Microsoft Entra External ID: управление внешними идентификаторами и клиентами

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Управление внешними идентификаторами с Microsoft Entra: подключение партнёров и гостей, совместная работа B2B, доступ между клиентами, условный доступ и проверки доступа.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID помогает организациям управлять идентификаторами клиентов, партнёров и гостей за пределами основного клиента рабочих сотрудников. Начните с разделения бизнес-сценария, определения жизненного цикла идентификаторов и способов входа, назначения ответственных владельцев и проверки политик доступа на репрезентативных пользователях. Проектирование внешних идентификаторов должно с самого начала учитывать пользовательский опыт, безопасность, управление и эксплуатационные расходы.

Microsoft Entra External Identities безопасно открывает доступ внешнему миру к вашей экосистеме Microsoft 365. Если у вас есть партнёры, поставщики, подрядчики или даже несколько гостей, которым нужен доступ к Teams или SharePoint, именно это позволит всё держать в порядке и под защитой. Entra упрощает совместную работу внешних пользователей так, будто они часть вашей команды, и при этом никому не даёт возможности устроить беспорядок в курятнике.

Для IT-специалистов это означает меньше ночных тревог о том, кто находится в вашем клиенте и с какими данными работает. Microsoft Teams, SharePoint и остальные сервисы семейства Microsoft 365 становятся более безопасной средой для совместной работы всех участников. В этом руководстве подробно разобрано, как внедрять, регулировать и масштабировать внешние идентификаторы, сохраняя строгий контроль над требованиями безопасности и соответствия, ведь никто не хочет оказаться в заголовках новостей о следующей утечке. Подробнее о ценности надёжных ограничений для совместной работы читайте в статье how Teams governance turns chaos into confident collaboration.

7 неожиданных фактов о Microsoft Entra External Identities

1. Масштаб для входа потребителей и партнёров: Entra ID External Identities поддерживает миллионы внешних пользователей и может масштабироваться для обработки большого числа входов потребителей благодаря встроенному интеллектуальному ограничению нагрузки и глобальной инфраструктуре, что делает его подходящим для клиентских приложений с высокой нагрузкой.
2. Оплата за активных пользователей: Вместо традиционного лицензирования по учётным записям Entra ID External Identities предлагает модель оплаты по использованию за ежемесячно активных внешних пользователей, что может существенно снизить затраты для приложений с большим числом нерегулярных пользователей.
3. Поддержка социальных и корпоративных провайдеров идентификации: Внешние пользователи могут входить с помощью социальных аккаунтов (Google, Facebook, Apple) или через федерацию с корпоративными провайдерами (SAML, OpenID Connect, Azure AD), что даёт гибкий опыт входа без собственного кода аутентификации.
4. Межклиентская совместная работа с приглашениями и прямой федерацией: Entra ID External Identities обеспечивает совместную работу B2B через приглашения, прямую федерацию или управление правами доступа (entitlement management), упрощая доступ партнёров при сохранении безопасности и управления.
5. Встроенный условный доступ и защита идентификаторов: К внешним пользователям могут применяться те же политики условного доступа, многофакторная аутентификация и защита на основе рисков, что и к внутренним пользователям, что сокращает поверхность атаки для идентификаторов клиентов и партнёров.
6. Пользовательское брендирование и настраиваемые пользовательские сценарии: Используя возможности Azure AD B2C в составе Entra ID External Identities, организации могут создавать полностью брендированные сценарии регистрации и входа и настраивать пользовательские сценарии для проверки, привязки социальных аккаунтов и сбора профильных данных.
7. Бесшовная интеграция с экосистемой Microsoft и API: Entra ID External Identities интегрируется с Microsoft Graph, приложениями Azure AD, управлением доступом на основе ролей и сервисами, работающими на её основе, что позволяет централизованно управлять внешними идентификаторами в приложениях Microsoft и в собственных приложениях.

Что такое внешние идентификаторы в Microsoft Entra

В мире Microsoft Entra внешние идентификаторы именно такие, как звучат: учётные записи людей, которые не относятся к вашей организации. Вместо того чтобы предоставлять посторонним полный внутренний доступ (чего никто не хочет), Entra позволяет подключать внешних пользователей на контролируемых условиях. Это могут быть партнёры, работающие над совместным проектом, поставщики, обслуживающие ваши ИТ-системы, фрилансеры, помогающие с дизайном, или клиенты, которым открыт доступ к общему порталу.

Так что же на самом деле делает идентичность «внешней»? По сути, это любой пользователь, который входит в ваши приложения, пространства Teams или общие документы со своими учётными данными: рабочей учётной записью компании, учётной записью Microsoft или даже учётной записью Google. Внутренние пользователи получают идентичность из вашего собственного каталога. Внешние соавторы приходят с ключами, выданными кем-то другим, но их доступ регулируется вашими политиками безопасности.

Типичные сценарии? Представьте, что строительный подрядчик работает над проектом в Teams или что вы передаёте конфиденциальные документы в SharePoint государственному ведомству. Вместо того чтобы создавать новое имя пользователя и пароль для каждого внешнего участника, вы добавляете его как гостя, жёстко управляете его разрешениями и сохраняете чёткое разделение между внутренними и внешними пользователями. Такой подход помогает организациям сотрудничать в масштабе, сокращает административные накладные расходы и позволяет контролировать, кто что видит, когда и зачем. Он также поддерживает усилия по соблюдению требований, отслеживая внешний доступ и применяя средства контроля безопасности с самого начала.

Современная работа предполагает регулярное совместное взаимодействие за пределами собственной организации, поэтому надёжная настройка внешних идентичностей в Microsoft Entra теперь не вопрос выбора, а необходимость.

Обзор Microsoft Entra External ID и ключевые возможности

Microsoft Entra External ID – это ответ платформы на задачу безопасного и масштабируемого взаимодействия с пользователями, которые не входят в вашу основную организацию. Представьте его как охранника на входе: он пропускает нужных гостей, поддерживает порядок и не даёт никому попасть в закрытые зоны. Нужно ли принимать партнёров, поставщиков или клиентов в Microsoft Teams или SharePoint, Entra External ID поможет предоставить им доступ с нужными средствами контроля.

