Menyiapkan pembatasan penyewa versi 2

Berlaku untuk: Penyewa tenaga kerja (pelajari lebih lanjut)

Catatan

Fitur tertentu yang dijelaskan dalam artikel ini adalah fitur pratinjau. Untuk informasi selengkapnya tentang pratinjau, lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure.

Untuk meningkatkan keamanan, Anda dapat membatasi apa yang dapat diakses pengguna saat mereka menggunakan akun eksternal untuk masuk dari jaringan atau perangkat Anda. Pengaturan pembatasan penyewa , yang disertakan dengan pengaturan akses lintas penyewa, memungkinkan Anda membuat kebijakan untuk mengontrol akses ke aplikasi eksternal.

Misalnya, pengguna di organisasi Anda membuat akun terpisah di penyewa yang tidak dikenal, atau organisasi eksternal memberi pengguna Anda akun yang memungkinkan mereka masuk ke organisasi mereka. Anda dapat menggunakan pembatasan penyewa untuk mencegah pengguna menggunakan beberapa atau semua aplikasi eksternal saat mereka masuk dengan akun eksternal di jaringan atau perangkat Anda.

Diagram berikut menunjukkan langkah-langkah yang diambil organisasi contoh untuk mencegah akses pengguna dengan menggunakan batasan penyewa v2.

Langkah	Deskripsi
1	Contoso mengonfigurasi pembatasan penyewa dalam pengaturan akses lintas penyewanya untuk memblokir semua akun eksternal dan aplikasi eksternal. Contoso menambahkan indikasi penegakan dengan header v2 pembatasan penyewa melalui pembatasan penyewa universal v2 atau proksi perusahaan. Microsoft Entra ID memberlakukan kebijakan pembatasan tenant v2 ketika header hadir dalam permintaan.
2	Pengguna perangkat yang dikelola Contoso mencoba masuk ke aplikasi eksternal dengan menggunakan akun dari penyewa yang tidak diketahui. Header HTTP pembatasan penyewa v2, dengan ID penyewa Contoso dan ID kebijakan untuk pembatasan penyewa, ditambahkan dalam permintaan autentikasi.
3	Perlindungan bidang autentikasi: MICROSOFT Entra ID memberlakukan kebijakan v2 pembatasan penyewa Contoso dan memblokir akun eksternal untuk mengakses penyewa eksternal selama autentikasi.
4	Perlindungan sarana data (pratinjau): MICROSOFT Entra ID memblokir akses anonim ke Microsoft Forms, file SharePoint, atau rapat Microsoft Teams. MICROSOFT Entra ID juga memblokir akses pengguna ke sumber daya dengan token yang disusupi.

Pembatasan penyewa v2 menyediakan opsi untuk kedua jenis perlindungan ini:

• Perlindungan lapisan autentikasi mengacu pada penggunaan kebijakan pembatasan tenant versi v2 untuk memblokir akses masuk yang menggunakan identitas eksternal. Misalnya, Anda dapat mencegah orang dalam berbahaya membocorkan data melalui email eksternal dengan mencegah penyerang masuk ke penyewa berbahaya mereka. Perlindungan lapisan autentikasi dalam pembatasan penyewa v2 sekarang tersedia secara umum.

• Perlindungan sarana data mengacu pada mencegah serangan yang melewati autentikasi. Misalnya, penyerang mungkin mencoba mengizinkan akses ke aplikasi penyewa berbahaya dengan bergabung secara anonim dengan rapat Teams atau secara anonim mengakses file SharePoint. Atau penyerang mungkin menyalin token akses dari perangkat di penyewa berbahaya dan mengimpornya ke perangkat organisasi Anda. Perlindungan lapisan data dalam pembatasan penyewa versi 2 memaksa pengguna untuk mengautentikasi setiap kali berusaha untuk mengakses sumber daya. Perlindungan bidang data memblokir akses jika autentikasi gagal.

Pembatasan penyewa v1 memberikan perlindungan bidang autentikasi melalui daftar izin penyewa yang dikonfigurasi pada proksi perusahaan Anda. Pembatasan penyewa v2 memberi Anda opsi untuk autentikasi terperinci dan perlindungan bidang data, dengan atau tanpa proksi perusahaan. Jika Anda menggunakan proksi perusahaan untuk injeksi header, opsi hanya menyertakan perlindungan bidang autentikasi.

Gambaran umum pembatasan bagi penyewa Versi 2

Di pengaturan akses lintas penyewa organisasi, Anda dapat mengonfigurasi kebijakan pembatasan penyewa v2. Setelah Anda membuat kebijakan, ada tiga cara untuk menerapkan kebijakan di organisasi Anda:

• Pembatasan penyewa umum. Opsi ini menyediakan perlindungan lapisan autentikasi tanpa proksi perusahaan. Pembatasan entitas tenant universal menggunakan Akses Aman Global untuk menandai semua lalu lintas jaringan, terlepas dari sistem operasi, browser, atau faktor bentuk perangkat. Opsi ini memungkinkan dukungan untuk konektivitas jaringan klien dan jarak jauh.
• Bidang autentikasi. Anda dapat menyebarkan proksi perusahaan di organisasi Anda dan mengonfigurasi proksi untuk mengatur sinyal pembatasan tenant v2 pada semua lalu lintas ke Microsoft Entra ID dan akun Microsoft.
• Windows. Untuk perangkat Windows milik perusahaan, Anda dapat memberlakukan perlindungan bidang autentikasi dan bidang data dengan memberlakukan pembatasan penyewa langsung pada perangkat. Pembatasan penyewa diberlakukan pada akses sumber daya untuk memberikan cakupan jalur data dan perlindungan terhadap infiltrasi token. Proksi perusahaan tidak diperlukan untuk penegakan kebijakan. Perangkat dapat dikelola oleh Microsoft Entra ID, atau dapat tersambung ke domain dan dikelola melalui Kebijakan Grup.

Catatan

Artikel ini menjelaskan cara mengonfigurasi pembatasan penyewa v2 dengan menggunakan pusat admin Microsoft Entra. Anda juga dapat menggunakan Microsoft Graph API untuk pengaturan akses lintas penyewa untuk membuat kebijakan pembatasan penyewa yang sama ini.

Skenario yang didukung

Anda dapat membatasi tenant v2 pada pengguna, grup, organisasi, atau aplikasi eksternal tertentu. Aplikasi yang dibangun di tumpukan jaringan untuk sistem operasi Windows dilindungi. Skenario berikut didukung:

• Semua aplikasi Office (semua versi/saluran rilis)
• Aplikasi .NET Universal Windows Platform (UWP)
• Perlindungan bidang autentikasi untuk semua aplikasi yang mengautentikasi dengan ID Microsoft Entra, termasuk semua aplikasi Microsoft dan aplikasi mitra apa pun yang menggunakan ID Microsoft Entra untuk autentikasi
• Perlindungan sarana data untuk SharePoint Online, Exchange Online, dan Microsoft Graph
• Perlindungan akses anonim untuk Formulir, SharePoint Online, OneDrive, dan Teams (dengan kontrol federasi dikonfigurasi)
• Perlindungan autentikasi dan lapisan data untuk akun penyewa atau konsumen Microsoft
• Semua browser dan platform, saat Anda menggunakan pembatasan tenant universal di Global Secure Access
• Saat Anda menggunakan Kebijakan Grup Windows, Microsoft Edge, dan semua situs web di Microsoft Edge
• Skenario dengan autentikasi berbasis perangkat (termasuk aplikasi kustom yang terintegrasi dengan Microsoft Graph)
• Pembatasan Penyewa v2 (TRv2) diterapkan melalui Azure ExpressRoute saat header TRv2 ada.
  • Header TRv2 secara otomatis ditambahkan untuk sinyal sisi klien saat Anda menggunakan batasan penyewa universal v2 melalui Akses Aman Global atau Objek Kebijakan Grup (GPO) Windows. Pensinyalan GPO Windows mendukung perlindungan autentikasi maupun perlindungan bidang data. Sinyal Akses Aman Global mendukung perlindungan bidang autentikasi pada semua platform dan perlindungan bidang data hanya untuk Microsoft Graph.
  • Untuk sinyal berbasis proksi, header hanya disuntikkan pada perlindungan lapisan autentikasi dan tidak berlaku untuk perlindungan lapisan data. ExpressRoute beroperasi di lapisan jaringan dan tidak menghentikan TLS atau memeriksa lalu lintas HTTP dan injeksi header memerlukan intersepsi TLS dan pemrosesan lapisan aplikasi, yang harus terjadi pada proksi atau firewall sebelum lalu lintas memasuki ExpressRoute. Jika header Trv2 tidak ditambahkan pada permintaan, TRv2 tidak akan diberlakukan.

