoft 365 e a outros recursos.

Como o Microsoft Entra lida com a escala para usuários externos e a integração automatizada?

O Microsoft Entra External ID oferece escalabilidade para usuários externos ao oferecer suporte a convites em massa, cadastro de autoatendimento e integração com sistemas de gerenciamento de identidade e acesso de clientes. Com os recursos de locatário do External ID, você pode automatizar a integração, usar pacotes de acesso para manter políticas de acesso consistentes e gerenciar usuários externos em escala, com recursos de auditoria e relatórios.

Quais são as melhores práticas para configurar a colaboração externa e as políticas de acesso?

As melhores práticas incluem usar o acesso condicional para usuários externos, habilitar a confiança em MFA, configurar as definições de colaboração externa para limitar os privilégios de convidados, usar o gerenciamento de direitos do Microsoft Entra para o ciclo de vida de acesso e monitorar as atividades externas. Combine os recursos do External ID com políticas de acesso rigorosas para a colaboração B2B externa, garantindo acesso externo seguro e possibilitando a colaboração com parceiros de negócios externos.

O que é o Entra ID External Identities e qual é a sua relação com o Azure Active Directory?

O Entra ID External Identities é a solução da Microsoft para gerenciar usuários externos e parceiros que precisam de acesso seguro aos seus recursos. Ele faz parte do Microsoft Entra e se baseia no modelo legado do Azure Active Directory, permitindo a colaboração B2B com identidades externas, identidades sociais como Google ou Facebook e cenários de federação. O Entra ID External Identities se integra a recursos do Azure Active Directory, como acesso condicional e governança, para oferecer acesso seguro à sua organização.

Qual é a diferença entre a colaboração B2B com identidades externas e os colaboradores externos individuais?

A colaboração B2B com identidades externas normalmente se refere a convidar usuários de outras organizações do Microsoft Entra e de outros locatários para colaborar usando suas contas corporativas ou gerenciadas. Já os colaboradores externos individuais costumam usar identidades de consumidor ou sociais, como o Google, para entrar. Os dois modelos permitem a colaboração com usuários externos, mas o B2B mantém o convidado em um locatário do Microsoft Entra que contém seus funcionários, preservando a identidade organizacional e as declarações dele vindas de outros provedores de identidade da Microsoft ou federados.

Posso usar identidades como Google, Facebook e outras identidades sociais para acesso de convidados?

Sim. O Entra ID External Identities oferece suporte a identidades sociais como Google e Facebook, para que os usuários possam entrar com essas contas. Essas identidades sociais têm suporte para automação por meio das APIs do Microsoft Graph e podem ser configuradas no portal do Azure, em configurações de colaboração externa. O login social simplifica a integração de parceiros e terceirizados que não têm contas corporativas do Azure AD.

Como funciona a cobrança — qual é o modelo de faturamento do Microsoft Entra External Identities?

O modelo de faturamento do Microsoft Entra External Identities normalmente é baseado em consumo para usuários externos, com níveis diferentes conforme os recursos e os usuários ativos mensais. A Microsoft publica os detalhes do modelo de faturamento para o uso do Microsoft Entra externo; verifique sua assinatura e o portal do Azure para ver os preços atualizados. Em alguns cenários, os recursos podem se sobrepor às ofertas do Azure AD B2C, que continua disponível para experiências de identidade voltadas a clientes, com preços próprios.

Quais recursos de governança e conformidade estão disponíveis (governança do Entra ID e declarações de conformidade)?

Os recursos de governança do Entra ID para identidades externas incluem gerenciamento de direitos, revisões de acesso e automação do ciclo de vida, para garantir que as declarações de conformidade e as políticas do Microsoft Entra sejam aplicadas. As declarações de outros locatários da Microsoft e de provedores de identidade externos podem ser mapeadas e transformadas para atender às suas políticas de conformidade. A governança do Entra ID ajuda a gerenciar quem tem acesso, inclusive se os convidados têm acesso aos recursos da Microsoft, e garante acesso seguro à sua organização, mantendo os requisitos de auditoria e regulatórios.

Como configuro as configurações de colaboração externa e gerencio a colaboração com outros locatários da Microsoft?

