Руководство по межклиентскому доступу в Microsoft Entra

By Mirko Peters · 2026-04-29 · Updated 2026-07-18

Узнайте, как настроить межклиентский доступ в Microsoft Entra: безопасность, управление, контроль доступа, внедрение и практические сценарии использования.

Automatically translated with AI from the original post. Read the English original

Настройки межклиентского доступа в Microsoft Entra ID находятся в самом центре безопасного и гибкого сотрудничества между организациями. По мере того как компании переносят всё больше работы в облако, потребность в подключении и совместной работе с партнёрами, поставщиками и даже дочерними компаниями в разных клиентах Microsoft 365 стала не просто выше, а и сложнее. Entra ID предоставляет набор мощных инструментов, с помощью которых вы решаете, кто получает доступ, что он может делать и как надёжно защищён ваш собственный периметр.

В этом руководстве мы разберём все способы, с помощью которых настройки межклиентского доступа Entra ID делают управление идентификацией B2B одновременно безопасным и удобным. Мы рассмотрим всё: от базовых правил и тонкой настройки политик для отдельных партнёров до расширенных интеграций, шагов по модели нулевого доверия и практического устранения неполадок. Нужно ли вам просто начать работать с несколькими внешними пользователями или соответствовать строгим требованиям комплаенса и управления, ответы вы найдёте здесь.

Понимание межклиентского доступа B2B в Entra ID

Мир не работает как набор изолированных островов, и в корпоративной ИТ-среде это особенно заметно. Почти каждая организация зависит от сотрудничества за пределами своих границ. Это могут быть консультанты, партнёры цепочки поставок или другая компания, которую вы приобрели. Сложность в том, что каждая компания управляет собственным клиентом Microsoft Entra ID, и нельзя просто открыть всё без риска для собственных данных.

Именно здесь на помощь приходят настройки межклиентского доступа B2B в Entra ID. Они позволяют определять, отслеживать и корректировать то, как пользователи одного клиента взаимодействуют с ресурсами другого: будь то приглашение гостевых пользователей, предоставление доступа к критически важным приложениям или обеспечение строгих проверок безопасности на всём пути. Это как цифровой охранник на входе, который проверяет документы, но также знает, кто в списке VIP, кто может лишь заглянуть через окно, а кому вообще нечего делать рядом с вашими данными.

В общем виде межклиентский доступ B2B — это не просто набор переключателей или галочек. Это комплексная система управления идентификацией и построения доверия между организациями в Microsoft Entra. Эти настройки отличаются от привычных инструментов внешнего сотрудничества или базовых политик условного доступа: они задают правила взаимодействия для каждого внешнего пользователя и каждого исходящего запроса. Прежде чем переходить к практической настройке, которую мы рассмотрим в следующих разделах, важно понять, как это вписывается в общую стратегию управления идентификацией.

Что такое настройки межклиентского доступа для B2B-сотрудничества?

Настройки межклиентского доступа в Microsoft Entra ID — это набор конфигураций, которые позволяют управлять тем, как пользователи из других клиентов Entra взаимодействуют с ресурсами вашей организации и наоборот. Эти настройки играют ключевую роль в безопасном взаимодействии между бизнесами (B2B): речь идёт о подрядчиках, внешних партнёрах или приобретённых компаниях, которым нужно работать в вашей цифровой среде.

С помощью настроек межклиентского доступа B2B вы можете определить уровни доверия, разрешения и условия для гостевых идентификаторов. Это означает, что можно указать, принимать ли утверждения о многофакторной аутентификации (MFA) или соответствии устройства требованиям из клиента партнёра, применять собственные политики или блокировать весь доступ, кроме отдельных пользователей или приложений. Короче говоря, это центр управления: кто что получает, где и как, независимо от границ клиентов.

Эти политики можно настроить глобально (для всей организации) или индивидуально для каждого внешнего партнёра (для конкретной организации). Такая гибкость даёт детальный контроль над уровнем предоставляемого доступа и помогает выполнять внутренние требования безопасности и нормативные требования, такие как GDPR и HIPAA. Кроме того, эти элементы управления упрощают жизненный цикл пользователей, ускоряют подключение внешних учётных записей и уменьшают разрастание идентификаторов, что каждый ИT-специалист знает как проблему, которая рано или поздно даст о себе знать.

