Aktivieren Sie B2B Collaboration über Microsoft Clouds hinweg

Gilt für: Grüner Kreis mit einem weißen Häkchensymbol, das angibt, dass der folgende Inhalt für Mitarbeiter(-)Mandanten gilt. Mitarbeiter(-)Mandanten (weitere Informationen)

Wenn Microsoft Entra Organisationen in separaten Microsoft Azure Clouds zusammenarbeiten müssen, können sie die Microsoft-Cloudeinstellungen verwenden, um Microsoft Entra B2B-Zusammenarbeit miteinander zu ermöglichen. B2B-Zusammenarbeit steht zwischen den folgenden globalen und souveränen Microsoft Azure Clouds zur Verfügung:

  • Microsoft Azure kommerzielle Cloud und Microsoft Azure Government
  • Microsoft Azure kommerzielle Cloud und Microsoft Azure betrieben von 21Vianet

Wichtig

Beide Organisationen müssen die Zusammenarbeit miteinander aktivieren, wie in diesem Artikel beschrieben. Anschließend kann jede Organisation optional ihre Einstellungen für den eingehenden und ausgehenden Zugriff ändern, wie unter "Konfigurieren der mandantenübergreifenden Zugriffseinstellungen für die B2B-Zusammenarbeit" beschrieben.

Um die Zusammenarbeit zwischen zwei Organisationen in verschiedenen Microsoft-Clouds zu ermöglichen, führt ein Administrator in jeder Organisation die folgenden Schritte aus:

  1. Er konfiguriert die Microsoft-Cloudeinstellungen, um die Zusammenarbeit mit der Cloud des Partners zu ermöglichen.

  2. Er verwendet die Mandanten-ID des Partners, um den Partner zu suchen und zu den Organisationseinstellungen hinzuzufügen.

  3. Er konfiguriert die Einstellungen für den eingehenden und ausgehenden Datenverkehr für die Partnerorganisation. Der Administrator kann entweder die Standardeinstellungen anwenden oder bestimmte Einstellungen für den Partner konfigurieren.

Nachdem jede Organisation diese Schritte abgeschlossen hat, wird die Microsoft Entra B2B-Zusammenarbeit zwischen den Organisationen aktiviert.

Hinweis

B2B Direct Connect wird für die Zusammenarbeit mit Microsoft Entra Mandanten in einer anderen Microsoft-Cloud nicht unterstützt.

Vorbereitung

  • Rufen Sie die Mandanten-ID des Partners ab. Um die B2B-Zusammenarbeit mit der Microsoft Entra Organisation eines Partners in einer anderen Microsoft Azure Cloud zu ermöglichen, benötigen Sie die Mandanten-ID des Partners. In cloudübergreifenden Szenarien kann der Domänenname einer Organisation nicht für Suchvorgänge verwendet werden.
  • Legen Sie die Zugriffseinstellungen für den eingehenden und ausgehenden Datenverkehr für den Partner fest. Durch die Auswahl einer Cloud in Ihren Microsoft-Cloudeinstellungen wird die B2B-Zusammenarbeit nicht automatisch aktiviert. Nachdem Sie eine andere Microsoft Azure Cloud aktiviert haben, wird die gesamte B2B-Zusammenarbeit standardmäßig für Organisationen in dieser Cloud blockiert. Sie müssen den Mandanten, mit dem Sie zusammen arbeiten möchten, zu Ihren Organisationseinstellungen hinzufügen. Ab diesem Zeitpunkt sind Ihre Standardeinstellungen nur für diesen Mandanten wirksam. Sie können weiterhin die Standardeinstellungen anwenden, oder die Einstellungen für den ein- und ausgehenden Datenverkehr für die Organisation ändern.
  • Rufen Sie alle erforderlichen Objekt-IDs oder App-IDs ab. Wenn Sie Zugriffseinstellungen auf bestimmte Benutzer*innen, Gruppen oder Anwendungen in der Partnerorganisation anwenden möchten, müssen Sie sich vor dem Konfigurieren der Einstellungen an die Organisation wenden, um die erforderlichen Informationen zu erhalten. Rufen Sie ihre Benutzerobjekt-IDs, Gruppenobjekt-IDs oder Anwendungs-IDs (Client-App-IDs oder Ressourcen-App-IDs) ab, damit Sie Ihre Einstellungen richtig ausrichten können.