К ключевым возможностям относятся удобное управление гостевыми пользователями B2B (business-to-business), интеграция с широким набором поставщиков удостоверений и гибкие варианты аутентификации. Вы можете приглашать пользователей с помощью рабочих, учебных или социальных учётных записей и точно настраивать способ доступа к ресурсам. Внешним пользователям не нужна новая учётная запись: они могут использовать ту, которой уже доверяют, а вы задаёте границы с помощью надёжных средств управления доступом и политик.

Entra External ID не просто открывает дверь, а позволяет держать её закрытой в соответствии с вашими требованиями. Вы получаете централизованное управление пользователями через центр администрирования Microsoft Entra, а также расширенные средства для мониторинга, аудита и управления каждым событием внешнего доступа. Платформа позволяет задавать разные политики для гостей, контролировать, к каким пространствам Teams и SharePoint они имеют доступ, и обеспечивать соответствие требованиям благодаря обширному журналированию и отчётности.

Для ИT-специалистов главное преимущество в том, что Entra External ID поддерживает всё: от простого гостевого доступа до сложных сценариев – совместной работы между клиентами, фирменного пользовательского интерфейса, собственных политик и автоматизированных процессов. Это означает меньше ручного управления пользователями, более безопасный обмен и упорядоченное управление по мере роста проектов и партнёрств.

Руководство по внедрению Microsoft Entra External Identities

Внедрение Microsoft Entra External Identities – это поиск правильного баланса между совместной работой и контролем. Этот раздел поможет вам продуманно организовать внешний доступ, чтобы организация оставалась продуктивной и защищённой по мере подключения внешних соавторов. Вы увидите, как Microsoft позволяет подключать гостей и партнёров к нужным инструментам, при этом вы сохраняете контроль над доступом, аутентификацией и применением политик.

Процесс внедрения знакомит с такими понятиями, как совместная работа B2B, настройка доступа между клиентами и подключение различных поставщиков удостоверений – каждое из них играет ключевую роль в том, как вы подключаете внешних пользователей и поддерживаете порядок. Вы также поймёте, почему стратегическое планирование так важно: если заранее настроить приглашения, пользовательские сценарии и межклиентские правила, будет меньше хаоса, меньше разрастания инфраструктуры и более предсказуемые результаты в части безопасности и управления.

В следующих разделах подробно разбираются основные этапы этого процесса: от приглашения и управления внешними пользователями до настройки поддерживаемых поставщиков удостоверений и создания доверительных отношений с партнёрскими организациями. Главная цель – сделать совместную работу простой для пользователей, но безопасной и прослеживаемой для ИТ-специалистов и специалистов по соответствию требованиям. Чтобы получить максимум от Entra External Identities, стоит сначала разобраться в базовых элементах, а затем перейти к практическим деталям в следующих разделах.

Настройка B2B-совместной работы в Microsoft Entra

1. Добавьте гостевых пользователей в свой клиент: Начните с приглашения внешних участников напрямую через центр администрирования Microsoft Entra или через интегрированные процессы в Microsoft Teams и SharePoint. Приглашения можно отправлять на рабочие, учебные или личные адреса электронной почты. Такой порядок подключения гарантирует, что каждый гостевой пользователь зарегистрирован, отслеживаем и привязан к вашим политикам безопасности.
2. Настройте параметры приглашений: Определите, кто в вашей организации может приглашать гостей и какая информация необходима для приглашений. Приглашения можно ограничить определёнными отделами или включить самообслуживание, чтобы ускорить совместную работу над проектами. Стоит заранее установить чёткие правила приглашений, чтобы защититься от случайного избыточного раскрытия информации.
3. Задайте доступ пользователей и разрешения: После приглашения назначьте гостевых пользователей в нужные группы, команды Teams или сайты SharePoint. Используйте управление доступом на основе ролей (RBAC), чтобы ограничить доступ к конфиденциальным ресурсам, и применяйте параметры общего доступа, соответствующие политике компании. Гранулярный контроль помогает избежать разрастания числа гостей и случайного раскрытия данных.
4. Интегрируйте управление в Teams и SharePoint: Применяйте политики совместной работы, которые поддерживают цели безопасности и соответствия требованиям. Как объясняется в этом руководстве по управлению Teams, стандартизация разрешений, правил именования и политик жизненного цикла упрощает управление гостевыми пользователями и снижает риски утечки данных и путаницы.
5. Контролируйте текущий доступ: Регулярно проверяйте, кто имеет доступ, удаляйте или сокращайте привилегии пользователей, которым больше не нужны права на совместную работу, и требуйте повторного одобрения для долгосрочных гостей. Постоянный контроль гостевого доступа предотвращает появление «потерянных» учётных записей и обеспечивает безопасность вашего цифрового рабочего пространства, как отмечается в рекомендациях по управлению Teams и лучших практиках управления внешней совместной работой.