В итоге настройки межклиентского доступа соединяют бесшовное сотрудничество и строгую безопасность. Речь не о том, чтобы впустить кого угодно, а о том, чтобы безопасно и эффективно подключать доверенных внешних пользователей к вашей экосистеме Microsoft Entra по правилам, которыми вы управляете на каждом шаге.

Межклиентский доступ B2B и другие настройки идентификации в Entra ID

Настройки межклиентского доступа легко перепутать с другими инструментами идентификации в Entra ID, однако назначение у них совершенно разное. Межклиентский доступ B2B определяет, как внешние организации Entra и их пользователи взаимодействуют с вашим клиентом и его ресурсами, задавая чёткие правила для входящего и исходящего сотрудничества. В отличие от него, политики условного доступа определяют, к чему пользователи могут получить доступ в зависимости от уровня риска, соответствия требованиям устройства или местоположения, независимо от того, внутренние они или внешние.

Тем временем настройки внешнего сотрудничества отвечают за приглашения гостевых пользователей и общий обмен данными, а конфигурации поставщиков удостоверений определяют, какие сервисы могут аутентифицировать ваших пользователей. Понимание того, когда использовать каждый из этих инструментов, позволяет сохранять безопасность одновременно надёжной и гибкой и избегать непреднамеренно открытых «дверей» или запутанных, пересекающихся политик, которые могут создать проблемы. Подробнее о том, как максимально эффективно использовать условный доступ, читайте в этой статье о доверии и проблемах политик в средах Microsoft 365.

Настройка доступа по умолчанию и параметров для отдельных организаций

Итак, вы понимаете, зачем нужен межклиентский доступ и как он вписывается в общую картину управления идентификацией. Пора засучить рукава и заставить его работать на вас. Первый шаг — определить, что разрешено по умолчанию: кто может приходить к вам (входящий доступ) и к кому могут обращаться ваши пользователи для совместной работы (исходящий доступ). Microsoft Entra ID позволяет задать базовую политику, которая применяется ко всем организациям, что делает настройку простой и предсказуемой.

Но в бизнесе не всегда работает единый подход. Возможно, вы доверяете поставщику A конфиденциальные финансовые данные, но хотите держать поставщика B на расстоянии. Именно здесь пригодятся переопределения для отдельных организаций: они позволяют ужесточить или расширить доступ для выбранных партнёров, не затрагивая остальных. В сочетании эти общие и индивидуальные правила формируют надёжную и гибкую основу для совместной работы, которая соответствует реальным деловым отношениям.

В следующих разделах подробно описано, как настроить эти общие и индивидуальные параметры, чтобы спланировать пути доступа — ограничители, которые делают внешнее сотрудничество одновременно безопасным и продуктивным для пользователей.

Настройка параметров входящего и исходящего доступа по умолчанию

1. Откройте параметры межклиентского доступа: войдите в центр администрирования Microsoft Entra. Перейдите в раздел «Внешние удостоверения» и выберите «Параметры межклиентского доступа». Это отправная точка для всей настройки входящего и исходящего доступа.
2. Задайте политики входящего доступа по умолчанию: определите, кто из внешних клиентов может получать доступ к вашим ресурсам по умолчанию. Здесь можно разрешить доступ всем клиентам, заблокировать всех по умолчанию или разрешить доступ только проверенным организациям. Типичные сценарии: блокировка по умолчанию с исключениями для доверенных партнёров или разрешение по умолчанию, если вы работаете в отрасли с активным сотрудничеством и управляете рисками с помощью других средств контроля.
3. Определите параметры исходящего доступа по умолчанию: укажите, как ваши пользователи получают доступ к ресурсам в других клиентах. Исходящий доступ можно полностью заблокировать, если вам нужен строгий контроль данных, или разрешить, если пользователи регулярно работают с внешними партнёрами через Teams или SharePoint. Большинство организаций находят баланс, разрешая исходящий доступ, но регулярно его контролируя и пересматривая.
4. Настройте параметры доверия: выберите, будете ли вы доверять утверждениям о многофакторной аутентификации (MFA) и соответствии требованиям устройств из внешних организаций. Можно требовать, чтобы внешние пользователи проходили MFA в своём клиенте, или заставлять их повторять проверку в соответствии с вашей политикой. Этот шаг снижает риски и не создаёт лишних неудобств для добросовестных партнёров.
5. Сохраните изменения и организуйте мониторинг: после задания параметров по умолчанию сохраните изменения и отслеживайте межклиентскую активность. Используйте журналы аудита и проверки доступа, чтобы убедиться, что параметры работают так, как задумано, и выявляйте неожиданное поведение до того, как оно превратится в инцидент безопасности.

