Руководство по ценам на Microsoft Entra External Identities

By Mirko Peters · 2026-04-29 · Updated 2026-07-28

Узнайте о ценах на Microsoft Entra External Identities на практических примерах: архитектура, безопасность, управление, внедрение и реальные сценарии использования.

Automatically translated with AI from the original post. Read the English original

Цены на Microsoft Entra External Identities основаны на количестве активных пользователей в месяц (MAU) и на службах, которые используются в вашем сценарии работы с клиентами, партнёрами или гостями. Чтобы оценить стоимость, определите тип внешних идентификаторов, ожидаемое количество MAU, методы аутентификации и любые требования к расширенной безопасности или поддержке. Перед утверждением архитектуры или бюджета всегда проверяйте актуальные условия и региональные цены.

Если вы находитесь в процессе развёртывания Microsoft Entra ID для внешних пользователей, вы наверняка уже столкнулись с вопросом цены. Стоимость внешних идентификаторов Entra — не мелкая сноска: она напрямую влияет на любой разговор о доступе, совместной работе и безопасности в современной организации. Фактически вы платите за то, how часто ваши внешние пользователи обращаются к ресурсам, и это учитывается по модели оплаты за активных пользователей в месяц (MAU).

Понимание того, как Entra считает пользователей, связывает клиенты с подписками и учитывает методы аутентификации, необходимо ИТ-администраторам и руководителям проектов. Ошибочные предположения могут привести к неожиданному счёту или подорвать вашу стратегию управления пользователями. Каждый вход и каждая настройка клиента могут изменить операционные расходы, поэтому, зная правила заранее, вы сможете планировать, составлять бюджет и масштабироваться без неприятных сюрпризов.

Как работает модель оплаты внешних пользователей в Entra ID

Основа модели оплаты внешних пользователей Microsoft Entra ID — MAU, то есть активный пользователь в месяц. Вместо лицензирования каждого внешнего контакта Entra ID взимает плату только за тех, кто действительно выполняет вход или иную аутентификацию в течение месяца. Такой подход помогает соотносить расходы с реальным использованием и делает прогноз затрат гораздо более предсказуемым.

Entra ID применяет ценовые уровни в зависимости от количества MAU. Небольшие организации могут оставаться в бесплатном уровне, который включает определённое количество внешних MAU в месяц. По мере роста использования расходы на внешние идентификаторы переходят в платные диапазоны, при этом цена за пользователя немного снижается с ростом объёма. Модель включает несколько функций на этих уровнях, например базовую аутентификацию и самостоятельный сброс пароля, а расширенные функции доступны на более высоких уровнях.

Расчётные циклы в Entra ID обычно ежемесячные и совпадают со сбросом MAU. В каждом цикле учитывается, кто выполнил подходящую аутентификацию, независимо от того, сколько раз этот человек входил в систему в течение месяца. В счёте отражается пиковое количество уникальных активных пользователей за период, поэтому один активный пользователь, выполнивший десять входов, по-прежнему учитывается как один. Организации могут отслеживать эти закономерности в режиме реального времени, что упрощает планирование всплесков активности и сезонных кампаний и соответствующее моделирование бюджета.

В конечном счёте такая модель оплаты побуждает внимательно отслеживать шаблоны аутентификации, настройку клиентов и использование функций. Понимание того, как активность превращается в начисления, позволяет организациям оптимизировать как пользовательский опыт, так и расходы, одновременно планируя будущий рост и следя за итоговыми показателями.

Что считается активным пользователем в месяц для входов и оплаты

В мире Entra ID не каждый «пользователь» подлежит оплате: учитываются только те, кто признан активным пользователем в месяц (MAU) за расчётный цикл. Так что же запускает счётчик? MAU — это любой внешний идентификатор, который успешно прошёл аутентификацию в вашем клиенте Entra в течение месяца. Это относится и к стандартному входу по имени пользователя и паролю, и к одноразовым кодам, и к входу через социальные сети или федеративных поставщиков.

Каждый раз, когда пользователь завершает новую аутентификацию, то есть выполняет новый вход или любое действие, требующее повторного ввода учётных данных, Entra это фиксирует. Но есть важный нюанс: повторные входы или продлённые сеансы в пределах одного месяца не создают дополнительных расходов для того же человека. Даже если пользователь заходит десяток раз, это по-прежнему один MAU, а не двенадцать, что защищает вас от неконтролируемых счетов в активные дни.