Skenario yang tidak didukung

• Pemblokiran anonim ke akun OneDrive konsumen. Anda dapat mengatasi batasan ini pada tingkat proksi dengan memblokir https://onedrive.live.com/.
• Saat pengguna mengakses aplikasi mitra, seperti Slack, dengan menggunakan tautan anonim atau akun non-Microsoft Entra.
• Saat pengguna menyalin token yang dikeluarkan ID Microsoft Entra dari komputer rumah ke mesin kerja dan menggunakannya untuk mengakses aplikasi pihak ketiga seperti Slack.
• Pembatasan penyewa per pengguna untuk akun Microsoft.

Membandingkan pembatasan bagi penyewa v1 dan v2

Tabel berikut membandingkan fitur di setiap versi.

Fitur	Pembatasan Penyewa Versi 1	Pembatasan untuk penyewa v2
Penegakan kebijakan	Proksi perusahaan memberlakukan kebijakan pembatasan penyewa pada sarana kontrol ID Microsoft Entra.	Opsi: - Pembatasan penyewa universal di Akses Aman Global menyediakan dukungan sarana autentikasi di semua platform. - Dalam injeksi header proksi perusahaan, proksi perusahaan menetapkan sinyal pembatasan penyewa v2 pada seluruh lalu lintas. - Manajemen perangkat Windows menyediakan bidang autentikasi dan perlindungan sarana data. Perangkat dikonfigurasi untuk mengarahkan lalu lintas Microsoft ke kebijakan pembatasan penyewa. Kebijakan diberlakukan di cloud.
Batasan penegakan kebijakan	Anda dapat mengelola proksi perusahaan dengan menambahkan penyewa ke daftar izin lalu lintas Microsoft Entra. Batas karakter nilai header dalam Restrict-Access-To-Tenants: <allowed-tenant-list> membatasi jumlah penyewa yang dapat Anda tambahkan.	Fitur ini dikelola oleh kebijakan cloud dalam kebijakan akses lintas penyewa. Kebijakan default dibuat di tingkat penyewa, dan kebijakan mitra dibuat untuk setiap penyewa eksternal.
Permintaan pengguna berbahaya	Microsoft Entra ID memblokir permintaan autentikasi berbahaya dari penyewa untuk memberikan perlindungan lapisan autentikasi.	Microsoft Entra ID memblokir permintaan autentikasi berbahaya dari penyewa untuk memberikan perlindungan lapisan autentikasi.
Granularity	Fitur ini terbatas pada penyewa dan semua akun Microsoft.	Fitur ini mencakup penyewa, pengguna, grup, dan granularitas aplikasi. (Granularitas tingkat pengguna tidak didukung dengan akun Microsoft.)
Akses anonim	Akses anonim ke rapat Teams dan berbagi file diizinkan.	Akses anonim ke rapat Teams diblokir. Akses ke sumber daya yang dibagikan secara anonim (siapa pun dengan tautan) diblokir. Akses anonim ke Formulir diblokir.
Akun Microsoft	Fitur ini menggunakan Restrict-MSA header untuk memblokir akses ke akun konsumen.	Fitur ini memungkinkan kontrol autentikasi akun Microsoft pada sarana identitas dan data. Misalnya, jika Anda menerapkan pembatasan penyewa secara default, Anda dapat membuat kebijakan yang memungkinkan pengguna mengakses aplikasi tertentu berikut dengan akun Microsoft mereka: Microsoft Learn (ID aplikasi 18fbca16-2224-45f6-85b0-f7bf2b39b3f3) atau Microsoft Enterprise Skills Initiative (ID aplikasi 195e7f27-02f9-4045-9a91-cd2fa1c2af2f).
Manajemen proksi	Anda dapat mengelola proksi perusahaan dengan menambahkan penyewa ke daftar izin lalu lintas Microsoft Entra.	Untuk perlindungan lapisan autentikasi pada proksi perusahaan, konfigurasikan proksi untuk mengatur pembatasan penyewa sinyal v2 pada semua trafik.
Dukungan platform	Fitur ini didukung di semua platform. Ini hanya menyediakan perlindungan lapisan autentikasi.	Pembatasan penyewa universal dalam Global Secure Access mendukung sistem operasi, browser, atau bentuk faktor perangkat apa pun. Perlindungan bidang autentikasi pada proksi perusahaan mendukung aplikasi macOS, browser Chrome, dan .NET. Manajemen perangkat Windows mendukung sistem operasi Windows dan Microsoft Edge.
Dukungan portal	Tidak ada antarmuka pengguna di pusat admin Microsoft Entra untuk mengonfigurasi kebijakan.	Antarmuka pengguna tersedia di pusat admin Microsoft Entra untuk menyiapkan kebijakan cloud.
Aplikasi yang tidak didukung	Tidak dapat diterapkan.	Blokir penggunaan aplikasi yang tidak didukung dengan titik akhir Microsoft dengan menggunakan Kontrol Aplikasi untuk Bisnis di Windows (sebelumnya Windows Defender Application Control [WDAC]) atau Windows Firewall (misalnya, untuk Chrome atau Firefox). Lihat Memblokir aplikasi Chrome, Firefox, dan .NET seperti PowerShell nanti di artikel ini.

Migrasikan kebijakan pembatasan tenant versi 1 ke versi 2 di proxy

Memigrasikan kebijakan pembatasan penyewa dari v1 ke v2 adalah operasi satu kali. Setelah migrasi, tidak ada perubahan sisi klien yang diperlukan. Anda dapat membuat perubahan kebijakan sisi server berikutnya melalui pusat admin Microsoft Entra.

Saat mengaktifkan pembatasan penyewa v2 pada proksi, Anda dapat memberlakukan pembatasan penyewa v2 hanya pada lapisan autentikasi. Untuk mengaktifkan pembatasan penyewa v2 pada bidang autentikasi dan data, Anda harus mengaktifkan sinyal sisi klien untuk pembatasan penyewa v2 dengan menggunakan Objek Kebijakan Grup Windows (GPO).

Langkah 1: Mengonfigurasi daftar penyewa mitra yang diizinkan

Pembatasan penyewa v1 memungkinkan Anda membuat daftar putih ID penyewa dan/atau titik akses masuk Microsoft untuk memastikan bahwa pengguna mengakses penyewa eksternal yang diotorisasi oleh organisasi Anda. Pembatasan penyewa v1 mencapai daftar yang diizinkan dengan menambahkan Restrict-Access-To-Tenants: <allowed-tenant-list> header pada proksi. Misalnya: Restrict-Access-To-Tenants: "contoso.com, fabrikam.com, northwindtraders.com". Pelajari selengkapnya tentang pembatasan penyewa v1.