Задавая параметры входящего и исходящего доступа по умолчанию, вы закладываете основу для безопасного и предсказуемого сотрудничества без ущерба для продуктивности. Такой подход также хорошо согласуется с требованиями управления и соответствия, поскольку с самого начала ограничивает ненужное раскрытие данных.

Настройка правил доступа для отдельных организаций по умолчанию

1. Добавьте конкретные внешние организации: В настройках межклиентского доступа (Cross-Tenant Access Settings) укажите внешний клиент, введя его Tenant ID. Это создаст исключение для данного партнёра, которое действует независимо от правил по умолчанию.
2. Настройте правила доступа: Для каждой добавленной организации задайте входящие и исходящие разрешения. Например, для поставщика можно заблокировать весь доступ, кроме общих каналов Teams, а для дочерней компании открыть полный доступ к SharePoint.
3. Используйте для точечной защиты: Эти настройки для отдельных организаций помогают найти баланс между потребностями бизнеса и рисками. Можно ограничить или разрешить доступ к чувствительным приложениям, доверять многофакторной аутентификации (MFA) внешнего клиента только у выбранных партнёров или требовать соответствующие требованиям устройства от совместной работы с высокорисковыми организациями.

Такие индивидуальные исключения важны для того, чтобы ИТ-политики соответствовали реальным деловым отношениям: вы не будете бить по мухе кувалдой там, где достаточно скальпеля.

Управление доверенными организациями и контроль доступа

Когда вы задали значения по умолчанию и индивидуальные исключения, нужен процесс, который поддерживает межклиентский доступ в рабочем состоянии. Деловые отношения могут меняться быстро: сегодняшний стратегический партнёр завтра может стать конкурентом, и наоборот. Поэтому нужен простой способ добавлять и удалять организации из списка доверенных и менять разрешения, которые с этим доверием связаны.

Microsoft Entra ID позволяет точно определять, какие внешние организации считаются доверенными. Речь не только о том, чтобы включить или отключить доступ. Важно точно контролировать, кто получает доступ, какой именно доступ и как быстро его можно отозвать, если что-то пойдёт не так. Грамотное управление доверенными организациями — важный шаг к тому, чтобы совместная работа в ИТ соответствовала и вашим требованиям безопасности, и требованиям комплаенса (особенно если вам нужно соответствовать HIPAA, GDPR или SOC 2).

В следующих разделах мы разберём пошагово, как добавлять и удалять организации, а также как точно настроить уровень доверия для входящего и исходящего доступа, вплоть до отдельных приложений и типов ресурсов.

Добавление и удаление организации в межклиентских политиках

• Добавьте организацию: Введите ID внешнего клиента в панели управления межклиентским доступом. Entra ID подтянет его отображаемое имя, так что вы легко убедитесь, что выбран нужный партнёр.
• Настройте доверие и доступ: Задайте входящие и исходящие правила для этой организации и сохраните изменения, они вступят в силу сразу.
• Удалите организацию: Если деловые потребности изменились, просто выберите организацию и удалите её из межклиентских политик: доступ отзывается в режиме реального времени.
• Проверьте безопасность и комплаенс: Добавление и удаление доверенных организаций должно проходить по внутренним процедурам согласования, чтобы не допустить случайного раскрытия доступа или пропущенного отзыва прав.

Регулярный пересмотр этого списка доверенных организаций помогает держать совместную работу в соответствии с вашим уровнем риска и реальными бизнес-задачами, а не с таблицей поставщиков прошлого года.