Настройка параметров межклиентского доступа для внешних удостоверений

1. Определите отношения доверия: Решите, каким внешним организациям (клиентам) Microsoft Entra следует доверять для совместной работы. Это включает указание того, какие клиенты могут подключаться и какие типы пользователей допускаются: внутренние, гостевые или оба типа. Правильная настройка отношений с самого начала создаёт основу для безопасной и удобной совместной работы.
2. Настройте входящий и исходящий доступ: Входящий доступ означает разрешение пользователям из внешних клиентов входить в вашу среду. Исходящие элементы управления определяют, какие пользователи вашей организации могут получать доступ к ресурсам в других клиентах. Настраивая эти параметры, вы можете ограничить, кто может входить и выходить, сводя риски к минимуму.
3. Контролируйте общие ресурсы: Назначайте политики для того, какие данные и службы можно передавать за пределы границ клиента. Контролируйте доступ к ценным ресурсам, таким как конфиденциальные пространства Teams или документы SharePoint, чтобы доступ получали только проверенные внешние пользователи. Это не позволяет конфиденциальному содержимому попасть не в те руки даже в крупных совместных проектах.
4. Используйте межклиентскую синхронизацию и API: Для постоянных отношений межклиентская синхронизация и API Microsoft Graph позволяют автоматизировать управление удостоверениями, членством в группах и обновлением пользователей. Эти инструменты упрощают поддержку динамичных многоорганизационных проектов без постоянного ручного вмешательства.
5. Контролируйте доступ и обеспечивайте соответствие требованиям: Регулярно проверяйте межклиентский доступ с помощью журналов и отчётов Entra. Если вы заметили аномалии или ненужные подключения, оперативно ужесточите политики. Такая бдительность гарантирует, что ваша экосистема совместной работы останется надёжной и защищённой, особенно по мере того, как аудиты соответствия требованиям становятся всё более распространёнными.

Выбор поставщиков удостоверений и вариантов аутентификации

1. Подключите клиенты Azure AD: Большинство внешних пользователей B2B будут приходить из Azure AD другой организации. Вы можете связать их домашний клиент, позволив пользователям входить с помощью рабочих учётных данных, а разрешения и элементы управления доступом настраивать локально. Это избавляет от необходимости держать множество паролей и помогает сохранить уровень безопасности для обеих сторон.
2. Включите учётные записи Microsoft (MSA): Если нужно привлечь людей, которые используют личные учётные записи Microsoft (например, Outlook.com), поддержка MSA в Entra открывает доступ к широкому кругу соавторов, которых нет в корпоративном каталоге. Это идеальный вариант для сценариев с клиентами или гражданами.
3. Добавьте социальные и сторонние поставщики удостоверений: Чтобы охватить максимально широкую аудиторию, подключите Entra External ID к распространённым социальным поставщикам удостоверений, таким как Google, Facebook или LinkedIn. Поддержка SAML и OpenID Connect позволяет интегрироваться даже с пользовательскими или устаревшими поставщиками удостоверений, что критично для внешних партнёров, которые используют инфраструктуру не от Microsoft.
4. Выберите требования к аутентификации: Для каждого поставщика удостоверений можно добавить многофакторную аутентификацию (MFA), политики соответствия устройств или одноразовые коды доступа. Надёжная аутентификация повышает уровень доверия и сохраняет защиту, даже если пароль внешнего пользователя скомпрометирован.
5. Настройте пользовательский опыт: Адаптируйте сценарии регистрации и входа, оформление и запросы согласия так, чтобы внешние пользователи видели стиль вашей компании и с первого клика понимали требования безопасности. Удобная аутентификация снижает трение и количество обращений в службу поддержки, а строгие средства контроля по-прежнему надёжно защищают периметр.

Расширенная настройка и кастомизация Entra External Identities

Когда основы освоены, пора переходить к более гибким решениям. Расширенные параметры настройки в Microsoft Entra External Identities позволяют организациям выйти за рамки простого приглашения гостей и создавать брендированные, безопасные и автоматизированные сценарии работы внешних пользователей. Именно здесь появляется тот лоск, который делает внешнее сотрудничество частью повседневной работы бизнеса, не жертвуя при этом контролем.

Представьте сценарии, в которых нужна страница входа с фирменным оформлением, пользовательские политики на основе рисков или географии либо уникальные вопросы при онбординге для определённых типов партнёров. Возможно, офицер по соблюдению требований хочет более жёстко контролировать, к каким файлам имеют доступ гости, или вам нужны разные пользовательские потоки для клиентов и поставщиков. Возможности практически безграничны, если углубиться в пользовательские политики и управление пользовательскими потоками.

А если вы стремитесь к реальной эффективности и масштабируемости, Microsoft Graph API открывает целый мир автоматизации. Массовые приглашения, динамическое назначение групп или даже интеграция запросов на доступ с внутренними системами заявок — всё это достижимо с помощью расширенных настроек.

Дальше вы получите пошаговое руководство о том, как ИT-команды могут формировать путь внешних удостоверений и поддерживать высокий уровень управления, даже когда бизнес-потребности меняются или усложняются.

Управление пользовательскими политиками и потоками для внешних пользователей

1. Настройте пользовательские сценарии регистрации и входа: Используйте пользовательские потоки, чтобы собирать нужные данные от внешних пользователей при регистрации, добавлять фирменное оформление и требовать явного согласия с условиями. Такая настройка гарантирует, что первое впечатление каждого пользователя — гостя, партнёра или клиента — соответствует вашему бренду и требованиям соответствия.
2. Внедрите контроль доступа на основе политик: Создавайте и назначайте политики, которые определяют, как внешние пользователи взаимодействуют с вашими ресурсами. Например, можно требовать MFA для действий с высоким риском, ограничивать доступ к конфиденциальным файлам по типу пользователя или проекту либо разрешать сотрудничество только с определёнными доменами.
3. Определите атрибуты и утверждения: Собирайте нужные данные от внешних пользователей при онбординге, например название компании, подразделение или код проекта, а затем строьте политики и правила доступа на их основе. Это позволяет тонко настраивать разрешения на доступ и отчётность, а также поддерживать условные требования к конфиденциальности или соответствию нормативам.
4. Тестируйте и итеративно публикуйте политики: Просматривайте пользовательские потоки в песочнице, а затем разворачивайте обновления в производственной среде. По мере развития внешнего сотрудничества регулярно пересматривайте конфигурации политик, чтобы закрывать пробелы в безопасности, упрощать сложные процессы и соответствовать меняющимся нормативным требованиям.
5. Управляйте жизненным циклом и отключением доступа: Задавайте автоматическое истечение срока доступа для гостей, ограничивайте видимость ресурсов в зависимости от статуса пользователя и используйте триггеры политик, чтобы запускать проверки или удаление доступа по завершении проектов. Такой проактивный подход снижает риски и помогает выстраивать управление гостевыми учётными записями в соответствии с передовыми практиками в области соответствия требованиям и управления.