Dengan pembatasan penyewa versi 2, konfigurasi dipindahkan ke kebijakan awan di sisi server. Tidak perlu untuk header pembatasan penyewa v1, jadi hapus header ini dari proksi perusahaan Anda. Untuk setiap penyewa di allowed-tenant-list header, buat kebijakan penyewa mitra. Ikuti panduan berikut:

• Pertahankan kebijakan default pembatasan penyewa v2 yang memblokir semua akses penyewa eksternal dari identitas asing (misalnya, user@<externaltenant>.com).
• Buat kebijakan penyewa mitra untuk setiap penyewa yang tercantum dalam daftar yang diizinkan pembatasan penyewa v1 Anda dengan mengikuti langkah-langkah di Langkah 2: Mengonfigurasi pembatasan penyewa v2 untuk mitra tertentu nanti di artikel ini.
• Izinkan hanya pengguna tertentu untuk mengakses aplikasi tertentu. Desain ini meningkatkan postur keamanan Anda dengan membatasi akses hanya untuk pengguna yang diperlukan.

Langkah 2: Memblokir akun konsumen atau penyewa akun Microsoft

Menghalangi pengguna untuk masuk ke aplikasi konsumen, pembatasan tenant v1 memerlukan header sec-Restrict-Tenant-Access-Policy ditambahkan ke lalu lintas yang menuju login.live.com, seperti sec-Restrict-Tenant-Access-Policy: restrict-msa.

Dengan pembatasan penyewa versi 2, konfigurasi dipindahkan ke kebijakan awan di sisi server. Tidak perlu header pembatasan penyewa v1. Pada proksi perusahaan Anda, hapus header "tenant the restrictions v1" sec-Restrict-Tenant-Access-Policy: restrict-msa.

Buat kebijakan penyewa mitra untuk penyewa akun Microsoft dengan mengikuti Langkah 2: Mengonfigurasi pembatasan penyewa v2 untuk mitra tertentu nanti di artikel ini. Karena penetapan tingkat pengguna tidak tersedia untuk penyewa akun Microsoft, kebijakan berlaku untuk semua pengguna akun Microsoft. Namun, granularitas tingkat aplikasi tersedia. Anda harus membatasi aplikasi yang dapat diakses oleh akun Microsoft atau akun konsumen hanya ke aplikasi yang diperlukan.

Catatan

Memblokir penyewa akun Microsoft tidak memblokir lalu lintas perangkat dari sumber selain pengguna, termasuk:

• Lalu lintas untuk Autopilot, Windows Update, dan pengumpulan data organisasi.
• Autentikasi akun konsumen business-to-business (B2B), atau autentikasi passthrough, di mana aplikasi Azure dan aplikasi Office.com menggunakan ID Microsoft Entra untuk mendaftarkan pengguna konsumen dalam konteks konsumen.

Langkah 3: Aktifkan pembatasan penyewa v2 pada proksi perusahaan

Anda dapat mengonfigurasi proksi perusahaan untuk mengaktifkan penandaan sisi klien dari header v2 pembatasan penyewa dengan menggunakan pengaturan proksi perusahaan berikut: sec-Restrict-Tenant-Access-Policy: <DirectoryID>:<policyGUID>.

Dalam pengaturan tersebut, ganti <DirectoryID> dengan ID penyewa Microsoft Entra Anda. Ganti <policyGUID> dengan ID objek untuk kebijakan akses lintas penyewa Anda.

Pembatasan penyewa vs. pengaturan masuk dan keluar

Meskipun pembatasan penyewa dikonfigurasi bersama dengan pengaturan akses lintas penyewa Anda, pembatasan tersebut beroperasi secara terpisah dari pengaturan akses masuk dan keluar. Pengaturan akses lintas penyewa memberi Anda kontrol saat pengguna masuk dengan akun dari organisasi Anda. Sebaliknya, pembatasan penyewa memberi Anda kontrol saat pengguna menggunakan akun eksternal. Pengaturan masuk dan keluar Anda untuk kolaborasi B2B dan koneksi langsung B2B tidak memengaruhi (dan tidak terpengaruh oleh) pengaturan pembatasan penyewa Anda.

Pikirkan pengaturan akses dengan cara ini:

• Pengaturan masuk mengontrol akses akun eksternal ke aplikasi internal Anda.
• Pengaturan akses keluar mengontrol akses akun internal ke aplikasi eksternal.
• Pembatasan penyewa mengontrol akses akun eksternal ke aplikasi eksternal .

Pembatasan Penyewa vs. Kolaborasi Bisnis-ke-Bisnis (B2B)

Saat pengguna Anda memerlukan akses ke organisasi dan aplikasi eksternal, pertimbangkan untuk mengaktifkan pembatasan penyewa untuk memblokir akun eksternal dan menggunakan kolaborasi B2B sebagai gantinya. Kolaborasi B2B memberi Anda kemampuan untuk:

• Gunakan Akses Bersyarah dan paksa autentikasi multifaktor untuk pengguna kolaborasi B2B.
• Mengelola akses masuk dan keluar.
• Hentikan sesi dan kredensial saat status pekerjaan pengguna kolaborasi B2B berubah atau kredensial mereka dilanggar.
• Gunakan log masuk untuk melihat detail tentang pengguna kolaborasi B2B.

Prasyarat

Untuk mengonfigurasi pembatasan penyewa, Anda memerlukan:

• Microsoft Entra ID P1 atau P2.
• Akun dengan peran setidaknya sebagai Administrator Keamanan untuk mengonfigurasi kebijakan pembatasan tenant v2.
• Untuk konfigurasi Windows GPO, perangkat Windows yang menjalankan Windows 10 atau Windows 11 dengan pembaruan terbaru.

Mengonfigurasi kebijakan cloud di sisi server untuk pembatasan penyewa versi 2

Langkah 1: Mengonfigurasi pembatasan penyewa default

Pengaturan untuk pembatasan penyewa v2 terletak di pusat admin Microsoft Entra, di bawah Pengaturan akses lintas penyewa. Pertama, konfigurasikan pembatasan penyewa default yang ingin Anda terapkan ke semua pengguna, grup, aplikasi, dan organisasi. Jika Anda memerlukan konfigurasi khusus mitra, Anda dapat menambahkan organisasi mitra dan menyesuaikan pengaturan apa pun yang berbeda dari default Anda.

Untuk mengonfigurasi pembatasan penyewa bawaan:

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Keamanan.

2. Telusuri Entra ID>External Identities>pengaturan akses lintas penyewa.

3. Pilih tab Pengaturan default .

   

4. Gulir ke bagian Pembatasan penyewa .

5. Pilih tautan Edit pengaturan batasan penyewa default .

   

6. Jika kebijakan default belum ada di penyewa, tautan Buat kebijakan akan muncul di samping ID Kebijakan. Pilih tautan ini.

   

7. Panel Pembatasan penyewa menampilkan nilai ID Penyewa dan nilai ID Kebijakan Anda untuk pembatasan penyewa. Gunakan ikon salin untuk menyalin kedua nilai ini. Anda akan menggunakannya nanti saat mengonfigurasi klien Windows untuk mengaktifkan pembatasan penyewa.

   

8. Pilih tab Pengguna dan grup eksternal . Di bawah Status akses, pilih salah satu opsi berikut ini:

   • Izinkan akses: Memungkinkan semua pengguna yang masuk dengan akun eksternal untuk mengakses aplikasi eksternal (ditentukan pada tab Aplikasi eksternal ).
   • Blokir akses: Memblokir semua pengguna yang masuk dengan akun eksternal agar tidak mengakses aplikasi eksternal (ditentukan pada tab Aplikasi eksternal ).

   

   Catatan

   Pengaturan default tidak dapat dilingkupkan ke akun atau grup individual, jadi Berlaku untuk selalu sama dengan Semua <pengguna dan grup penyewa> Anda. Ketahuilah bahwa jika Anda memblokir akses untuk semua pengguna dan grup, Anda juga perlu memblokir akses ke semua aplikasi eksternal (pada tab Aplikasi eksternal ).