Некоторые события могут показаться подходящими для подсчёта, но не всегда влияют на счётчик MAU. Например, продление сеанса с помощью токенов обновления или события тихого SSO, которые не требуют полной повторной аутентификации пользователя, как правило, не увеличивают счётчик MAU повторно, если происходят в пределах той же комбинации «пользователь/месяц». Аналогично, если гость переходит между несколькими приложениями в одном клиенте, учитывается только его первая подходящая аутентификация.

Также стоит отметить, что социальные входы, OTP и федерация учитываются так же, как обычные входы, когда они взаимодействуют с вашим клиентом. Однако пользователи, работающие с несколькими клиентами, должны проходить аутентификацию отдельно в каждом из них, поэтому если внешние идентификаторы работают сразу в нескольких клиентах, один и тот же адрес электронной почты может отображаться как несколько MAU (по одному на каждого клиента). Понимание этих особенностей заранее позволяет избежать неожиданностей и спланировать потоки идентификации с учётом экономии.

Эффективное связывание внешних клиентов с подписками Azure

Чтобы получить понятный и прозрачный биллинг и сохранить надёжный контроль над внешними идентификаторами Entra ID, нужно убедиться, что каждый внешний клиент правильно связан с подпиской Azure. Эта связь служит мостом для выставления счетов, управления жизненным циклом и общей административной ясности.

Правильная связь между внешним клиентом и подпиской Azure делает расходы одновременно прослеживаемыми и предсказуемыми. Без такой настройки отслеживание начислений, внутренние перевыставления и предотвращение «осиротевших» ресурсов быстро превращаются в настоящий кошмар. Если всё сделано правильно, связывание даёт бизнесу упорядоченное представление о активности внешних пользователей, о том, какие ресурсы они потребляют и куда относятся эти расходы.

По мере роста вашей инфраструктуры идентификации, особенно в рамках проектов или нескольких бизнес-подразделений, упорядоченность связей «клиент — подписка» поддерживает подотчётность и управление. Это помогает выявлять пересекающиеся доступы, очищать неиспользуемые идентификаторы и быстрее реагировать на проблемы. Далее мы подробно разберём пошаговый процесс связывания клиентов и устранение неполадок, если подписка не отображается, чтобы вы были готовы как к превентивным действиям, так и к исправлению пропущенного подключения.

Шаги по связыванию подписки внешнего клиента

1. Войдите на портал Azure как глобальный администратор или владелец целевой подписки. Для изменений на уровне подписки требуется соответствующая роль.
2. Перейдите в раздел Azure Active Directory, затем переключитесь на клиент, который хотите связать как внешний клиент.
3. В клиенте откройте Subscriptions и выберите Add или Associate. Выберите подписку Azure, которую хотите связать.
4. Подтвердите связывание и назначьте необходимые разрешения, чтобы администраторы могли управлять биллингом и настройками как для клиента, так и для связанной подписки.
5. После связывания дважды проверьте реквизиты биллинга и счетов в разделе Cost Management + Billing. Это поможет выявить ошибки конфигурации до того, как они создадут проблемы в будущем.

Устранение неполадок: что делать, если подписка клиента не связана?

• Проверьте статус клиента: убедитесь на портале Azure, действительно ли клиент «осиротел» или просто отображается некорректно, проверив Subscription ID для вашего клиента Entra.
• Назначьте подписку: если связи нет, используйте административные разрешения, чтобы связать клиент с действительной подпиской в разделе Cost Management + Billing. Ищите параметр «Link tenant».
• Проблемы с разрешениями: убедитесь, что у вас есть нужная административная роль (Owner, Billing Administrator), чтобы избежать ошибок доступа при связывании.
• Устранение конфликтов владения: если клиент не удаётся связать, проверьте наличие предыдущих связей или передач, а при стойких проблемах обратитесь в поддержку Microsoft.