Использование Microsoft Graph API для управления внешними удостоверениями

1. Автоматизируйте приглашение гостей и их подключение: Используйте Microsoft Graph API, чтобы скриптом запускать процесс приглашения внешних пользователей, сбора согласования от владельцев ресурсов и добавления гостей в нужные группы или Teams. Это снижает объём ручной работы, ускоряет совместную работу и создаёт повторяемый, устойчивый к ошибкам рабочий процесс.
2. Управляйте назначением групп и ресурсов: С помощью Graph API можно массово назначать (или удалять) внешних пользователей в сайтах SharePoint, Teams или других приложениях. Это особенно полезно в динамичных проектных средах или для партнёров, которым нужен быстрый временный доступ к различным ресурсам.
3. Отслеживайте активность и обеспечивайте соблюдение правил управления: Автоматически отслеживайте активность внешних пользователей — входы, события доступа или изменения — и отправляйте оповещения или запускайте действия по заранее заданным правилам. Интеграция с Power Platform или Power BI, как описано в этом руководстве о том, как укротить разрастание Teams, делает автоматизацию жизненного цикла и аудит проще, чем когда-либо.
4. Интегрируйте с системами заявок и инструментами соответствия требованиям: Свяжите рабочие процессы приглашений, цепочки согласований и управление жизненным циклом со сторонними системами ITSM или системами соответствия требованиям. Graph API позволяет встроить Entra в общую стратегию автоматизации и рабочих процессов, и все ваши инструменты будут работать согласованно.
5. Проводите периодические проверки и автоматизируйте отзыв доступа: Настройте скрипты, которые будут регулярно напоминать владельцам о необходимости проверить гостевой доступ, отмечать неактивные учётные записи для деактивации и обеспечивать безопасное удаление и политики хранения данных. Благодаря автоматизации на основе API вы снижаете риски и гарантируете, что внешние identity не задерживаются дольше необходимого.

Безопасность и управление доступом для внешних identity Microsoft Entra

Открытие цифровых дверей для гостей, партнёров и поставщиков может повысить продуктивность, но только если вы правильно настроите защитные барьеры. Правильный внешний доступ в Microsoft Entra строится на нескольких уровнях средств контроля безопасности, чтобы вы никогда не обменивали удобство на риск, будь то совместная работа с конфиденциальными материалами в Teams или редактирование документов в SharePoint.

В этой части руководства разбираются эти уровни безопасности и то, как стратегические политики, такие как условный доступ и многофакторная аутентификация, повышают требования для внешних пользователей. Условный доступ — это способ сказать: «Пожалуйста, заходите, но действуют мои правила». Стандарты соответствия устройств гарантируют, что даже если ноутбук пользователя подключается из-за пределов вашей сети, он соответствует вашим требованиям, прежде чем получит доступ к вашим данным.

На фоне постоянного роста числа утечек, связанных с доступом партнёров и подрядчиков, экономить на безопасности нельзя. В следующих разделах рассматриваются ключевые инструменты и шаги настройки, которые помогают защитить совместную работу, предотвратить случайные утечки данных и уверенно пройти аудит соответствия. Хотите более широкий взгляд на многоуровневую защиту Teams? Обязательно послушайте подкаст об усилении безопасности Teams о стратегиях защиты в пять уровней для совместной работы с гостями и партнёрами.

Настройка политик условного доступа для внешних пользователей

1. Начните с шаблонов политик для внешней совместной работы: Microsoft Entra предлагает встроенные шаблоны условного доступа, предназначенные специально для B2B-пользователей и гостей. Эти шаблоны позволяют быстро задать требования, например принудительное применение MFA, условия риска входа или блокировку устаревших методов аутентификации для внешних пользователей.
2. Настройте область действия и назначение политик: Применяйте политики условного доступа к нужным группам пользователей, например «Guests and External Users», и ограничивайте их возможности в зависимости от конфиденциальности ресурса или бизнес-сценария. Например, для доступа подрядчиков к финансовым данным можно требовать более строгие меры контроля, чем для доступа к общим проектным командам Teams.
3. Определите детальные условия доступа: Создавайте правила на основе таких факторов, как оценка риска входа, статус соответствия устройства, сетевое расположение или элементы управления сеансом. Это позволяет ужесточать безопасность в ситуациях высокого риска (например, блокировать доступ с неуправляемых устройств), не ограничивая при этом доверенных партнёров с низким уровнем риска.
4. Тестируйте и отслеживайте влияние политик: Используйте инструменты «что, если» и отчётность в Entra, чтобы оценить последствия до развёртывания для всех пользователей. Постоянно отслеживайте попытки внешнего доступа и корректируйте политики на основе реальной активности, снижая трения и быстро устраняя возникающие риски. Дополнительные идеи см. в статье о том, как Copilot выстраивает многоуровневый доступ по принципу наименьших привилегий и непрерывный мониторинг.
5. Оперативно реагируйте на нарушения политик: Настройте автоматические оповещения и шаги по устранению, если внешние пользователи срабатывают на правила безопасности, например немедленный отзыв сеанса или дополнительную проверку личности. Это замыкает цикл между применением политик и оперативным реагированием на инциденты и сохраняет целостность вашей среды.

Многофакторная аутентификация и соответствие требованиям устройств для внешнего доступа

Многофакторная аутентификация (MFA) создаёт важный барьер для внешних пользователей, пытающихся получить доступ к вашей среде Microsoft. Требуя второй фактор подтверждения, например код, отправленный на телефон, MFA значительно затрудняет использование украденных учётных данных. Проверки соответствия устройств добавляют ещё один уровень защиты и гарантируют, что к конфиденциальным данным подключаются только доверенные устройства, соответствующие политикам. Для максимальной защиты включите MFA по умолчанию для всех внешних identity и требуйте проверку состояния устройств для сценариев доступа с более высоким риском в Entra. Вместе эти меры существенно снижают вашу уязвимость к краже учётных данных и вредоносному ПО.