9. Pilih tab Aplikasi eksternal . Di bawah Status akses, pilih salah satu opsi berikut ini:

   • Izinkan akses: Memungkinkan semua pengguna yang masuk dengan akun eksternal untuk mengakses aplikasi yang ditentukan di bagian Berlaku untuk .
   • Blokir akses: Memblokir semua pengguna yang masuk dengan akun eksternal agar tidak mengakses aplikasi yang ditentukan di bagian Berlaku untuk .

   

10. Di bawah Berlaku untuk, pilih salah satu opsi berikut:

    • Semua aplikasi eksternal: Menerapkan tindakan yang Anda pilih di bawah Status akses ke semua aplikasi eksternal. Jika Anda memblokir akses ke semua aplikasi eksternal, Anda juga perlu memblokir akses untuk semua pengguna dan grup Anda (pada tab Pengguna dan grup eksternal ).

    • Pilih aplikasi eksternal: Memungkinkan Anda memilih aplikasi eksternal yang Anda inginkan tindakannya di bawah Status akses untuk diterapkan.

      Untuk memilih aplikasi, pilih Tambahkan aplikasi Microsoft atau Tambahkan aplikasi lain. Kemudian cari berdasarkan nama aplikasi atau ID aplikasi ( ID aplikasi klien atau ID aplikasi sumber daya), dan pilih aplikasi. (Lihat daftar ID untuk aplikasi Microsoft yang umum digunakan.) Jika Anda ingin menambahkan lebih banyak aplikasi, gunakan tombol Tambahkan . Setelah selesai, pilih Kirim.

    

11. Pilih Simpan.

Langkah 2: Mengonfigurasi pembatasan penyewa v2 untuk mitra tertentu

Misalkan Anda menggunakan pembatasan penyewa untuk memblokir akses secara default, tetapi Anda ingin mengizinkan pengguna mengakses aplikasi tertentu dengan menggunakan akun eksternal mereka sendiri. Misalnya, Anda ingin pengguna dapat mengakses Microsoft Learn dengan akun Microsoft mereka sendiri. Instruksi di bagian ini menjelaskan cara menambahkan pengaturan khusus organisasi yang lebih diutamakan daripada pengaturan default.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Keamanan atau Administrator Akses Bersyarat.

2. Telusuri Entra ID>External Identities>pengaturan akses lintas penyewa.

3. Pilih Pengaturan organisasi.

   Catatan

   Jika organisasi yang ingin Anda tambahkan sudah ditambahkan ke daftar, Anda bisa melewati penambahan dan langsung mengubah pengaturan.

4. Pilih Tambahkan organisasi.

5. Pada panel Tambahkan organisasi , masukkan nama domain lengkap (atau ID penyewa) untuk organisasi.

   Misalnya, cari ID penyewa berikut untuk akun Microsoft:

   9188040d-6c67-4c5b-b112-36a304b66dad
   

   

6. Pilih organisasi di hasil pencarian, lalu pilih Tambahkan.

7. Ubah pengaturan. Temukan organisasi di daftar Pengaturan organisasi , lalu gulir secara horizontal untuk melihat kolom Pembatasan penyewa . Saat ini, semua pengaturan batasan penyewa untuk organisasi ini mengikuti pengaturan bawaan Anda. Untuk mengubah pengaturan organisasi ini, pilih tautan Diwariskan dari default .

   

8. Panel Pembatasan penyewa untuk organisasi muncul. Salin nilai untuk ID Penyewa dan ID Kebijakan. Anda akan menggunakannya nanti saat mengonfigurasi klien Windows untuk mengaktifkan pembatasan penyewa.

   

9. Pilih Kustomisasi pengaturan, lalu pilih tab Pengguna dan grup eksternal . Di bawah Status akses, pilih opsi:

   • Izinkan akses: Memungkinkan pengguna dan grup yang ditentukan di bawah Berlaku untuk siapa yang masuk dengan akun eksternal untuk mengakses aplikasi eksternal (ditentukan pada tab Aplikasi eksternal ).
   • Blokir akses: Memblokir pengguna dan grup yang ditentukan di bawah Berlaku untuk siapa yang masuk dengan akun eksternal agar tidak mengakses aplikasi eksternal (ditentukan pada tab Aplikasi eksternal ).

   Untuk contoh akun Microsoft dalam artikel ini, kami memilih Izinkan akses.

   

10. Di bawah Berlaku untuk, pilih Semua <pengguna dan grup organisasi>.

    

    Catatan

    Granularitas pengguna tidak didukung dengan akun Microsoft, sehingga kemampuan Pilih <pengguna dan grup organisasi> tidak tersedia. Untuk organisasi lain, Anda dapat memilih Pilih <pengguna dan grup organisasi>, lalu lakukan langkah-langkah berikut:

    1. Pilih Tambahkan pengguna dan grup eksternal.
    2. Di panel Tambahkan pengguna eksternal atau id grup , ketik ID objek pengguna atau grup yang ingin Anda tambahkan.
    3. Di menu dropdown kanan, pilih apakah itu pengguna atau grup.
    4. Jika Anda ingin menambahkan lainnya, pilih Tambahkan dan ulangi langkah-langkah ini. Setelah selesai memasukkan pengguna dan grup yang ingin Anda tambahkan, pilih Kirim.

11. Pilih tab Aplikasi eksternal . Di bawah Status akses, pilih apakah akan mengizinkan atau memblokir akses ke aplikasi eksternal:

    • Izinkan akses: Memungkinkan pengguna Anda mengakses aplikasi eksternal yang ditentukan di bawah Berlaku saat pengguna menggunakan akun eksternal.
    • Blokir akses: Memblokir pengguna Anda mengakses aplikasi eksternal yang ditentukan di bawah Berlaku saat pengguna menggunakan akun eksternal.

    Untuk contoh akun Microsoft dalam artikel ini, kami memilih Izinkan akses.

    

12. Di bawah Berlaku untuk, pilih salah satu opsi berikut:

    • Semua aplikasi eksternal: Menerapkan tindakan yang Anda pilih di bawah Status akses ke semua aplikasi eksternal.
    • Pilih aplikasi eksternal: Menerapkan tindakan yang Anda pilih di bawah Status akses ke semua aplikasi eksternal.

    Untuk contoh akun Microsoft dalam artikel ini, kami memilih Pilih aplikasi eksternal.

    Catatan

    Jika Anda memblokir akses ke semua aplikasi eksternal, Anda juga perlu memblokir akses untuk semua pengguna dan grup Anda (pada tab Pengguna dan grup eksternal ).

    

13. Jika Anda memilih Pilih aplikasi eksternal, lakukan langkah-langkah berikut:

    1. Pilih Tambahkan aplikasi Microsoft atau Tambahkan aplikasi lain. Untuk contoh Microsoft Learn dalam artikel ini, kami memilih Tambahkan aplikasi lain.
    2. Dalam kotak pencarian, masukkan nama aplikasi atau ID aplikasi ( ID aplikasi klien atau ID aplikasi sumber daya). (Lihat daftar ID untuk aplikasi Microsoft yang umum digunakan.) Untuk contoh Microsoft Learn dalam artikel ini, kami memasukkan ID 18fbca16-2224-45f6-85b0-f7bf2b39b3f3aplikasi .
    3. Pilih aplikasi di hasil pencarian, lalu pilih Tambahkan.
    4. Ulangi langkah-langkah sebelumnya untuk setiap aplikasi yang ingin Anda tambahkan.
    5. Setelah Anda selesai memilih aplikasi, pilih Kirim.

    

14. Aplikasi yang Anda pilih tercantum di tab Aplikasi eksternal . Pilih Simpan.

    

Catatan

Memblokir tenant akun Microsoft tidak menghalangi:

• Lalu lintas perangkat yang tidak berasal dari pengguna. Contohnya termasuk lalu lintas untuk Autopilot, Windows Update, dan pengumpulan data organisasi.
• Autentikasi B2B akun konsumen.
• Autentikasi passthrough, digunakan oleh banyak aplikasi Azure dan Office.com, di mana aplikasi menggunakan ID Microsoft Entra untuk memasukkan pengguna konsumen dalam konteks konsumen.