Методы аутентификации и их влияние на цены Entra ID

Когда речь идёт о внешних идентификаторах в Entra ID, способ аутентификации пользователей напрямую влияет на то, сколько вы платите. Набор вариантов входа — одноразовые пароли (OTP), социальные входы, стандартная пара «имя пользователя и пароль», OpenID Connect или нативные входы в приложения — определяет, кто учитывается как платный MAU и в какой момент.

Не все способы входа одинаковы с точки зрения безопасности и стоимости. Для организаций, которые стремятся к удобству гостевого доступа и при этом контролируют бюджет, каждый метод несёт свои компромиссы. Социальные входы могут упростить доступ, но иногда усложняют управление жизненным циклом. OTP прост, однако может приводить к повторному использованию аутентификации или обращениям в поддержку. OpenID Connect и нативные браузерные сценарии открывают более широкие интеграции, но меняют как характер взаимодействия пользователей, так и размер счёта.

Понимание этих различий крайне важно, особенно учитывая, что атаки на идентификацию и риски безопасности возникают из-за продвинутых схем аутентификации. Для контекста о рисках, связанных с идентификацией, и практических стратегиях управления сложными потоками доступа в Entra ознакомьтесь с подробным разбором условного доступа и управления.

Далее разберём финансовые последствия для разных сценариев аутентификации, чтобы вы могли проектировать потоки идентификации, которые работают и на пользователей, и на ваш бюджет.

Использование OTP и социальных входов: последствия для стоимости

• Входы с OTP: каждая успешная аутентификация с помощью одноразового кода (например, по электронной почте или SMS) засчитывается как один MAU за месяц. Если пользователь входит с OTP несколько раз в течение месяца, это по-прежнему один MAU, но каждая первая аутентификация в каждом периоде запускает списание.
• Социальные поставщики удостоверений: вход через популярные сервисы, такие как Google, Facebook или LinkedIn, регистрирует пользователя как MAU, как только он получает доступ к ресурсу. Последующие входы в том же месяце повторно не учитываются, однако использование разных социальных аккаунтов для одного и того же адреса электронной почты может привести к появлению новых MAU.
• Пограничные случаи: если внешний пользователь переходит между клиентами (например, у вас есть дочерние компании), каждый уникальный вход в клиент даёт ещё один MAU, поэтому сопоставление и консолидация удостоверений там, где это возможно, может снизить ваши расходы.

Сценарии аутентификации OpenID Connect, нативных приложений и браузера

• OpenID Connect (OIDC): когда пользователи проходят аутентификацию через OIDC, каждый успешный первоначальный вход в месячном цикле считается одним MAU. Однако OIDC поддерживает токены обновления, поэтому пока токены действительны и сеансы не истекают, пользователь не учитывается повторно как новый MAU.
• Аутентификация в нативных приложениях: приложения, использующие нативные библиотеки Entra ID (например, MSAL), следуют похожим правилам: первая аутентификация учитывается, а тихое обновление токена — нет. Разные приложения в одном клиенте не создают дополнительных MAU, если пользователь остаётся активным.
• Потоки в браузере: браузерные сеансы могут быть непростыми: очистка cookie или истечение сеансов может вызвать повторную аутентификацию, которая будет выглядеть как новые MAU, если это связано с совершенно новым сеансом в новом календарном месяце. Понимание этого поможет управлять сеансами и контролировать расходы.

Сравнительная таблица: Entra External ID и ценообразование Azure AD B2C

• Модель ценообразования: Entra External ID использует уровни на основе MAU, при которых организации платят только за уникальных активных пользователей в месяц. Azure AD B2C традиционно был основан на транзакциях или предполагал оплату за каждую аутентификацию, хотя в последних моделях для простоты перешли к MAU.
• Включённые возможности: оба решения на базовом уровне предлагают самообслуживание сброса пароля, многофакторную аутентификацию и управление пользователями. Entra External ID обычно обеспечивает более глубокую интеграцию с Microsoft 365, а B2C ориентирован на сценарии для клиентов с настраиваемыми пользовательскими путями.
• Варианты поддержки: поддержка Entra External ID входит в основные каналы поддержки Microsoft. B2C предлагает собственные уровни поддержки, но для ответов с гарантией SLA может потребоваться премиальный план.
• Сценарии использования: Entra External ID лучше всего подходит для взаимодействия с партнёрами, гостевого сотрудничества и бизнес-бизнес (B2B), особенно в экосистемах M365 и Azure. Azure AD B2C предпочтительнее для приложений «бизнес для клиента» (B2C), которым нужен брендинг white-label и гибкие способы входа.
• Соображения по миграции: переход с B2C на Entra ID требует тщательного сопоставления удостоверений, но открывает более строгое управление, при этом существует потенциальный риск привязки к поставщику. Для получения рекомендаций по миграции следите за материалами о зависимости от поставщика и поэтапном внедрении.