Ценообразование и выставление счетов для Microsoft Entra External Identities: подробное объяснение

Деньги решают многое, и когда речь идёт о Microsoft Entra External Identities, понимание модели стоимости поможет избежать неприятных сюрпризов в IT-бюджете. Entra определяет цену исходя из количества уникальных внешних пользователей, гостей, партнёров или B2B-контактов, которые фактически входят в систему каждый месяц. Это метрика Monthly Active Users (MAU), и она рассчитана на рост вместе с масштабом совместной работы.

Понимание этой модели выставления счетов важно для IT-руководителей и финансовых планировщиков. Она влияет не только на планирование бюджета, но и на то, как вы организуете подключение, отключение и периодические проверки доступа. Чем эффективнее вы управляете внешним доступом, тем предсказуемее (и потенциально ниже) будут ваши ежемесячные расходы. Поэтому пики использования, сезонные проекты и неактивные учётные записи теперь напрямую влияют на финансовый результат.

По мере того как организации открывают Microsoft Teams, SharePoint и другие ресурсы 365 внешним участникам, разумно следить за лицензиями и количеством пользователей. Подробный разбор ниже охватывает пороговые значения по уровням пользователей, разницу между бесплатным и платным доступом и советы по оптимизации совместной работы без лишних расходов. Для более глубокого изучения максимальной отдачи от лицензий вам пригодится руководство по лицензированию Microsoft Copilot: та же логика применима при планировании бюджета на идентификации Entra.

Модель ценообразования External Identities и Monthly Active Users

1. Разберитесь в модели Monthly Active User (MAU): Microsoft Entra External Identities учитывает количество уникальных внешних пользователей, которые входят в ваш клиент в течение календарного месяца. Каждый гость учитывается один раз в месяц, независимо от того, как часто он обращается к ресурсам.
2. Используйте бесплатный уровень: Microsoft предоставляет фиксированное количество MAU бесплатно (обычно 50 000, но уточните данные своей подписки). Этого часто достаточно для небольших и средних организаций или для пилотных проектов с ограниченной внешней совместной работой.
3. Отслеживайте платных пользователей относительно пороговых значений: Как только количество гостей превышает бесплатный лимит MAU, каждый дополнительный активный пользователь генерирует плату за пользователя. Пороговые значения лицензий и цены могут меняться, поэтому регулярно проверяйте актуальную документацию Microsoft, чтобы избежать неожиданностей в бюджете.
4. Оценивайте и оптимизируйте расходы: Используйте инструменты отчётности в Entra, чтобы отслеживать активность внешних пользователей, находить неактивные учётные записи и очищать доступ, чтобы оставаться в бесплатном уровне или минимизировать количество платных пользователей. Автоматическое отключение и регулярные проверки доступа здесь ваши главные помощники.
5. Учитывайте особые сценарии: внешним гостям B2B, которые используют премиальные функции или расширенные средства безопасности (например, условный доступ или Identity Protection), может потребоваться дополнительная лицензия. Планируйте совместные проекты с учётом этого — так же, как и с управлением лицензиями Copilot: продуманное назначение лицензий снижает лишние расходы и помогает оставаться в соответствии с требованиями.

Автоматизация проверок доступа для управления внешними пользователями

Если вы хотите держать двери открытыми для внешних участников, но не оставлять их распахнутыми навсегда, автоматизированные проверки доступа становятся спасением. По мере расширения совместной работы с B2B и гостевыми пользователями определять, кому всё ещё нужен доступ, кто давно неактивен и кто проскочил мимо контроля, уже невозможно с помощью ежемесячных чек-листов в Excel. Автоматизация наводит порядок и экономит и время, и нервы.

Проверки доступа в Microsoft Entra External ID помогают по расписанию и в соответствии с политиками проверять внешние учётные записи. Вы можете назначить ответственных за проверки (владельцев проектов, администраторов ИT или руководителей бизнес-подразделений) и попросить их подтвердить, что каждому гостю действительно нужен доступ. Цель — выявить устаревшие или бесхозные учётные записи до того, как они станут угрозой безопасности или проблемой для соответствия требованиям.

Далее мы разберём управление жизненным циклом, процесс отключения внешних учётных записей и то, как интегрировать автоматизированные проверки в общую стратегию управления. Больше о том, как грамотное управление превращает хаос в уверенность в работе, читайте в материале о управлении Teams и системах совместной работы — многие из этих принципов применимы и к внешним identity.

Управление жизненным циклом при отключении внешних identity

1. Выявляйте неактивные или бесхозные учётные записи: планируйте регулярные аудиты или автоматизированное сканирование, чтобы находить внешних пользователей, которые не обращались к ресурсам в течение заданного периода. Неиспользуемые учётные записи могут стать открытыми дверями для инцидентов безопасности, если их не удалять быстро.
2. Автоматизируйте процедуры удаления: настройте в Entra политики, которые автоматически завершают гостевой доступ через заданный срок (например, после 60 дней неактивности) или по завершении проекта. Используйте скрипты или Graph API для массового удаления пользователей, которые больше не соответствуют критериям для сохранения доступа.
3. Уведомляйте владельцев ресурсов и согласовывайте с ними: при деактивации предупреждайте владельцев проектов или руководителей групп, чтобы у них была возможность проверить удаление и оспорить те, которые могут нарушить работу законных совместных проектов. Дополнительная проверка помогает найти верный баланс между безопасностью и производительностью.
4. Определите политики хранения данных и соответствия требованиям: решите, что будет происходить с общим содержимым, журналами чатов и файлами, принадлежащими внешним пользователям после отключения. Настройте процедуры передачи владения, архивирования или удаления данных с учётом нормативных требований и потребностей управления.
5. Документируйте процессы отключения для аудитов: ведите учёт всех отключённых учётных записей, действий по удалению и политик, на основании которых эти действия выполнялись. Такая документация окажется бесценной при проверках соответствия требованиям и при ответах на запросы регуляторов.