Mengonfigurasi pembatasan penyewa v2 di sisi klien

Ada tiga opsi untuk memberlakukan pembatasan penyewa v2 untuk klien:

• Menggunakan pembatasan penyewa universal v2 sebagai bagian dari Microsoft Entra Global Secure Access
• Menyiapkan pembatasan penyewa v2 pada proksi perusahaan Anda
• Mengaktifkan pembatasan penyewa pada perangkat yang dikelola Windows (pratinjau)

Opsi 1: Gunakan pembatasan penyewa universal v2 sebagai bagian dari Akses Aman Microsoft Entra Global

Pembatasan penyewa global v2 sebagai bagian dari Microsoft Entra Global Secure Access memberikan perlindungan lapisan autentikasi untuk semua perangkat dan platform.

Opsi 2: Konfigurasi pembatasan penyewa versi 2 pada proksi perusahaan Anda

Untuk memastikan bahwa masuk dibatasi aksesnya pada semua perangkat dan aplikasi di jaringan perusahaan Anda, konfigurasikan proksi perusahaan Anda untuk memberlakukan pembatasan penyewa versi 2. Meskipun mengonfigurasi pembatasan tenant pada proksi perusahaan Anda tidak memberikan perlindungan pada bidang data, tetapi memberikan perlindungan pada bidang autentikasi.

Penting

Jika sebelumnya Anda menyiapkan pembatasan penyewa, Anda perlu berhenti mengirim restrict-msa ke login.live.com. Jika tidak, pengaturan baru akan bertentangan dengan instruksi Anda yang sudah ada ke layanan masuk akun Microsoft.

1. Konfigurasikan header pembatasan pelanggan v2 sebagai berikut:

   Nama header	Nilai Header	Nilai sampel
   sec-Restrict-Tenant-Access-Policy	<TenantId>:<policyGuid>	aaaabbbb-0000-cccc-1111-dddd2222eeee:1aaaaaa1-2bb2-3cc3-4dd4-5eeeeeeeeee5

   • TenantID adalah ID tenant Microsoft Entra Anda. Temukan nilai ini dengan masuk ke pusat admin Microsoft Entra dan telusuri ke ID Entra>Gambaran Umum>Properti.
   • policyGUID adalah ID objek untuk kebijakan akses antar penyewa Anda. Temukan nilai ini dengan memanggil /crosstenantaccesspolicy/default dan menggunakan bidang yang dikembalikan id .

2. Di proksi perusahaan Anda, kirim header v2 pembatasan penyewa ke domain masuk Microsoft berikut:

   • login.live.com
   • login.microsoft.com
   • login.microsoftonline.com
   • login.windows.net

   Header ini memberlakukan kebijakan pembatasan penyewa v2 Anda pada semua akses masuk di jaringan Anda. Header ini tidak memblokir akses anonim ke rapat Teams, file SharePoint, atau sumber daya lain yang tidak memerlukan autentikasi.

Penting

Pembatasan penyewa versi 1 dan versi 2 pada proksi memerlukan dekripsi permintaan ke URL sign-in seperti login.microsoftonline.com. Microsoft mendukung dekripsi trafik data untuk domain login tersebut dengan tujuan penyisipan header guna pembatasan bagi penyewa. Dekripsi ini adalah pengecualian yang valid untuk kebijakan di Menggunakan perangkat atau solusi jaringan pihak ketiga dengan Microsoft 365.

Pembatasan penyewa v2 tanpa dukungan untuk pemutusan dan pemantauan

Untuk sistem non-Windows, Anda dapat menganalisis dan memonitor lalu lintas untuk menambahkan parameter batasan penyewa v2 ke dalam header melalui proksi. Namun, beberapa platform tidak mendukung pemutusan dan pemeriksaan, sehingga pembatasan penyewa v2 tidak berfungsi. Untuk platform ini, fitur ID Microsoft Entra berikut dapat memberikan perlindungan:

• Akses Bersyarat: Hanya memperbolehkan penggunaan perangkat yang terkelola atau mematuhi
• Akses Bersyarat: Mengelola akses untuk pengguna tamu atau eksternal
• Kolaborasi B2B: Membatasi peraturan keluar dengan akses antar penyewa untuk penyewa yang sama yang tercantum dalam parameter Restrict-Access-To-Tenants
• Kolaborasi B2B: Membatasi undangan untuk pengguna B2B ke domain yang sama yang tercantum dalam parameter Restrict-Access-To-Tenants
• Manajemen aplikasi: Membatasi bagaimana pengguna menyetujui aplikasi
• Intune: Terapkan kebijakan aplikasi melalui Intune untuk membatasi penggunaan aplikasi terkelola hanya ke UPN akun yang mendaftarkan perangkat (di bawah Izinkan hanya akun organisasi yang dikonfigurasi di aplikasi)

Meskipun alternatif ini memberikan perlindungan, Anda hanya dapat mencakup skenario tertentu melalui pembatasan penyewa. Contohnya termasuk penggunaan browser untuk mengakses layanan Microsoft 365 melalui web, bukan aplikasi khusus.

Opsi 3: Mengaktifkan pembatasan penyewa pada perangkat yang dikelola Windows (pratinjau)

Setelah membuat kebijakan pembatasan penyewa v2, Anda dapat menerapkan kebijakan pada setiap perangkat Windows 10 atau Windows 11 dengan menambahkan ID penyewa dan ID kebijakan ke konfigurasi pembatasan Penyewa perangkat.

Saat Anda mengaktifkan pembatasan penyewa pada perangkat Windows, proksi perusahaan tidak diperlukan untuk penegakan kebijakan. Perangkat tidak perlu dikelola oleh Microsoft Entra ID untuk menerapkan pembatasan penyewa versi 2. Perangkat yang terhubung ke domain dan dikelola dengan Kebijakan Grup juga mendapatkan dukungan.

Penting

Pembatasan penyewa v2 pada Windows adalah solusi parsial yang membantu melindungi autentikasi dan bidang data untuk beberapa skenario. Ini berfungsi pada perangkat Windows terkelola dan tidak melindungi tumpukan .NET, Chrome, atau Firefox. Ini adalah metode untuk memberlakukan perlindungan bidang data untuk sumber daya Microsoft 365, seperti SharePoint Online dan Exchange Online. Pembatasan penyewa universal di Microsoft Entra Global Secure Access memberikan perlindungan bidang autentikasi di semua platform dan perlindungan bidang data hanya untuk Microsoft Graph.

Menggunakan Kebijakan Grup untuk menyebarkan pembatasan penyewa

Anda dapat menggunakan Kebijakan Grup untuk menyebarkan konfigurasi pembatasan penyewa ke perangkat Windows. Lihat sumber daya ini:

• Templat Administratif untuk Pembaruan Windows 10 November 2021 (21H2)
• Lembar Bentang Referensi Pengaturan Kebijakan Grup untuk Pembaruan Windows 10 November 2021 (21H2)

Menguji kebijakan pada perangkat

Untuk menguji kebijakan pembatasan penyewa v2 pada perangkat, ikuti langkah-langkah ini.

Catatan

Perangkat harus menjalankan Windows 10 atau Windows 11 dengan pembaruan terbaru.

1. Pada komputer Windows, pilih kunci logo Windows, masukkan gpedit, lalu pilih Edit kebijakan grup (Panel kontrol).

2. Pergi ke Konfigurasi Komputer>Templat Administratif>Komponen Windows>Pembatasan Penyewa.

3. Klik kanan Detail Kebijakan Cloud di panel kanan, lalu pilih Edit.

4. Ambil nilai ID Penyewa dan ID Kebijakan yang Anda rekam sebelumnya (di langkah 7 di bawah Langkah 1: Konfigurasikan batasan penyewa default) dan masukkan di bidang berikut. Kosongkan semua bidang lain.

