Guida alla distribuzione di Microsoft Entra ID Governance per gestire l'accesso guest e partner

Gli scenari di distribuzione sono indicazioni su come combinare e testare prodotti e servizi di Microsoft Security. È possibile scoprire come interagiscono le funzionalità per migliorare la produttività, rafforzare la sicurezza e soddisfare anche i requisiti normativi e di conformità.

I prodotti e i servizi seguenti vengono visualizzati in questa guida:

• Microsoft Entra ID Governance
• Microsoft Entra
• Gestione dei diritti
• App per la logica di Azure
• Privileged Identity Management (PIM) per i gruppi
• Dashboard di Governance dell'Identità

Usa questo scenario per determinare la necessità di Microsoft Entra ID Governance per creare e concedere l'accesso per la tua organizzazione. Informazioni su come gestire gli utenti guest nell'ambiente.

Sequenze temporali

Le sequenze temporali mostrano la durata approssimativa della fase di recapito e si basano sulla complessità dello scenario. I tempi sono stime e variano a seconda dell'ambiente.

• Onboarding e scoperta - 2 ore
• Assegnare automaticamente le risorse - 1 ora
• Flussi di lavoro personalizzati - 2 ore
• Convertire utenti esterni - 1 ora
• Verifica di accesso - 1 ora

Requisiti dello scenario

Per abilitare lo scenario, verificare che siano soddisfatti i requisiti seguenti:

• Microsoft Entra ID licenza P1 o P2
• SKU di Microsoft Entra ID Governance
  • Microsoft Logic Apps e criteri di assegnazione automatica
• Due tenant, destinazione e origine
• Un account utente cloud nel tenant di destinazione per consentire l'approvazione e l'accesso
• Un utente cloud nel tenant di origine per richiedere l'accesso
• Un account nel tenant di destinazione:
  • Amministratore utenti,
  • Amministratore di Identity Governance,
  • Amministratore ruolo con privilegi o
  • Amministratore globale

Collaborazione B2B e utenti ospiti

Per collaborare con gli utenti guest, è possibile consentire loro di usare la propria identità preferita per accedere all'app o ad altre app aziendali: SaaS, sviluppate in modo personalizzato e altro ancora. In genere, gli utenti di Collaborazione B2B si trovano nella directory come utenti guest.

Scopri di più nella panoramica collaborazione B2B con ospiti esterni per la forza lavoro.

Gestire gli utenti ospiti in Microsoft Entra ID

Gli utenti possono usare Microsoft Entra gestione entitlement funzionalità self-service per iscriversi per l'accesso. Informazioni su registrazione self-servicee su come gestire l'accesso esterno con la gestione delle autorizzazioni.

Gestione delle autorizzazioni o registrazione self-service

Usare la tabella seguente per semplificare il processo decisionale.

Gestione dei diritti	Entrambi	Iscrizione automatica
- Richiesta con il portale My Access o collegamento - Pacchetti di accesso - Flussi di lavoro di approvazione predefiniti - Richieste dell'ambito definite dall'organizzazione - Automazione del ciclo di vita - Supporta le identità SAML (Linguaggio di marcatura delle dichiarazioni di sicurezza) e Web Service Federation (WS-Fed)	- Richiesta attivata dall'utente finale - Raccogliere altri attributi - Attivare API e app per logiche personalizzate - Disponibile per chiunque - Supporta: ID Microsoft Entra, password monouso (OTP)	- Pagina di accesso personalizzata per l'onboarding - Gli utenti creano account nell'app - Opzioni di lingua - Supportano: Google, Account Microsoft (MSA), Facebook

Onboarding e scoperta

Con il dashboard di Microsoft Identity Governance, scopri le informazioni sull'utilizzo delle funzionalità di identità configurate nel tuo tenant. Vedere lo stato corrente dell'ambiente, determinare le azioni di risposta e trovare i collegamenti alla documentazione.

Informazioni dettagliate sugli utenti esterni

Nel corso del tempo, gli account utente esterni vengono creati nel tenant di Microsoft Entra. Quando gli utenti esterni, o ospiti, interrompono l'accesso al tenant, l'account utente esterno diventa obsoleto.

È possibile monitorare ed eliminare gli account di accesso ospite obsoleti utilizzando le revisioni di accesso.

Gestione degli attributi utente esterni

Gli approvatori consentono o negano le richieste di pacchetti di accesso. Per aiutare i responsabili approvazione a prendere decisioni di accesso sull'onboarding di utenti esterni, è possibile includere domande personalizzate in un flusso di richiesta di accesso. Archiviare le informazioni del richiedente per le app o altri processi.

Gestione dei diritti

Le soluzioni di identità decentralizzate consentono agli utenti di controllare le identità digitali e di gestire i dati di identità senza affidarsi a un'autorità centralizzata o a un intermediario. Ridurre la necessità di nuovi dipendenti o partner aziendali per eseguire l'auto-attestazione. Semplificare i processi di approvazione e semplificare il comportamento di conformità. Altre informazioni su ID verificato da Microsoft nella gestione delle autorizzazioni.