Hinweis

Benutzer aus einer anderen Microsoft-Cloud müssen mit ihrem Benutzerprinzipalnamen (UPN) eingeladen werden. E-Mails als Anmeldung werden derzeit nicht unterstützt, wenn Sie mit Benutzern aus einer anderen Microsoft-Cloud zusammenarbeiten.

Aktivieren der Cloud in Ihren Microsoft-Cloudeinstellungen

Aktivieren Sie in Ihren Microsoft-Cloudeinstellungen die Microsoft Azure Cloud, mit der Sie zusammenarbeiten möchten.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Security Administrator an.

  2. Navigieren Sie zu Entra-ID>Externe Identitäten>mandantenübergreifende Zugriffseinstellungen, und wählen Sie dann Microsoft-Cloudeinstellungen aus.

  3. Aktivieren Sie die Kontrollkästchen neben den externen Microsoft Azure Clouds, die Sie aktivieren möchten.

    Seite

    Das Kontrollkästchen " Cloudübergreifende Synchronisierungseinstellungen " gilt für die Synchronisierung in allen Clouds. Weitere Informationen finden Sie unter Konfigurieren der cloudübergreifenden Synchronisierung.

Hinweis

Durch die Auswahl einer Cloud wird die B2B-Zusammenarbeit mit Organisationen in dieser Cloud nicht automatisch aktiviert. Sie müssen die Organisation hinzufügen, mit der Sie zusammenarbeiten möchten, wie im nächsten Abschnitt beschrieben.

Hinzufügen des Mandanten zu Ihren Organisationseinstellungen

Führen Sie die folgenden Schritte aus, um den Mandanten, mit dem Sie zusammen arbeiten möchten, zu Ihren Organisationseinstellungen hinzuzufügen.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Security Administrator an.

  2. Navigieren Sie zu Entra ID>Externe Identitäten>Mandantenübergreifende Zugriffseinstellungen, und wählen Sie dann Organisationseinstellungen aus.

  3. Wählen Sie "Organisation hinzufügen" aus.

  4. Geben Sie im Bereich " Organisation hinzufügen " die Mandanten-ID für die Organisation ein (die cloudübergreifende Suche nach Domänenname ist derzeit nicht verfügbar).

    Organisationsbereich durch Eingabe einer cloudübergreifenden Mandanten-ID hinzufügen.

  5. Wählen Sie die Organisation in den Suchergebnissen und dann "Hinzufügen" aus.

  6. Die Organisation wird in der Liste " Organisationseinstellungen " angezeigt. An diesem Punkt werden alle Zugriffseinstellungen für diese Organisation von Ihren Standardeinstellungen geerbt.

    Liste der Organisationseinstellungen, in der eine hinzugefügte Organisation die Standardzugriffseinstellungen erbt.

  7. Wenn Sie die mandantenübergreifenden Zugriffseinstellungen für diese Organisation ändern möchten, wählen Sie den geerbten Standardlink unter der Spalte "Eingehender Zugriff " oder " Ausgehender Zugriff " aus. Führen Sie dann die detaillierten Schritte in den folgenden Abschnitten aus:

Endpunkte für die Anmeldung

Nachdem Sie die Zusammenarbeit mit einer Organisation aus einer anderen Microsoft-Cloud aktiviert haben, können sich benutzerübergreifende Microsoft Entra Gastbenutzer jetzt mit einem common-Endpunkt bei Ihren Mehrinstanzen- oder Microsoft-Erstanbieter-Apps anmelden (d. h. eine allgemeine App-URL, die Ihren Mandantenkontext nicht enthält). Während des Anmeldevorgangs wählt der Gastbenutzer Anmeldeoptionen und dann " Anmelden bei einer Organisation" aus. Der Benutzer gibt dann den Namen Ihrer Organisation ein und setzt die Anmeldung mit seinen Microsoft Entra Anmeldeinformationen fort.