Изменение входящего и исходящего доверия для внешних организаций

• Настройте входящий доступ: Точно определите, к каким вашим ресурсам могут обращаться пользователи внешней организации, при необходимости вплоть до уровня группы, приложения или сайта.
• Измените исходящие разрешения: Решите, могут ли ваши пользователи взаимодействовать со средой партнёра и как именно. Это может ограничить исходящую совместную работу только Teams или, наоборот, расширить доступ.
• Блокируйте или разрешайте отдельные приложения: Гранулярные настройки позволяют заблокировать доступ к чувствительным приложениям, оставив остальные доступными по мере необходимости.
• Реагируйте на изменения обстоятельств: Эти настройки можно быстро скорректировать по результатам аудита или при обновлении политик комплаенса, чтобы ваши средства контроля всегда соответствовали текущей бизнес-ситуации.

Актуальные разрешения служат страховкой как от случайных, так и от намеренных злоупотреблений и позволяют на каждом этапе доверять доступу, но проверять его.

Безопасная совместная работа с входящим MFA доверенных организаций и соответствием устройств требованиям

Даже лучшие средства контроля доступа мало что значат, если вы не можете доверять тому, как пользователи подтверждают свою личность. Безопасность межклиентской совместной работы зависит от надёжной аутентификации и гигиены устройств. Иначе вы рискуете впустить злоумышленников, которые появятся в клиенте партнёра на другом конце света.

Microsoft Entra ID позволяет опираться на защиту ваших партнёров: вы можете доверять многофакторной аутентификации (MFA) и проверкам соответствия устройств, которые они применяют у себя. Если партнёр требует от своих пользователей прохождения MFA и соблюдения требований соответствия для ноутбуков, вы можете принимать эти утверждения при доступе к своим ресурсам — не нужно дублировать проверки и раздражать пользователей. Но если стандарты партнёра вызывают у вас сомнения, вы можете потребовать от него пройти ваши собственные барьеры безопасности.

А поскольку всё иногда идёт не по сценарию (утерянные устройства, истекающая MFA, незарегистрированные гости), Entra ID также поддерживает резервную аутентификацию, например отправку одноразового кода. Это позволяет законным пользователям получить доступ в трудной ситуации и при этом не пускает злоумышленников. В следующих разделах разобраны шаги и сценарии, которые помогут максимально эффективно использовать это доверие между клиентами без открытия новых путей атак.

Доверие к входящим утверждениям MFA и устройств от партнёров

1. Включите доверие к входящей MFA: настройте межклиентские параметры так, чтобы доверять утверждениям многофакторной аутентификации от отдельных внешних организаций. Это означает, что если пользователи проходят MFA в своём домашнем клиенте, вы принимаете это (вместо дополнительных проверок) при доступе к вашим ресурсам.
2. Доверяйте утверждениям о соответствии устройств: разрешите вашему клиенту распознавать случаи, когда устройства внешних пользователей соответствуют требованиям соответствия или присоединения в их собственной организации. Полезно для сценариев с гибридными или соответствующими требованиям конечными точками, управляемыми партнёром.
3. Найдите баланс между удобством и безопасностью: доверие внешней MFA и соответствию устройств повышает удобство для партнёров, но включать его стоит только для организаций, которые, как вы знаете, соответствуют высоким базовым требованиям безопасности. В противном случае вы можете применять собственные политики, не доверяя внешним утверждениям.
4. Следите за аномалиями: регулярно проверяйте входящие сеансы и состояние устройств, чтобы убедиться, что утверждения о соответствии внешних устройств не обходятся и не подделываются, используя журналы и отчёты Entra ID.

Внедряя такое доверие, вы упрощаете работу добросовестным коллегам, но необходимо внимательно следить за журналами аудита на предмет отклонений и злоупотреблений.