   • ID Microsoft Entra Directory: Masukkan nilai ID Penyewa yang Anda rekam sebelumnya dengan masuk ke pusat admin Microsoft Entra dan telusuri ke Entra ID>Gambaran Umum>Properti.

   • GUID Kebijakan: ID untuk kebijakan akses lintas penyewa Anda. Ini adalah nilai ID Kebijakan yang Anda rekam sebelumnya.

     

5. Pilih OK.

Melihat pembatasan penyewa pada acara v2

Lihat peristiwa yang terkait dengan pembatasan penyewa di Pemantau Peristiwa:

1. Di Penampil Peristiwa, buka Log Aplikasi dan Layanan.
2. Buka Microsoft>Windows>TenantRestrictions>Operational dan cari kejadian.

Memblokir aplikasi Chrome, Firefox, dan .NET seperti PowerShell

Untuk memblokir aplikasi, Anda perlu menyiapkan Kontrol Aplikasi untuk Bisnis di Windows (sebelumnya Windows Defender Application Control [WDAC]) dan mengaktifkan pengaturan Windows Firewall.

Menyiapkan Kontrol Aplikasi untuk Bisnis untuk mengontrol akses ke sumber daya Microsoft

App Control for Business adalah mesin kebijakan bawaan Windows yang memungkinkan Anda mengontrol aplikasi mana yang dapat berjalan di perangkat pengguna Anda. Untuk pembatasan penyewa v2, Anda perlu menggunakan App Control for Business untuk memblokir aplikasi yang belum mendukung pembatasan penyewa v2 (aplikasi yang tidak menyediakan perlindungan pembatasan penyewa v2) agar tidak mengakses sumber daya Microsoft. Persyaratan ini memungkinkan Anda untuk tetap menggunakan browser dan aplikasi pilihan Anda, sambil mengetahui bahwa data yang dilindungi oleh Microsoft Entra hanya dapat diakses melalui cara yang aman.

Aplikasi yang belum dioptimalkan tidak menggunakan tumpukan jaringan Windows, sehingga tidak mendapatkan manfaat dari fitur pembatasan penyewa versi 2 yang ditambahkan ke Windows. Mereka tidak dapat mengirim sinyal ke login.live.com untuk Microsoft Entra, atau ke sumber daya Microsoft yang mengindikasikan bahwa perlindungan pembatasan penyewa v2 diperlukan. Dengan demikian, Anda tidak dapat mengandalkan aplikasi yang tidak tercerahkan untuk memberikan perlindungan bidang data.

Anda dapat menggunakan App Control for Business dengan dua cara untuk membantu melindungi dari aplikasi yang tidak tercerahkan:

• Mencegah penggunaan aplikasi yang tidak tercerahkan sepenuhnya (yaitu, blokir PowerShell atau Chrome sepenuhnya agar tidak berjalan). Anda dapat menggunakan kebijakan App Control for Business standar yang mengontrol aplikasi mana yang dapat dijalankan.
• Izinkan penggunaan aplikasi yang tidak tercerahkan, tetapi blokir agar tidak mengakses sumber daya Microsoft. Untuk metode ini, Anda menggunakan kebijakan App Control for Business khusus yang disebut kebijakan pemberian tag ID aplikasi (AppIdTaggingPolicy).

Untuk kedua opsi, Anda harus terlebih dahulu membuat kebijakan App Control for Business. Kemudian, secara opsional, konversikan ke kebijakan pemberian tag ID aplikasi. Terakhir, terapkan ke perangkat Anda setelah mengujinya pada mesin uji.

Untuk informasi lebih lanjut, lihat Membuat kebijakan penandaan AppId Kontrol Aplikasi Anda.

Catatan

Langkah-langkah berikut memerlukan perangkat Windows up-to-date untuk akses ke cmdlet PowerShell terbaru yang diperlukan untuk membuat kebijakan.

Langkah 1: Gunakan Panduan Kebijakan Kontrol Aplikasi untuk membuat kebijakan

1. Pasang Panduan Kebijakan Kontrol Aplikasi.

2. Pilih Buat kebijakan dan pilih format kebijakan Anda. Defaultnya adalah Kebijakan ganda, kebijakan dasar.

3. Pilih templat dasar Anda (disarankan: Default Windows atau Izinkan Microsoft). Untuk langkah-langkah mendetail, lihat Kebijakan dasar templat.

4. Saat Anda mengonversi kebijakan menjadi kebijakan pemberian tag ID aplikasi, wizard mengasumsikan bahwa aturan kebijakan telah ditetapkan. Anda dapat mengaturnya di sini, tetapi tidak diperlukan. Aturan kebijakan ini mencakup Menu Opsi Boot Tingkat Lanjut, Nonaktifkan Penegakan Skrip, Terapkan Aplikasi Penyimpanan, Mode Audit, dan Integritas Kode Mode Pengguna.

5. Pilih lokasi penyimpanan XML kebijakan Anda dan buat kebijakan Anda.

Langkah 2: Mengonversi kebijakan menjadi kebijakan pemberian tag ID aplikasi

Setelah Anda membuat kebijakan di wizard, atau membuat sendiri dengan menggunakan PowerShell, konversikan output .xml ke kebijakan pemberian tag ID aplikasi. Kebijakan pemberian tag menandai aplikasi yang ingin Anda izinkan aksesnya ke sumber daya Microsoft. Output GUID merupakan ID kebijakan baru Anda.

   Set-CIPolicyIdInfo -ResetPolicyID .\policy.xml -AppIdTaggingPolicy -AppIdTaggingKey "M365ResourceAccessEnforcement" -AppIdTaggingValue "True" 

Langkah 3: Mengkompilasi dan menyebarkan kebijakan untuk pengujian

Setelah Anda mengedit kebijakan dan mengonversinya ke kebijakan pemberian tag ID aplikasi, kompilasi dengan ID kebijakan yang cocok dengan nama file:

   ConvertFrom-CIPolicy .\policy.xml ".\{PolicyID}.cip"

Kemudian sebarkan kebijakan ke direktori Anda CiPolicies\Active :

   copy ".\{Policy ID}.cip" c:\windows\system32\codeintegrity\CiPolicies\Active\ 

Refresh kebijakan pada sistem Anda dengan memanggil RefreshPolicy.exe.

Aktifkan pengaturan Windows Firewall

Anda dapat menggunakan fitur Windows Firewall untuk memblokir aplikasi yang tidak terlindungi agar tidak mengakses sumber daya Microsoft melalui aplikasi Chrome, Firefox, dan .NET seperti PowerShell. Aplikasi ini akan diblokir atau diizinkan sesuai dengan kebijakan pembatasan penyewa v2.

Misalnya, jika Anda menambahkan PowerShell ke kebijakan Program Identifikasi Pelanggan (CIP) untuk pembatasan penyewa v2, dan Anda memiliki graph.microsoft.com dalam daftar titik akhir kebijakan pembatasan penyewa v2 Anda, PowerShell harus dapat mengaksesnya dengan firewall diaktifkan.

1. Pada komputer Windows, pilih kunci logo Windows, masukkan gpedit, lalu pilih Edit kebijakan grup (Panel kontrol).

2. Pergi ke Konfigurasi Komputer>Templat Administratif>Komponen Windows>Pembatasan Penyewa.

3. Klik kanan Detail Kebijakan Cloud di panel kanan, lalu pilih Edit.

4. Pilih kotak centang Aktifkan perlindungan firewall titik akhir Microsoft , lalu pilih OK.

   

5. Refresh Kebijakan Grup di perangkat Anda dengan menjalankan gpudate:

      gupdate /force
   

6. Mulai ulang perangkat.

Memastikan bahwa pembatasan untuk penyewa v2 menghalangi akses

Setelah Mengaktifkan firewall dan pengaturan App Control for Business, coba masuk dengan menggunakan browser Chrome dan akses office.com. Pesan berikut harus ditampilkan ketika masuk gagal.