Лучшие практики оптимизации затрат в сценариях с большими объёмами

Если ваша организация обслуживает большие аудитории или количество внешних пользователей резко растёт за ночь — например, на конференциях, в розничных мероприятиях или при быстром запуске проектов, — вы знаете, какой болезненной бывает непредсказуемость счетов. Хотя модель выставления счетов Entra ID для внешних пользователей справедлива, риск остаётся значительным, если не настроить тонко управление сеансами и потоки аутентификации.

Продуманная настройка сроков жизни токенов, политик обновления и тайм-аутов простоя во многом помогает стабилизировать количество MAU. Продлевая сеансы и аккуратно повторно используя токены, вы не даёте одному чрезмерно активному гостю увеличить счёт лишь из-за частых ненужных входов. Это особенно важно в средах с мобильными, B2B или гибридными сценариями использования приложений.

Гибридные сценарии, в которых один и тот же человек одновременно выступает в роли «внутреннего сотрудника» и «внешнего гостя», требуют особого внимания. Если архитектуру не продумать как следует, можно получить двойное списание: один и тот же пользователь будет учтён и как лицензированный внутренний идентификатор, и как внешний MAU. Согласование сопоставления выставления счетов и назначения ролей обеспечивает точность учёта и экономит деньги по мере изменения ролей.

Для организаций, которые хотят навести финансовую дисциплину, критически важны такие подходы, как chargeback, showback и централизованное управление. Они позволяют прозрачно распределять затраты и повышать ответственность между подразделениями. Больше о governance и об ограничениях модели showback в реальных средах Microsoft 365 читайте в подробном разборе ответственности за затраты, а также о важности применимого на практике управления Azure. Далее мы разберём практические детали управления сеансами, токенами и гибридной идентификацией.

Стратегии управления сеансами и токенами для снижения количества MAU

• Оптимизируйте время жизни сеанса: Задавайте длительность сеансов так, чтобы пользователи не выходили из системы слишком часто. Это снижает количество новых MAU, которые возникают из-за повторной аутентификации.
• Политики повторного использования токенов: Там, где это допускают требования безопасности, разрешайте более длительный срок жизни токенов обновления. Пользователи остаются в системе, а каждый из них учитывается только один раз в месяц.
• Настройка времени простоя: Не устанавливайте слишком короткий таймаут бездействия, который заставляет пользователей входить повторно. В сочетании с несколькими клиентами такой подход может без нужды увеличивать количество MAU.
• Отслеживайте шаблоны входа: Используйте отчёты, чтобы находить избыточные или ненужные входы, и настраивайте конфигурацию в соответствии с реальным поведением пользователей и средним уровнем вовлечённости.

Управление гибридными пользовательскими сценариями для исключения двойного выставления счетов

• Назначение на основе ролей: Чётко определите и соблюдайте правила, по которым пользователь считается «внутренним» или «внешним», чтобы не платить дважды за одного и того же человека.
• Единые хранилища идентификаторов: По возможности используйте единый источник истины для идентификаторов, желательно в Azure AD/Entra, чтобы не допускать дублирования записей в разных средах.
• Автоматизированные групповые политики: Используйте динамические группы и автоматические назначения в Entra, чтобы менять статус пользователя и его права по мере изменения роли.
• Практики аудита биллинга: Регулярно проводите аудит, чтобы выявлять пересекающиеся учётные записи и переходы между статусами и исправлять их до того, как они увеличат счёт.