Você configura as configurações de colaboração externa no portal do Azure, onde pode definir políticas de convite, permissões padrão de usuário e restrições para usuários externos. Para gerenciar a colaboração com outras organizações da Microsoft e entre locatários, use os recursos de colaboração B2B do Azure AD para aceitar usuários de um locatário do Microsoft Entra que contenha funcionários de parceiros, definir acesso condicional e aplicar controles de governança. A automação por meio das APIs do Microsoft Graph pode ajudar a automatizar convites, provisionamento e gerenciamento do ciclo de vida.

Dispositivos ingressados no Microsoft Entra híbrido e o acesso condicional do Microsoft Entra têm suporte para usuários externos?

As políticas de acesso condicional do Microsoft Entra podem ser aplicadas a usuários externos para controlar o acesso com base em risco, conformidade do dispositivo ou local de rede. No entanto, os cenários de dispositivos ingressados no Microsoft Entra híbrido são destinados principalmente a dispositivos corporativos no seu locatário; colaboradores externos individuais normalmente não registram dispositivos como ingressados híbridos. Você pode exigir dispositivos em conformidade ou ingressados híbridos para contas de organizações parceiras se elas forem gerenciadas em um locatário que contenha os dispositivos da organização externa e confie nas suas políticas.

Como a automação por meio das APIs do Microsoft Graph ajuda a gerenciar identidades externas?

A automação por meio das APIs do Microsoft Graph permite o gerenciamento programático de convites, do ciclo de vida de usuários convidados, de associações a grupos e do gerenciamento de direitos para os recursos de external id. Muitos recursos de id também são compatíveis com a API do Graph, o que possibilita a integração com ferramentas existentes de governança de identidade ou IAM para automatizar fluxos de trabalho como provisionamento, desprovisionamento, revisões de acesso e geração de relatórios para usuários em qualquer locatário do Microsoft Entra.

Devo usar o Azure AD B2C ou o Entra ID External Identities para aplicativos voltados a clientes?

O Azure AD B2C foi projetado para aplicativos voltados ao consumidor, com amplas opções de personalização das jornadas do usuário e de provedores sociais, enquanto o Entra ID External Identities e a colaboração B2B do Azure AD são otimizados para colaboração com usuários externos e parceiros da força de trabalho. O Azure AD B2C continua disponível para cenários que exigem fluxos avançados de consumidor. Avalie se o seu cenário é colaboração com usuários externos ou gerenciamento de identidade de clientes para escolher o locatário de external id e o modelo corretos para as implantações externas do Microsoft Entra.

Quais são as melhores práticas para proteger a colaboração com usuários externos em diversas tecnologias do Microsoft Entra?

As melhores práticas incluem usar acesso com privilégio mínimo e gerenciamento de direitos, aplicar o acesso condicional do Microsoft Entra para controles de entrada baseados em risco, habilitar a autenticação multifator para contas externas, monitorar as declarações provenientes de outras fontes da Microsoft e auditar o acesso de convidados. Use os recursos de governança do Microsoft Entra para agendar revisões de acesso, automatizar tarefas do ciclo de vida com as APIs do Graph e centralizar as configurações no portal do Azure, garantindo acesso seguro à sua empresa ao colaborar com locatários externos e colaboradores externos individuais.

Microsoft Entra External ID: decisões de implementação

Valide as escolhas atuais de plataforma com a documentação do Microsoft Learn para External ID. Uma migração do Azure AD B2C exige um plano deliberado: identificadores de locatário, URLs de autoridade, configuração dos aplicativos e jornadas do usuário devem ser avaliados, e não presumidos como migrados automaticamente.

Perguntas frequentes

O Microsoft Entra External ID é apenas para clientes?

Não. Ele oferece suporte a cenários de identidade externa, incluindo aplicativos voltados a clientes e padrões de colaboração que envolvem pessoas fora do locatário da força de trabalho.

O que deve ser documentado antes de integrar usuários externos?

Documente o proprietário de negócio, a população de usuários, a finalidade do aplicativo, os métodos de entrada compatíveis, o processo de revisão de acesso e a via de suporte.

Última revisão: julho de 2026.

🎧 Você também deve ouvir

• Governança de identidade no Microsoft Entra

  Conheça o ciclo de vida, a propriedade e as práticas de revisão que tornam o Microsoft Entra External ID sustentável.

• Microsoft Entra Private Access – Simply Explained

  Explore outro padrão de acesso do Entra e as questões de arquitetura por trás dos serviços de identidade seguros.

• Acesso Condicional para convidados no Microsoft Entra ID

  Conecte o planejamento de identidade externa a controles de segurança práticos para o acesso de convidados e parceiros.