Интеграция Microsoft Entra External ID с приложениями, не принадлежащими Microsoft

Допустим, ваша техническая среда — это не только Microsoft 365: возможно, у вас есть CRM, устаревший внутренний портал или несколько SaaS-платформ. Microsoft Entra External ID не обязан ограничиваться родной средой. Его безопасный подход, основанный на политиках, можно распространить практически на любую внешнюю систему, сделав управление identity единым во всей инфраструктуре.

Неважно, работаете ли вы с облачными приложениями, локальными платформами или гибридными средами: Entra может выступать в роли безопасного моста для identity. Интеграция по SAML, OAuth и OpenID Connect позволяет выстроить федерацию identity и аутентификацию для Salesforce, ServiceNow, старых Java-приложений и практически любых систем, которые поддерживают стандартизованный вход.

Такой подход упрощает предоставление партнёрам, клиентам и поставщикам единой внешней identity для всех ваших приложений — без необходимости постоянно помнить пароли и вручную заводить учётные записи. В следующем разделе вы увидите, как выстроить безопасные схемы федерации и защитить API при открытии доступа внешним пользователям.

Схемы федерации и безопасность внешних API

• SAML/WS-Federation для интеграции устаревших приложений: Подключите Entra External ID к старым внутренним или партнёрским приложениям по SAML или WS-Federation, чтобы внешние пользователи входили с теми же учётными данными, что и для Teams или SharePoint. Это упрощает подключение внешних пользователей и сокращает количество паролей.
• OpenID Connect/OAuth для SaaS и веб-приложений: Распространите аутентификацию Entra на современные облачные приложения или пользовательские порталы. Внешние пользователи получают единый вход (SSO), а ваши политики безопасности и соответствия требованиям работают поверх него, независимо от платформы.
• Безопасность API с OAuth2 и управлением токенами: При предоставлении API внешним партнёрам используйте OAuth2 с токенами доступа, выпущенными Entra. Задавайте области действия (scopes), срок действия и отзыв токенов, чтобы интеграции с партнёрами оставались под контролем и поддавались аудиту.
• Шаблоны мультиоблачной и гибридной федерации: Используйте Entra как доверенный центр для пользователей из AWS, Google или локальных каталогов. Федерация позволяет управлять политиками, отчётностью и проверками доступа из одного центра, даже если ваши приложения находятся в другом месте.
• Мониторинг и ограничение использования API: Для публично доступных API внедрите ограничение частоты запросов (rate limiting) и журналирование доступа. Это защищает от злоупотреблений, помогает соблюдать требования соответствия и даёт понятный журнал аудита на случай споров или расследований.

Соответствие требованиям и конфиденциальность данных для внешних идентификаторов

Подключая внешние идентификаторы к вашей среде Microsoft 365, вы отвечаете не только за совместный доступ к файлам, но и за соблюдение нормативных требований и защиту персональных данных. Будь то GDPR, CCPA или отраслевые правила, Entra External ID поддерживает элементы управления и отчётность, которые нужны, чтобы показать регуляторам, что вы ответственно и корректно управляете внешним доступом.

Этот раздел посвящён настройкам конфиденциальности, управлению согласиями и обеспечению прозрачности в каждом отношении с пользователем. Вы узнаете, как собирать и управлять согласием внешних пользователей, настраивать уведомления о конфиденциальности и соблюдать права субъектов данных, когда пользователи хотят знать, какая информация о них хранится, или контролировать её. По мере ужесточения стандартов соответствия по всему миру эти возможности, встроенные по умолчанию, перестают быть просто полезным дополнением и становятся обязательными.

Правильная настройка соответствия требованиям позволяет не оказаться врасплох из-за новых законов и не путаться в запросах субъектов данных. Организациям, использующим Microsoft Copilot или другие инструменты ИИ, есть полезные пересечения в механизмах конфиденциальности и согласия, подробно описанные в этом обзоре структуры конфиденциальности данных Copilot. Далее мы подробно разберём настройку журналов аудита и надёжной отчётности по всему внешнему доступу.

Журналы аудита и отчётность по внешнему доступу

1. Включите подробное журналирование доступа: Включите логирование всех действий внешних пользователей, включая входы, совместный доступ к ресурсам и изменения разрешений. Полные журналы дают целостную картину: кто, что, когда и откуда сделал.
2. Настройте мониторинг в реальном времени и оповещения: Создайте оповещения о необычной или рискованной активности внешних пользователей. Это позволяет быстро реагировать на подозрительные события, например на неудачные попытки входа или доступ из незнакомых мест.
3. Разверните панели отчётности: Используйте центр администрирования Entra или интегрированные инструменты (например, Power BI), чтобы формировать отчёты об активности внешних пользователей и наглядно показывать состояние соответствия требованиям для аудитов или руководства.
4. Выполняйте требования регуляторов с помощью экспорта данных: Храните журналы и периодические отчёты в форме, готовой к экспорту, чтобы подтверждать соблюдение GDPR, CCPA или отраслевых требований. Когда регулятор или клиент запросит информацию, у вас будут доказательства бдительности в вопросах безопасности и управляемости процессов.

Контрольный список Microsoft Entra External Identities

Возможности Microsoft Entra External: клиент Microsoft Entra и возможности External ID

Что такое Entra ID External Identities и как это связано с Azure AD External Identities?

Entra ID External Identities (ранее Azure AD External Identities) — это набор возможностей Microsoft Entra, который позволяет организациям предоставлять внешним пользователям и организациям безопасный доступ к своим ресурсам. Он поддерживает управление идентификацией и доступом клиентов (CIAM), функции внешних идентификаторов и сценарии внешнего клиента (external id tenant), чтобы компании могли сотрудничать с внешними деловыми партнёрами, поставщиками и клиентами, при этом обеспечивая контроль идентификации и доступа для внешних пользователей.