Pembatasan penyewa dan dukungan sarana data (pratinjau)

Sumber daya berikut memberlakukan pembatasan penyewa v2. Sumber daya ini membahas skenario infiltrasi token di mana aktor jahat mengakses sumber daya secara langsung dengan token yang disusupi atau secara anonim.

• Tim
• SharePoint Online, seperti aplikasi OneDrive
• Exchange Online, seperti aplikasi Outlook
• Office.com dan aplikasi Office

Pembatasan penyewa dan Microsoft Forms (pratinjau)

Ketika pembatasan penyewa v2 diberlakukan, secara otomatis memblokir semua akses identitas anonim atau tidak diautentikasi ke formulir yang dihosting secara eksternal dari Microsoft Forms.

Pembatasan bagi penyewa dan Microsoft Teams (pratinjau)

Teams, secara default, memiliki federasi terbuka. Ini tidak memblokir siapa pun untuk bergabung dalam rapat yang dihosting penyewa eksternal. Untuk kontrol yang lebih besar atas akses ke rapat Teams, Anda dapat menggunakan kontrol federasi di Teams untuk mengizinkan atau memblokir penyewa tertentu. Anda juga dapat menggunakan kontrol federasi ini bersama dengan pembatasan penyewa v2 untuk memblokir akses anonim ke rapat Teams.

Untuk menerapkan pembatasan penyewa untuk Teams, Anda perlu mengonfigurasi pembatasan penyewa v2 di pengaturan akses lintas penyewa Microsoft Entra Anda. Anda juga perlu menyiapkan kontrol federasi di portal admin Teams dan memulai ulang Teams. Pembatasan penyewa v2 yang diterapkan pada proksi perusahaan tidak memblokir akses anonim ke rapat Teams, file SharePoint, dan sumber daya lain yang tidak memerlukan autentikasi.

Jika Anda mempertimbangkan untuk menggunakan pembatasan penyewa untuk Teams, ingatlah poin-poin berikut tentang identitas:

• Teams saat ini memungkinkan pengguna untuk bergabung dalam rapat yang dihosting secara eksternal dengan menggunakan identitas yang disediakan perusahaan atau disediakan di rumah mereka. Anda dapat menggunakan pengaturan akses lintas penyewa keluar untuk mengontrol pengguna mana dengan identitas yang disediakan perusahaan atau disediakan di rumah dapat bergabung dalam rapat Teams yang dihosting secara eksternal.
• Pembatasan penyewa mencegah pengguna menggunakan identitas yang dikeluarkan secara eksternal untuk bergabung dalam rapat Teams.

Catatan

Aplikasi Microsoft Teams memiliki dependensi pada aplikasi SharePoint Online dan Exchange Online. Atur kebijakan pembatasan penyewa v2 pada aplikasi Office 365 alih-alih mengatur kebijakan pada layanan Microsoft Teams, SharePoint Online, atau Exchange Online secara terpisah. Jika Anda mengizinkan atau memblokir salah satu aplikasi (misalnya, SharePoint Online atau Exchange Online) yang merupakan bagian dari Office 365, itu juga memengaruhi aplikasi seperti Microsoft Teams. Demikian pula, jika aplikasi Microsoft Teams diizinkan atau diblokir, SharePoint Online dan Exchange Online dalam aplikasi Teams akan terpengaruh.

Bergabung rapat anonim sepenuhnya

Pembatasan penyewa v2 secara otomatis memblokir semua akses identitas yang tidak diautentikasi dan dikeluarkan secara eksternal ke rapat Teams yang dihosting secara eksternal.

Misalnya, Contoso menggunakan kontrol federasi Teams untuk memblokir penyewa Fabrikam. Jika seseorang dengan perangkat Contoso menggunakan akun Fabrikam untuk bergabung dalam rapat Contoso Teams, mereka diizinkan masuk ke dalam rapat sebagai pengguna anonim. Jika Contoso juga mengaktifkan pembatasan penyewa v2, Teams memblokir akses anonim, dan pengguna tidak dapat bergabung dalam rapat.

Bergabung dalam rapat menggunakan identitas yang dikeluarkan secara eksternal

Anda dapat mengonfigurasi kebijakan pembatasan penyewa v2 untuk memungkinkan pengguna atau grup tertentu dengan identitas yang dikeluarkan secara eksternal untuk bergabung dalam rapat Teams tertentu yang dihosting secara eksternal. Dengan konfigurasi ini, pengguna dapat masuk ke Teams dengan identitas eksternal dan bergabung dengan rapat Teams penyewa yang diselenggarakan secara eksternal yang ditentukan.

Identitas autentikasi	Sesi yang telah diautentikasi	Hasil
Pengguna anggota penyewa Contoh: Seorang pengguna menggunakan identitas rumah mereka sebagai anggota pengguna (seperti user@<mytenant>.com).	Terverifikasi	Pembatasan tenant v2 memungkinkan akses ke rapat Teams. Pembatasan penyewa v2 tidak berlaku untuk pengguna yang merupakan anggota penyewa. Kebijakan masuk/keluar untuk akses lintas penyewa berlaku.
Anonim Contoh: Pengguna mencoba menggunakan sesi yang tidak diautentikasi di jendela browser InPrivate untuk mengakses rapat Teams.	Tidak diautentikasi	Pembatasan tenant v2 memblokir akses ke pertemuan di Microsoft Teams.
Identitas yang dikeluarkan secara eksternal Contoh: Pengguna menggunakan identitas apa pun selain identitas rumah mereka (seperti user@<externaltenant>.com).	Diautentikasi sebagai identitas yang dikeluarkan secara eksternal	Kebijakan pembatasan akses v2 memungkinkan atau memblokir akses ke rapat Microsoft Teams. Pengguna dapat bergabung dalam rapat jika kebijakan mengizinkannya. Jika tidak, akses diblokir.

Batasan Tenant v2 dan SharePoint Online (pratinjau)

SharePoint Online mendukung pembatasan penyewa v2 pada bidang autentikasi dan bidang data.

Sesi diautentikasi

Saat pembatasan penyewa v2 diaktifkan pada penyewa, akses yang tidak sah diblokir selama autentikasi. Jika pengguna langsung mengakses sumber daya SharePoint Online tanpa sesi terautentikasi, mereka akan diminta untuk masuk. Jika kebijakan pembatasan penyewa v2 mengizinkan akses, pengguna dapat mengakses sumber daya. Jika tidak, akses diblokir.

Akses anonim (pratinjau)

Jika pengguna mencoba mengakses file anonim dengan menggunakan penyewa rumah atau identitas perusahaan mereka, pengguna dapat mengakses file tersebut. Tetapi jika pengguna mencoba mengakses file anonim dengan menggunakan identitas yang dikeluarkan secara eksternal, akses diblokir.

Misalnya, asumsikan bahwa pengguna menggunakan perangkat terkelola yang dikonfigurasi dengan pembatasan penyewa v2 untuk Penyewa A. Jika pengguna memilih tautan akses anonim yang dihasilkan untuk sumber daya Penyewa A, mereka harus dapat mengakses sumber daya secara anonim. Tetapi jika pengguna memilih tautan akses anonim yang dihasilkan untuk SharePoint Online di Penyewa B, mereka akan diminta untuk masuk. Akses anonim ke sumber daya melalui identitas yang dikeluarkan secara eksternal selalu diblokir.

Pembatasan penyewa v2 dan OneDrive (pratinjau)

Sesi diautentikasi

Saat pembatasan penyewa v2 diaktifkan pada penyewa, akses yang tidak sah diblokir selama autentikasi. Jika pengguna langsung mengakses sumber daya OneDrive tanpa sesi terautentikasi, mereka akan diminta untuk masuk. Jika kebijakan pembatasan penyewa v2 mengizinkan akses, pengguna dapat mengakses sumber daya. Jika tidak, akses diblokir.