Assegnazioni di utenti esterni e pacchetti di accesso

Quando gli utenti esterni richiedono l'accesso iniziale, vengono invitati nella tua directory e viene loro assegnato l'accesso. Nella gestione dei diritti, utilizzare i pacchetti di accesso per assegnare l'accesso a più risorse. Assicurarsi che i pacchetti di accesso si trovino in un contenitore denominato catalogo, che include risorse che è possibile aggiungere al pacchetto di accesso.

• Governare l'accesso degli utenti esterni nella gestione delle autorizzazioni
• Creare un pacchetto di accesso nella gestione delle autorizzazioni
• Visualizzare, aggiungere e rimuovere le assegnazioni per un pacchetto di accesso

Abilitare l'accesso agli utenti esterni

1. Aggiungi organizzazione collegata.
2. Impostazioni di apprendimento per gli utenti esterni.
3. Creare un pacchetto di accesso nella gestione delle autorizzazioni.
4. Modificare l'impostazione Nascosta.
5. Creare un pacchetto di accesso con requisiti di ID verificati.
6. Assegnare utenti.
7. Condividere un collegamento per richiedere un pacchetto di accesso nella gestione entitlement.

Per ulteriori dettagli, consultare Governare l'accesso per gli utenti esterni nella gestione delle autorizzazioni.

Assegnare e rimuovere risorse

Per informazioni su come assegnare l'accesso, rimuoverlo e altre indicazioni, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Flussi di lavoro personalizzati con App per la logica di Azure

Per creare ed eseguire flussi di lavoro automatizzati con App per la logica di Azure, ottenere informazioni sui casi d'uso personalizzati e altro ancora, oppure passare a Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Gestire il ciclo di vita dell'utente esterno

Nella gestione entitlement gli utenti esterni hanno tre stati: regolati, non governativi e vuoti. Gli utenti esterni invitati al tenant non sono gestiti. Gli utenti non governati possono perdere l'assegnazione del loro ultimo pacchetto di accesso, ma rimanere nel tenant indefinitamente. Per gestire il ciclo di vita, convertire i non controllati in controllati mentre hanno accesso.

Scopri come gestire l'accesso per gli utenti esterni nella gestione delle autorizzazioni.

Distribuire il ciclo di vita degli utenti ospite

• Creare un pacchetto di accesso nella gestione delle autorizzazioni
• Creare un criterio di assegnazione automatica
• Gestire il ciclo di vita degli utenti guest nell'interfaccia di amministrazione di Microsoft Entra

Verifiche di accesso

Per informazioni su come abilitare le verifiche di accesso ricorrenti, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Recensioni in più fasi

Informazioni sulle revisioni a più fasi che semplificano gli oneri dei revisori, vai a Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Utenti inattivi

È possibile condurre revisioni utente inattive per distinguere gli account non aggiornati. Per altre informazioni, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Affiliazione Utente-Gruppo

La funzionalità Affiliazione da utente a gruppo consente di prendere decisioni di accesso in base alle raccomandazioni derivate da Machine Learning. Per altre informazioni, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Rischi per l'utente ospite in Microsoft Teams e Microsoft 365 Group

Le verifiche di accesso includono nuovi gruppi con utenti guest e gruppi con guest aggiunti di recente. Le raccomandazioni di revisione si basano sui dettagli dell'ultimo accesso. Come opzione, gli ospiti respinti vengono bloccati dall'accesso, quindi l'account viene eliminato.

Ulteriori informazioni:

• accesso ospite in Microsoft Teams
• Gestire l'accesso guest in Gruppi di Microsoft 365
• Panoramica dei gruppi di Microsoft 365 per amministratori
• Riferimento alle impostazioni di condivisione guest di Microsoft 365

Verifiche di accesso degli utenti ospiti

Quando si eseguono verifiche di accesso, è possibile esaminare gruppi con membri utenti ospiti. In alternativa, è possibile esaminare le app con utenti guest assegnati. Gli ospiti sono inattivi dopo 30 giorni senza accesso.

Finestra di dialogo Nuovo controllo di accesso, con la scheda Tipo di revisione e le opzioni utente guest evidenziate.

Report della cronologia delle verifiche di accesso

Per altre informazioni sui report di cronologia delle revisioni scaricabili, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Distribuire la guida alla verifica di accesso

Per istruzioni sulla distribuzione, vedere Scenario 2: Assegnare l'accesso dei dipendenti alle risorse.

Passaggi successivi

• Introduzione alla guida di distribuzione per la governance di Microsoft Entra ID
• scenario 1: automazione del ciclo di vita dei dipendenti
• Scenario 2: Assegnare l'accesso dei dipendenti alle risorse
• Scenario 3: Gestire l'accesso di ospiti e partner
• scenario 4: Gestire le identità con privilegi e i relativi accessi