Limitare le autorizzazioni di accesso guest in Microsoft Entra ID

Microsoft Entra ID, parte di Microsoft Entra, consente di limitare ciò che gli utenti guest esterni possono visualizzare nella propria organizzazione in Microsoft Entra ID. Gli utenti guest sono impostati su un livello di autorizzazione limitato per impostazione predefinita in Microsoft Entra ID, mentre l'impostazione predefinita per gli utenti membri è il set completo di autorizzazioni utente. Esiste un altro livello di autorizzazione utente guest nelle impostazioni di collaborazione esterna dell'organizzazione di Microsoft Entra per un accesso ancora più limitato, in modo che i livelli di accesso guest siano:

Quando l'accesso guest è limitato, gli utenti guest possono visualizzare solo il proprio profilo utente. L'autorizzazione per visualizzare altri utenti non è consentita anche se il guest esegue la ricerca in base al nome dell'entità utente o al valore objectId. L'accesso con restrizioni impedisce inoltre agli utenti guest di visualizzare l'appartenenza ai gruppi in cui si trovano. Per altre informazioni sulle autorizzazioni utente predefinite complessive, incluse le autorizzazioni utente guest, vedere Quali sono le autorizzazioni utente predefinite in Microsoft Entra ID?.

Aggiornamento nell'interfaccia di amministrazione di Microsoft Entra

Sono state apportate modifiche ai controlli portale di Azure esistenti per le autorizzazioni utente guest.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come amministratore utente .

2. Selezionare Identità>esterne identità.

3. Selezionare Impostazioni di collaborazione esterna.

4. Nella pagina Impostazioni collaborazione esterna selezionare Accesso utente guest limitato alle proprietà e alle appartenenze dei propri oggetti directory.

   

5. Seleziona Salva. L'applicazione delle modifiche può richiedere fino a 15 minuti per gli utenti guest.

Eseguire l'aggiornamento con l'API Microsoft Graph

È stata aggiunta una nuova API Microsoft Graph per configurare le autorizzazioni guest nell'organizzazione Microsoft Entra. È possibile effettuare le chiamate API seguenti per assegnare qualsiasi livello di autorizzazione. Il valore per guestUserRoleId usato qui è quello di illustrare l'impostazione dell'utente guest con restrizioni. Per altre informazioni sull'uso di Microsoft Graph per impostare le autorizzazioni guest, vedere authorizationPolicy Tipo di risorsa.

Configurazione per la prima volta

POST https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

La risposta deve essere Riuscita 204.

Aggiornamento del valore esistente

PATCH https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

La risposta deve essere Riuscita 204.

Visualizzare il valore corrente

GET https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

Esempio di risposta:

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#policies/authorizationPolicy/$entity",
    "id": "authorizationPolicy",
    "displayName": "Authorization Policy",
    "description": "Used to manage authorization related settings across the company.",
    "enabledPreviewFeatures": [],
    "guestUserRoleId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
    "permissionGrantPolicyIdsAssignedToDefaultUserRole": [
        "user-default-legacy"
    ]
}

Eseguire l'aggiornamento con i cmdlet di PowerShell

Con questa funzionalità è stata aggiunta la possibilità di configurare le autorizzazioni limitate tramite i cmdlet di PowerShell v2. I cmdlet Get e Update di PowerShell sono stati pubblicati nella versione 2.0.2.85.

Comando Get: Get-MgPolicyAuthorizationPolicyPolicy

Esempio:

Get-MgPolicyAuthorizationPolicy | Format-List

AllowEmailVerifiedUsersToJoinOrganization : True
AllowInvitesFrom                          : everyone
AllowUserConsentForRiskyApps              :
AllowedToSignUpEmailBasedSubscriptions    : True
AllowedToUseSspr                          : True
BlockMsolPowerShell                       : False
DefaultUserRolePermissions                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphDefaultUserRolePermissions
DeletedDateTime                           :
Description                               : Used to manage authorization related settings across the company.
DisplayName                               : Authorization Policy
GuestUserRoleId                           : 10dae51f-b6af-4016-8d66-8c2a99b929b3
Id                                        : authorizationPolicy
AdditionalProperties                      : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/authorizationPolicy/$entity]}

Comando di aggiornamento: Update-MgPolicyAuthorizationPolicyPolicy

Esempio:

Update-MgPolicyAuthorizationPolicy -GuestUserRoleId '2af84b1e-32c8-42b7-82bc-daa82404023b'

Servizi di Microsoft 365 supportati

Servizi supportati

Con il supporto si intende che l'esperienza è come previsto; in particolare, che corrisponde all'esperienza guest corrente.

• Teams
• Outlook (OWA)
• SharePoint
• Planner in Teams
• App Planner per dispositivi mobili
• App Web Planner
• Project for the Web
• Operazioni relative ai progetti

Servizi attualmente non supportati

Il servizio senza supporto corrente potrebbe avere problemi di compatibilità con la nuova impostazione di restrizione guest.

• Form
• Project Online
• Yammer
• Planner in SharePoint

Domande frequenti

Passaggi successivi

• Per altre informazioni sulle autorizzazioni guest esistenti in Microsoft Entra ID, vedere Quali sono le autorizzazioni utente predefinite in Microsoft Entra ID?
• Per visualizzare i metodi dell'API Microsoft Graph per limitare l'accesso guest, vedere authorizationPolicy Tipo di risorsa
• Per revocare tutti gli accessi per un utente, vedere Revocare l'accesso utente in Microsoft Entra ID