Как управлять доступом для внешних пользователей и внешних клиентов?

Управляйте доступом для внешних пользователей, приглашая их через совместную работу Azure AD B2B, настраивая политики совместной работы с внешними пользователями и используя возможности Microsoft Entra, например условный доступ для внешних пользователей, управление правами и пакеты доступа. Вы можете добавлять внешние организации, настраивать параметры внешней совместной работы в своем клиенте Microsoft Entra и использовать параметры поставщиков внешних удостоверений, чтобы контролировать разрешения и жизненный цикл гостевых учетных записей.

Могу ли я разрешить внешним пользователям использовать их учетные записи Microsoft Entra или другие социальные удостоверения?

Да. Microsoft Entra External ID объединяет мощные решения, которые позволяют внешним пользователям входить в систему с помощью учетных записей Microsoft Entra, социальных удостоверений или локальных учетных записей. Используя Microsoft Entra ID или Azure AD B2C, вы можете поддерживать вход с их учетными записями Microsoft Entra, включить управление клиентскими удостоверениями и доступом и предоставить гибкие варианты аутентификации для внешних пользователей в масштабе.

Как защитить внешний доступ и доверять MFA для гостевых пользователей?

Защищайте внешний доступ, применяя политики условного доступа для внешних B2B-подключений, включая доверие MFA (многофакторная аутентификация) для высокорисковых операций и применяя политики совместной работы B2B. Вы можете требовать MFA для внешних пользователей, доверять MFA от партнерских клиентов и использовать условный доступ и защиту удостоверений Microsoft Entra, чтобы снизить риски и при этом разрешить внешнюю совместную работу.

Какие возможности External ID помогают с управлением и жизненным циклом?

Возможности External ID включают управление правами, пакеты доступа, автоматизированный жизненный цикл гостевых пользователей, проверки доступа и политики совместной работы B2B. Эти функции Microsoft Entra External ID позволяют администраторам контролировать, кто имеет доступ, управлять сроком действия доступа и автоматизировать проверки, чтобы обеспечить безопасный доступ и соответствие требованиям для внешних пользователей и организаций.

Чем отличаются сценарии рабочего клиента и внешнего клиента в Microsoft Entra?

Рабочий клиент, как правило, содержит удостоверения сотрудников и применяет внутренние политики, тогда как внешний клиент используется для внешних пользователей, партнеров или клиентов. Microsoft Entra External ID поддерживает рабочие и внешние клиенты, позволяя совместную работу между клиентами, настройку параметров внешней совместной работы и различие политик, чтобы вы могли управлять доступом внутренних сотрудников отдельно от совместной работы с внешними партнерами.

Могу ли я работать с внешними бизнес-партнерами в нескольких организациях Microsoft Entra?

Да. Microsoft Entra поддерживает совместную работу с внешними организациями и взаимодействие с внешними партнерами в нескольких клиентах. Такие функции, как внешние удостоверения Azure AD, параметры межклиентского доступа и условный доступ для внешних пользователей, облегчают совместную работу с другими организациями Microsoft Entra и обеспечивают безопасный доступ к Microsoft 365 и другим ресурсам.

Как Microsoft Entra обеспечивает масштабирование для внешних пользователей и автоматизированное подключение?

Microsoft Entra External ID обеспечивает масштабируемость для внешних пользователей, поддерживая массовые приглашения, самостоятельную регистрацию и интеграцию с системами управления клиентскими удостоверениями и доступом. Используя возможности клиента External ID, вы можете автоматизировать подключение, применять пакеты доступа для единообразных политик доступа и управлять внешними пользователями в масштабе с помощью функций аудита и отчетности.

Каковы лучшие практики настройки внешней совместной работы и политик доступа?

Лучшие практики включают использование условного доступа для внешних пользователей, включение доверия MFA, настройку параметров внешней совместной работы для ограничения привилегий гостей, использование управления правами Microsoft Entra для жизненного цикла доступа и мониторинг внешней активности. Сочетайте возможности External ID со строгими политиками доступа для совместной работы B2B, чтобы обеспечить безопасный внешний доступ и при этом разрешить совместную работу с внешними бизнес-партнерами.

Что такое Entra ID External Identities и как это связано с Azure Active Directory?

Entra ID External Identities — это решение Microsoft для управления внешними пользователями и партнерами, которым нужен безопасный доступ к вашим ресурсам. Оно входит в состав Microsoft Entra и опирается на устаревшую модель Azure Active Directory. Решение обеспечивает B2B-сотрудничество с внешними пользователями, работу с социальными учетными записями, такими как Google или Facebook, и сценарии федерации. Entra ID External Identities интегрируется с функциями Azure Active Directory, такими как условный доступ и управление, чтобы обеспечить безопасный доступ к вашей организации.

В чем разница между B2B-сотрудничеством с внешними идентификаторами и отдельными внешними участниками?

B2B-сотрудничество с внешними идентификаторами обычно означает приглашение пользователей из других организаций Microsoft Entra и других клиентов для совместной работы с использованием их корпоративных или управляемых учетных записей. Отдельные внешние участники часто входят с помощью потребительских или социальных учетных записей, например Google. Обе модели позволяют сотрудничать с внешними пользователями, но B2B сохраняет гостя в клиенте Microsoft Entra, где находятся ваши сотрудники, при этом сохраняя его организационную идентичность и утверждения от других поставщиков удостоверений Microsoft или федеративных поставщиков.

Можно ли использовать учетные записи Google, Facebook и другие социальные учетные записи для гостевого доступа?

Да, Entra ID External Identities поддерживает социальные учетные записи, такие как Google и Facebook, поэтому пользователи могут входить с помощью Google или Facebook. Эти социальные учетные записи поддерживаются для автоматизации через API Microsoft Graph и могут настраиваться на портале Azure в параметрах внешней совместной работы. Вход через социальные учетные записи упрощает подключение партнеров и подрядчиков, у которых нет корпоративных учетных записей Azure AD.