Управление поставщиками удостоверений (Entra) и резервная аутентификация

• Настройка поставщиков удостоверений: настройте и управляйте тем, с помощью каких поставщиков удостоверений ваши гостевые пользователи могут проходить аутентификацию в вашем клиенте, например Microsoft Entra, Google или поставщиков на основе SAML.
• Включите резервную аутентификацию: активируйте резервные варианты, например одноразовые коды, для пользователей, чей домашний поставщик удостоверений не поддерживается или недоступен. Это помогает обеспечить непрерывность работы без ослабления защиты.
• Запретите или ограничьте недоверенных поставщиков: ограничьте или заблокируйте аутентификацию от поставщиков удостоверений, которые не соответствуют стандартам безопасности или соответствия вашей организации, чтобы принимались только проверенные источники удостоверений.

Эти параметры служат страховочной сеткой: они позволяют сохранять контроль, даже когда у гостей или внешних партнёров что-то идёт не так.

Расширенная совместная работа: настройка B2B Direct и внешних интеграций

Времена, когда совместная работа ограничивалась простым обменом документами, остались в прошлом. С Microsoft Entra расширенные возможности, такие как B2B Direct Connect, позволяют работать с внешними партнёрами в реальном времени, например делиться каналами Teams без необходимости приглашать пользователей как обычных гостей. Автоматическое погашение приглашений ускоряет подключение, и внешняя совместная работа иногда начинает ощущаться почти так же, как внутренняя.

Но на этом история с Teams не заканчивается. Современным организациям часто нужна строгая и управляемая интеграция между платформами, особенно с SharePoint, который обеспечивает обмен файлами и интрасетями во многих компаниях. Microsoft Entra предоставляет инструменты для распространения межклиентских политик на SharePoint Online, а также позволяет автоматизировать и управлять доступом через API, такие как Microsoft Graph.

Эти возможности помогают организациям повышать продуктивность, не теряя из виду управление и безопасность. Они также особенно важны в крупных средах, где сходятся несколько клиентов и приложения Power Platform, а риски теневого ИТ скрываются на фоне (ознакомьтесь с этим руководством, чтобы разобраться в проблеме). Следующие разделы объясняют, как включить прямую и бесшовную совместную работу и сохранять контроль над данными везде, где они находятся.

Настройка B2B Direct и включение автоматического погашения приглашений

• Включите B2B Direct Connect: В Entra ID активируйте B2B Direct Connect, чтобы пользователи из доверенных организаций могли мгновенно присоединяться к общим каналам Teams без традиционных приглашений.
• Настройте автоматическое принятие приглашений: Сконфигурируйте политику так, чтобы пользователи B2B могли принимать приглашения автоматически при обращении к ресурсам. Это делает процесс подключения быстрым и удобным.
• Преимущества для пользователей: Эти функции ускоряют совместную работу и повышают продуктивность, поскольку пользователи тратят меньше времени на ручное принятие приглашений и не сталкиваются с лишними проблемами для ИT-отдела.

Расширенные конфигурации снижают трение: они идеально подходят для проектных или регулярных совместных задач, которым нужны подключения в реальном времени и с высоким уровнем безопасности.

Настройка политик общего доступа (SharePoint) и внешнего сотрудничества (Entra)

• Интегрируйте межклиентский доступ с SharePoint: Согласуйте политики общего доступа SharePoint Online с настройками межклиентского доступа в Entra, чтобы расширять или ограничивать совместную работу с документами для внешних пользователей.
• Управляйте через Microsoft Graph API: Используйте автоматизацию, скрипты и REST-команды для управления разрешениями и политиками общего доступа в масштабе. Это обязательно для регулируемых отраслей и крупных сред, склонных к разрастанию неконтролируемого доступа, как подчеркивается в этом подкасте о управлении ИИ в SharePoint.
• Поддерживайте решения Power Platform: Учитывайте риски управления при использовании списков SharePoint для пользовательских приложений: применяйте межклиентские средства контроля и рассмотрите более устойчивые бэкенды, такие как Microsoft Dataverse (см.: Dataverse против SharePoint: ошибки управления).
• Сценарии совместной работы с документами: Используйте индивидуально настроенные политики общего доступа, чтобы безопасно поддерживать сценарии вроде due diligence при слияниях и поглощениях, совместных предприятий или проектов для клиентов, где необходим эффективный и защищённый обмен документами.

Связывая SharePoint и Entra, вы избавляетесь от хаоса неконтролируемого обмена и делаете соответствующую требованиям, поддающуюся аудиту совместную работу правилом, а не исключением.