Akses anonim (pratinjau)

Seperti SharePoint, OneDrive mendukung pembatasan penyewa v2 pada bidang autentikasi dan bidang data. Memblokir akses anonim ke OneDrive juga didukung. Misalnya, penegakan kebijakan pembatasan penyewa v2 berlaku di titik akhir OneDrive (microsoft-my.sharepoint.com).

Tidak dalam cakupan

OneDrive untuk akun konsumen (melalui onedrive.live.com) tidak mendukung pembatasan penyewa v2. Beberapa URL (seperti onedrive.live.com) tidak terkonvergensi dan menggunakan tumpukan warisan. Saat pengguna mengakses tenant konsumen OneDrive melalui URL ini, kebijakan tidak diberlakukan. Sebagai solusinya, Anda dapat memblokir https://onedrive.live.com/ di tingkat proksi.

Pembatasan pengguna v2 dan prinsipal layanan

Pembatasan penyewa v2 memblokir akses dari perwakilan layanan. Anda dapat mengaktifkan sinyal klien dengan menggunakan:

• Firewall atau proksi perusahaan. Masuk dengan menggunakan prinsipal layanan:

      $client_id = "00001111-aaaa-2222-bbbb-3333cccc4444"
      $clientSecret = Get-Credential -Username $client_id
      Connect-MgGraph -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -ClientSecretCredential $clientSecret
  

  Gagal masuk karena:

  Connect-MgGraph : ClientSecretCredential authentication failed: AADSTS5000211: A tenant restrictions policy added to this request by a device or network administrator does not allow access to 'tenant'.

• GPO Windows. Anda perlu memeriksa Aktifkan perlindungan firewall titik akhir Microsoft dan pengaktifan App Control for Business. Lihat Memblokir aplikasi Chrome, Firefox, dan .NET seperti PowerShell sebelumnya di artikel ini.

Pembatasan untuk penyewa dengan plug-in Microsoft Enterprise SSO di perangkat Apple

Plug-in SSO Microsoft Enterprise untuk perangkat Apple menyediakan akses menyeluruh (SSO) untuk akun Microsoft Entra di macOS, iOS, dan iPadOS di semua aplikasi yang mendukung fitur SSO Perusahaan Apple. Untuk menggunakan plug-in SSO Microsoft Enterprise untuk perangkat Apple, Anda perlu mengecualikan URL tertentu dari proksi jaringan, intersepsi, dan sistem perusahaan lainnya.

Jika organisasi Anda menggunakan versi OS Apple yang dirilis setelah 2022, tidak perlu mengecualikan URL masuk Microsoft dari inspeksi TLS. Jika Anda menggunakan fitur pembatasan penyewa, Anda dapat melakukan inspeksi TLS pada URL masuk Microsoft dan menambahkan header yang diperlukan pada permintaan. Untuk informasi selengkapnya, lihat Plug-in SSO Microsoft Enterprise untuk perangkat Apple.

Anda dapat memvalidasi konfigurasi jaringan pada perangkat macOS untuk memastikan bahwa konfigurasi SSO tidak rusak karena inspeksi TLS.

Log Masuk

Log masuk Microsoft Entra memungkinkan Anda melihat detail tentang masuk dengan kebijakan versi 2 tentang pembatasan penyewa. Saat pengguna B2B masuk ke penyewa sumber daya untuk berkolaborasi, log masuk dihasilkan di penyewa asal dan penyewa sumber daya. Log ini mencakup informasi seperti aplikasi yang digunakan, alamat email, nama penyewa, dan ID penyewa untuk penyewa beranda dan penyewa sumber daya. Contoh berikut menunjukkan berhasil masuk.

Jika proses masuk gagal, detail aktivitas memberikan informasi tentang alasan kegagalan tersebut.

Jika masuk prinsipal layanan diblokir oleh pembatasan penyewa v2, log masuk hanya akan muncul di penyewa yang menerima permintaan masuk. Tidak ada catatan masuk yang akan dihasilkan pada tenant tempat kebijakan "tenant restrictions v2" dikonfigurasi.

Log audit

Log audit menyediakan catatan aktivitas sistem dan pengguna, termasuk aktivitas yang dimulai pengguna tamu. Anda dapat melihat log audit untuk penyewa di bawah Pemantauan, atau Anda dapat melihat log audit untuk pengguna tertentu dengan membuka profil pengguna.

Untuk mendapatkan detail selengkapnya tentang peristiwa tersebut, pilih peristiwa di log.

Anda juga dapat mengekspor log ini dari ID Microsoft Entra dan menggunakan alat pelaporan pilihan Anda untuk mendapatkan laporan yang disesuaikan.

Microsoft Graph

Gunakan Microsoft Graph untuk mendapatkan informasi kebijakan.

Permintaan HTTP

• Dapatkan kebijakan default:

  GET https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/default
  

• Reset ke default sistem:

  POST https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/default/resetToSystemDefault
  

• Dapatkan konfigurasi mitra:

  GET https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/partners
  

• Dapatkan konfigurasi mitra tertentu:

  GET https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/partners/9188040d-6c67-4c5b-b112-36a304b66dad
  

• Perbarui mitra tertentu:

  PATCH https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/partners/9188040d-6c67-4c5b-b112-36a304b66dad
  

Isi permintaan

"tenantRestrictions": {
    "usersAndGroups": {
        "accessType": "allowed",
        "targets": [
            {
                "target": "AllUsers",
                "targetType": "user"
            }
        ]
    },
    "applications": {
        "accessType": "allowed",
        "targets": [
            {
                "target": "AllApplications",
                "targetType": "application"
            }
        ]
    }
}

Batasan yang diketahui

• Pembatasan penyewa v2 didukung di semua platform cloud.

• TRv2 tidak memberlakukan pembatasan pada permintaan lintas cloud di bidang autentikasi, sehingga akses diizinkan selama autentikasi. Namun, TRv2 memblokir permintaan lintas cloud di bidang data. Akibatnya, saat menggunakan Kebijakan Grup Windows (GPO), pengguna tidak akan dapat mengakses sumber daya yang dicerahkan TRv2 di seluruh batas cloud.

• Pembatasan penyewa v2 tidak berfungsi dengan fitur SSO Platform macOS dengan sinyal klien melalui proksi perusahaan jika proksi perusahaan menggunakan rantai kepercayaan sertifikat di luar sertifikat akar sistem Apple. Ini adalah batasan Apple di mana Platform SSO tidak kompatibel dengan pembatasan penyewa ketika solusi jaringan perantara menyuntikkan header menggunakan sertifikat yang tidak tepercaya. Apple tidak mendukung pelanggan yang menambahkan sertifikat PKI mereka sendiri ke penyimpanan sertifikat akar tepercaya sistem Apple. Pelanggan yang menggunakan Tenant Restrictions v2 dan Platform SSO sebaiknya menggunakan Universal Tenant Restrictions v2 dengan sinyal klien Global Secure Access yang menggunakan sertifikat yang dipercaya oleh sistem Apple.

• Ketika TRv2 diaktifkan, mengakses pusat admin Microsoft Entra dapat mengakibatkan kesalahan "Akses ditolak". Untuk mengatasi masalah ini, tambahkan bendera fitur berikut ke URL pusat admin Microsoft Entra: ?feature.msaljs=true&exp.msaljsexp=true. Jika Anda mengakses pusat admin untuk penyewa mitra (misalnya, Fabrikam) dan mengalami kesalahan di https://entra.microsoft.com/, perbarui URL sebagai berikut: https://entra.microsoft.com/?feature.msaljs=true&exp.msaljsexp=true#home. Ini akan mengaktifkan bendera yang diperlukan dan memulihkan akses.

Konten terkait

• Mengonfigurasi pengaturan kolaborasi eksternal untuk B2B di MICROSOFT Entra External ID