Как организован биллинг? Какая модель оплаты у Microsoft Entra External Identities?

Модель оплаты Microsoft Entra External Identities, как правило, основана на потреблении для внешних пользователей, с разными уровнями в зависимости от функций и количества активных пользователей в месяц. Microsoft публикует подробную информацию о модели оплаты использования Microsoft Entra External Identities; актуальные цены проверяйте в своей подписке и на портале Azure. В некоторых сценариях функции могут пересекаться с предложениями Azure AD B2C, который по-прежнему доступен для ориентированных на клиентов сценариев удостоверений со своей ценовой моделью.

Какие функции управления и соответствия требованиям доступны (Entra ID governance и соответствующие утверждения)?

Возможности управления Entra ID для внешних удостоверений включают управление правами доступа, проверки доступа и автоматизацию жизненного цикла, чтобы соответствующие утверждения и политики Microsoft Entra принудительно применялись. Утверждения из других клиентов Microsoft и внешних поставщиков удостоверений можно сопоставлять и преобразовывать в соответствии с вашими политиками соответствия. Entra ID governance помогает контролировать, кто имеет доступ, есть ли у гостей доступ к ресурсам Microsoft, и обеспечивает безопасный доступ к вашей организации при соблюдении требований аудита и нормативных актов.

Как настроить параметры внешней совместной работы и управлять сотрудничеством с другими клиентами Microsoft?

Параметры внешней совместной работы настраиваются на портале Azure, где можно задать политики приглашений, разрешения пользователей по умолчанию и ограничения для внешних пользователей. Чтобы управлять сотрудничеством с другими организациями Microsoft и между клиентами, используйте функции B2B-сотрудничества Azure AD: принимайте пользователей из клиента Microsoft Entra, в котором находятся сотрудники партнера, настраивайте условный доступ и применяйте средства управления. Автоматизация через API Microsoft Graph помогает автоматизировать приглашения, подготовку учетных записей и управление жизненным циклом.

Поддерживаются ли для внешних пользователей устройства с гибридным присоединением к Microsoft Entra и условный доступ Microsoft Entra?

Политики условного доступа Microsoft Entra можно применять к внешним пользователям, чтобы контролировать доступ на основе риска, соответствия устройств требованиям или сетевого расположения. Однако сценарии с устройствами, присоединенными к Microsoft Entra гибридным способом, предназначены в первую очередь для корпоративных устройств в вашем клиенте; отдельные внешние участники обычно не регистрируют устройства как гибридно присоединенные. Вы можете требовать соответствия устройств требованиям или гибридного присоединения для учетных записей партнерских организаций, если они управляются в клиенте, который содержит устройства внешней организации и доверяет вашим политикам.

Как автоматизация через API Microsoft Graph помогает управлять внешними удостоверениями?

Автоматизация через Microsoft Graph API позволяет программно управлять приглашениями, жизненным циклом гостевых пользователей, членством в группах и управлением правами доступа для функций External ID. Многие функции id также поддерживаются через Graph API, что позволяет интегрировать их с существующими инструментами управления идентификацией или IAM и автоматизировать такие процессы, как предоставление и отзыв доступа, проверки доступа и отчётность для пользователей в любом клиенте Microsoft Entra.

Что использовать для клиентских приложений: Azure AD B2C или Entra ID External Identities?

Azure AD B2C создан для клиентских приложений и предлагает широкие возможности настройки пользовательских сценариев и социальных провайдеров, тогда как Entra ID External Identities и Azure AD B2B-совместная работа оптимизированы для совместной работы с внешними пользователями и партнёрами. Azure AD B2C по-прежнему доступен для сценариев, требующих расширенных клиентских потоков. Оцените, что у вас: совместная работа с внешними пользователями или управление идентификацией клиентов, чтобы выбрать подходящий клиент External ID и модель для развёртываний Microsoft Entra External.

Какие лучшие практики обеспечения безопасности совместной работы с внешними пользователями в нескольких технологиях Microsoft Entra?

Лучшие практики включают использование доступа по принципу наименьших привилегий и управления правами доступа, применение условного доступа Microsoft Entra для контроля входа с учётом рисков, включение многофакторной аутентификации для внешних учётных записей, мониторинг утверждений (claims) из других источников Microsoft и аудит гостевого доступа. Используйте возможности управления Microsoft Entra, чтобы планировать проверки доступа, автоматизировать задачи жизненного цикла с помощью Graph API и централизовать настройки на портале Azure. Так вы обеспечите безопасный доступ к корпоративным ресурсам при совместной работе с внешними клиентами и отдельными внешними участниками.

Microsoft Entra External ID: решения по внедрению

Проверьте текущий выбор платформы в документации Microsoft Learn по External ID. Миграция с Azure AD B2C требует продуманного плана: идентификаторы клиента, URL-адреса авторизации, конфигурация приложений и пользовательские сценарии нужно оценить, а не считать, что они перенесутся автоматически.

Часто задаваемые вопросы

Microsoft Entra External ID предназначен только для клиентов?

Нет. Он поддерживает сценарии внешних удостоверений, включая клиентские приложения и модели совместной работы с людьми за пределами корпоративного клиента.

Что нужно задокументировать перед подключением внешних пользователей?

Задокументируйте владельца бизнес-процесса, группу пользователей, назначение приложения, поддерживаемые способы входа, процесс проверки доступа и маршрут поддержки.

Последний пересмотр: июль 2026 г.

🎧 Вам также стоит послушать

• Управление идентификацией в Microsoft Entra

  Изучите жизненный цикл, владение и практики проверки, которые делают Microsoft Entra External ID устойчивым в долгосрочной перспективе.

• Microsoft Entra Private Access – простое объяснение

  Познакомьтесь с другим сценарием доступа Entra и архитектурными вопросами, на которых строятся безопасные службы идентификации.

• Условный доступ для гостей в Microsoft Entra ID

  Свяжите планирование внешних удостоверений с практическими средствами защиты для доступа гостей и партнёров.