Cloudübergreifende Microsoft Entra Gastbenutzer können auch Anwendungsendpunkte verwenden, die Ihre Mandanteninformationen enthalten, z. B.:

  • https://myapps.microsoft.com/?tenantid=<your tenant ID>
  • https://myapps.microsoft.com/<your verified domain>.onmicrosoft.com
  • https://contoso.sharepoint.com/sites/testsite

Sie können Microsoft Entra-Gastbenutzern aus unterschiedlichen Cloud-Umgebungen auch einen direkten Link zu einer Anwendung oder Ressource zur Verfügung stellen, indem Sie Ihre Mandanteninformationen einschließen, z. B. https://myapps.microsoft.com/signin/X/<application ID>?tenantId=<your tenant ID>.

Unterstützte Szenarien mit cloudübergreifenden Microsoft Entra Gastbenutzern

Die folgenden Szenarien werden bei der Zusammenarbeit mit einer Organisation aus einer anderen Microsoft-Cloud unterstützt:

  • Verwenden Sie die B2B-Zusammenarbeit, um einen Benutzer im Partnermandanten zum Zugriff auf Ressourcen in Ihrer Organisation einzuladen, einschließlich Web line-of-Business-Apps, SaaS-Apps und SharePoint Onlinewebsites, -Dokumente und -Dateien.
  • Verwenden Sie B2B Collaboration, um Power BI-Inhalte für Benutzer im Partnermandanten freizugeben.
  • Wenden Sie Richtlinien für bedingten Zugriff auf B2B-Zusammenarbeitsbenutzer*innen an, und geben Sie an, dass die Multi-Faktor-Authentifizierung oder Geräteansprüche (konforme Ansprüche und hybride, in Microsoft Entra eingebundene Ansprüche) vom Basismandanten der Benutzer*innen als vertrauenswürdig gelten.

Hinweis

Das Aktivieren der SharePoint und OneDrive Integration mit Microsoft Entra B2B bietet die beste Benutzererfahrung zum Einladen von Benutzern aus einer anderen Microsoft-Cloud innerhalb von SharePoint und OneDrive.

Bekanntes Verhalten mit cloudübergreifender B2B-Authentifizierung

Bei cloudübergreifenden B2B-Gastbenutzern wird login_hint aus dem mail-Attribut des Gastobjekts und nicht aus der Heim-UPN des Benutzers übernommen. Dieses Verhalten ist vorhanden, da cross-cloud- und same-cloud B2B-Szenarien unterschiedliche Identitätsgrenzen und Datenverfügbarkeit aufweisen. In Szenarien mit der gleichen Cloud B2B kann der Dienst auf die Heimidentitätsinformationen des Benutzers innerhalb desselben Cloud-Ökosystems zugreifen und die Heimanmeldungs-ID bei Bedarf auflösen und verwenden.

In cloudübergreifenden B2B-Szenarien speichert der Ressourcenmandant jedoch nur die unveränderliche Private-Cloud-ID (PUID) des Gasts und die eingeladene E-Mail-Adresse. Da der Heimat-UPN im Gastobjekt nicht beibehalten wird und beim Generieren der ersten Authentifizierungsumleitung nicht verfügbar ist, wird login_hint absichtlich mit dem E-Mail-Attribut des Gasts gefüllt. Organisationen, die eine nahtlose SSO-Erfahrung erfordern, sollten sicherstellen, dass das E-Mail-Attribut des Gastbenutzers im Ressourcenmandanten dem UPN des Benutzers in seinem Heimmandanten entspricht. Da die login_hint aus dem E-Mail-Attribut des Gasts aufgefüllt wird, kann jeder Konflikt zwischen dem Gast-E-Mail-Wert und dem UPN des Homemandanten verhindern, dass der Heimmandant den Benutzer für SSO ordnungsgemäß identifiziert, was zu zusätzlichen Anmeldeaufforderungen, einer fehlerhaften Kontoauflösung oder einer beeinträchtigten Authentifizierung führt.

Nächste Schritte

Siehe Konfigurieren der Einstellungen für die externe Zusammenarbeit für die B2B-Zusammenarbeit mit Nicht-Microsoft Entra-Identitäten, sozialen Identitäten und nicht von der IT verwalteten externen Konten.

  • Last updated on