Лучшие практики и обратная связь для постоянного улучшения

Развёртывание межклиентского доступа никогда не бывает сделано раз и навсегда, особенно когда меняются деловые отношения, требования комплаенса и техническая среда. Главное — опираться на проверенные лучшие практики, поддерживать постоянный контроль и рассматривать каждую политику как живой механизм, который становится лучше благодаря обратной связи и мониторингу.

Чтобы обеспечить безопасность и соответствие требованиям, начните с правильных предварительных условий и понимания того, где находятся ваши самые серьёзные риски. Используйте автоматизацию, журналы аудита и регулярные проверки, чтобы укрепить защиту и выявлять проблемы до того, как они перерастут в инциденты безопасности или пробелы в соответствии требованиям (как в этом разборе реального инцидента с Microsoft 365).

И не работайте в изоляции. Каждая среда уникальна, поэтому используйте встроенную отчётность, консультируйтесь с заинтересованными сторонами и передавайте в Microsoft информацию обо всём, что не соответствует вашим бизнес-процессам. Автоматизация на PowerShell и проактивный мониторинг (как описано в этом руководстве по контролю внешнего общего доступа) — ваши союзники для устойчивого успеха. Следующие разделы подробно описывают ключевые лучшие практики и шаги, которые помогут держать межклиентский доступ одновременно защищённым и удобным для пользователей.

Лучшие практики и предварительные условия для безопасного доступа

• Базовая безопасность до открытия доступа: Обеспечьте базовые средства контроля, такие как условный доступ, защита от угроз и надлежащее управление данными (ознакомьтесь со стратегиями в этом материале о лучших практиках безопасности).
• Знайте свои данные и определяйте владельцев в первую очередь: Сопоставьте владение данными, присвойте метки конфиденциальности и настройте рабочие процессы согласования, как описано в материале о практиках управления M365.
• Ограничьте широкий внешний доступ: В сомнительных случаях используйте политики «запрет по умолчанию» и предоставляйте исключения только партнёрам, которые проходят ваши проверки на соответствие требованиям.
• Согласуйте с требованиями соответствия: сверьте настройки и исключения с элементами управления GDPR, HIPAA или SOC 2, чтобы не столкнуться с аудиторскими проблемами в будущем.

Если привести всё это в порядок заранее, вы не перечеркнёте годы управления рисками одним кликом.

Мониторинг доступа, сбор обратной связи и итоги

• Настройте непрерывный мониторинг: используйте журналы Entra, журналы аудита и внешние инструменты, такие как Microsoft Defender for Cloud (вот как это сделать), чтобы отслеживать подозрительный или несоответствующий требованиям доступ между клиентами.
• Регулярно проверяйте и аудируйте: планируйте частые проверки доступа и аудиты соответствия, используя такие сервисы, как Microsoft Purview, или сценарии PowerShell на уровне клиента.
• Учитывайте обратную связь: собирайте отзывы пользователей и администраторов, анализируйте журналы ошибок и делитесь выводами с Microsoft, чтобы помочь формировать будущие улучшения Entra.
• Действуйте на опережение: обновляйте политики доступа и общего доступа, как только меняются деловые отношения или требования соответствия, не дожидаясь квартальных проверок или ежегодных аудитов.

Главный вывод: доступ между клиентами настолько надёжен, насколько хороша ваша способность наблюдать, реагировать и совершенствоваться. Несколько минут регулярного внимания и хорошо налаженная обратная связь стоят гораздо больше, чем любой отдельный шаг настройки.

Также рекомендуем послушать

Если вы изучаете межклиентский доступ Microsoft Entra, эти выпуски добавят практического контекста по безопасности идентификации, управлению, привилегированному доступу и внедрению:

• Microsoft Defender XDR – Simply Explained — связывает управление идентификацией с сигналами безопасности, расследованием и реагированием.
• Conditional Access – Simply Explained — как политики контроля доступа реализуют решения об идентификации.
• Privileged Identity Management – Simply Explained — привилегии по запросу (just-in-time), согласования и проверки доступа.
• Microsoft Teams Governance – The Illusion of Control — как управление разрешениями и владением превращается в повторяемые операции.