Заключение: главное и контрольный список внедрения для ценообразования Entra ID

Если вы работаете с внешними идентификаторами в Entra ID, продуманная стратегия поможет и бюджету, и руководству. Ниже приведены ключевые уроки и практики, которые упростят вашу работу и заметно снизят недовольство финансового отдела:

1. Поймите модель биллинга: Оплата основана на ежемесячно активных пользователях (MAU). Любой уникальный внешний пользователь, который входит в систему в течение месяца, учитывается, поэтому чем больше входов, тем выше расходы. Следите за тем, что увеличивает количество MAU.
2. Управляйте связыванием клиентов и подписок: Убедитесь, что каждый внешний клиент привязан к нужной подписке Azure. Ошибки здесь могут привести к потере данных об использовании или неожиданным начислениям.
3. Выбирайте методы аутентификации с умом: Не все входы одинаковы. Одноразовые коды по электронной почте (email OTP) могут увеличить расходы из-за платы за доставку или обращений в поддержку, а входы через социальные сети или федеративные идентификаторы в сценариях с большим объёмом могут обойтись дешевле.
4. Оптимизируйте настройки сеансов и токенов: Настраивайте длительность сеанса и время простоя, чтобы не завышать количество MAU из-за лишних повторных входов. Повторное использование токенов помогает сокращать число лишних «активных» пользователей.
5. Планируйте гибридные сценарии и точные роли пользователей: Следите за пользователями, которые переходят из внутренних во внешние и обратно: легко случайно выставить двойной счёт, если сценарии и категории не настроены аккуратно.

Держите этот контрольный список под рукой при развёртывании или настройке внешних идентификаторов Entra ID. Правильные решения сегодня означают меньше сюрпризов с биллингом и более спокойные обсуждения бюджета в будущем.

Вам также стоит послушать

Если вы изучаете ценообразование внешних идентификаторов Microsoft Entra, эти выпуски добавят практического контекста по безопасности идентификаторов, управлению, контролю доступа и эксплуатации Microsoft 365:

• Privileged Identity Management – Simply Explained — Разберитесь в привилегиях «just-in-time», согласовании и проверках доступа.
• Conditional Access – Simply Explained — Узнайте, как контекстные политики защищают пользователей и устройства.
• Microsoft Defender XDR – Simply Explained — Свяжите сигналы идентификации с обнаружением, расследованием и реагированием.
• Microsoft Teams Governance – The Illusion of Control — Узнайте, как управление создаёт ответственность и повторяемые механизмы контроля.

Как оценить стоимость Microsoft Entra External Identities

1. Определите сценарий: совместная работа с гостями, клиентская идентификация или доступ для партнёров.
2. Оценивайте ежемесячно активных пользователей, а не общее количество зарегистрированных учётных записей.
3. Составьте список требований к входу, безопасности, брендингу, приложениям и поддержке, которые могут повлиять на архитектуру.
4. Перед выбором модели затрат уточните у Microsoft актуальное предложение, валюту, регион и условия.

Используйте официальную страницу с ценами Microsoft Entra и документацию Microsoft Learn по External ID, чтобы уточнить актуальный состав продукта. Цены и условия доступности могут меняться, поэтому не принимайте старую оценку как основу для закупочного решения.

Факторы стоимости внешних идентификаций, которые нужно задокументировать

Часто задаваемые вопросы

В чём разница между внешней идентификацией и гостевой учётной записью?

External identities — это более широкая область возможностей Microsoft Entra для людей за пределами рабочего клиента. Гостевой доступ — распространённая модель совместной работы в рамках этой более общей модели внешнего доступа.

Можно ли планировать стоимость, исходя из количества отправленных приглашений?

Нет. Сами по себе приглашения не показывают, сколько пользователей будут реально проходить аутентификацию. Смоделируйте ожидаемое количество ежемесячно активных пользователей и проверьте актуальные условия ценообразования.

Последняя проверка: июль 2026 г.

🎧 Также рекомендуем послушать

• Управление идентификацией в Microsoft Entra

  Узнайте, как владение ресурсами, проверки доступа и механизмы контроля жизненного цикла дополняют решения по стоимости Microsoft Entra External Identities.

• Microsoft Entra Private Access – простым языком

  Изучите связанную схему доступа в Entra и архитектурные вопросы, которые определяют безопасные сервисы идентификации.

• Условный доступ для гостей в Microsoft Entra ID

  Это практическое руководство поможет связать планирование затрат на внешних пользователей с мерами безопасности, необходимыми для гостевого доступа.