Procedure consigliate per Microsoft Entra B2B

Si applica a: Tenant esterni della forza lavoro (altre informazioni)

Questo articolo contiene raccomandazioni e procedure consigliate per la collaborazione business-to-business (B2B) in Microsoft Entra per ID esterno.

Importante

La funzionalità passcode monouso della posta elettronica è ora attivata per impostazione predefinita per tutti i nuovi tenant e per tutti i tenant esistenti in cui non è stata disattivata in modo esplicito. Quando questa funzionalità è disattivata, il metodo di autenticazione di fallback consiste nel richiedere agli invitati di creare un account Microsoft.

Raccomandazioni B2B

Elemento consigliato	Commenti
Consultare le linee guida di Microsoft Entra per proteggere la collaborazione con partner esterni	Informazioni su come adottare un approccio di governance olistico alla collaborazione dell'organizzazione con i partner esterni seguendo le indicazioni riportate in Protezione della collaborazione esterna in Microsoft Entra ID e Microsoft 365.
Pianificare attentamente l'accesso tra tenant e le impostazioni di collaborazione esterna	Microsoft Entra per ID esterno offre un set flessibile di controlli per la gestione della collaborazione con utenti e organizzazioni esterni. È possibile consentire o bloccare tutta la collaborazione o configurare la collaborazione solo per organizzazioni, utenti e app specifiche. Prima di configurare le impostazioni per l'accesso tra tenant e la collaborazione esterna, eseguire un inventario accurato delle organizzazioni con cui si lavora e con cui si collabora. Determinare quindi se si vuole abilitare la connessione diretta B2B o la collaborazione B2B con altri tenant di Microsoft Entra e come si vogliono gestire gli inviti di Collaborazione B2B.
Usare le restrizioni del tenant per controllare il modo in cui gli account esterni vengono usati nelle reti e nei dispositivi gestiti.	Con le restrizioni del tenant, è possibile impedire agli utenti di usare gli account creati in tenant o account sconosciuti ricevuti da organizzazioni esterne. È consigliabile non consentire questi account e usare invece collaborazione B2B.
Per un'esperienza di accesso ottimale, eseguire la federazione con i provider di identità	Quando possibile, eseguire la federazione diretta con i provider di identità per consentire agli utenti invitati di accedere alle app e alle risorse condivise senza dover creare account Microsoft (MSA) o Microsoft Entra. Puoi usare la funzionalità di federazione di Google per consentire agli utenti guest B2B di accedere con i propri account Google. In alternativa, è possibile usare la funzionalità provider di identità SAML/WS-Fed (anteprima) per configurare la federazione con qualsiasi organizzazione il cui provider di identità (IdP) supporta il protocollo SAML 2.0 o WS-Fed.
Usare la funzionalità passcode monouso di posta elettronica per gli utenti guest B2B che non possono eseguire l'autenticazione con altri mezzi	La funzionalità passcode monouso email autentica gli utenti guest B2B quando non possono essere autenticati tramite altri mezzi, ad esempio Microsoft Entra ID, un account Microsoft (MSA) o federazione di Google. Quando l'utente guest riscatta un invito o accede a una risorsa condivisa, può richiedere un codice temporaneo, che viene inviato all'indirizzo di posta elettronica. Quindi immette tale codice per continuare ad accedere.
Aggiungere informazioni personalizzate distintive dell'azienda alla pagina di accesso	È possibile personalizzare la pagina di accesso in modo che sia più intuitiva per gli utenti guest B2B. Scopri come aggiungere informazioni personalizzate aziendali per accedere e Pannello di accesso pagine.
Aggiungere l'informativa sulla privacy all'esperienza di riscatto utente guest B2B	È possibile aggiungere l'URL dell'informativa sulla privacy dell'organizzazione al primo processo di riscatto dell'invito in modo che un utente invitato debba fornire il consenso alle condizioni di privacy per continuare. Vedere Procedura: Aggiungere le informazioni sulla privacy dell'organizzazione in Microsoft Entra ID.
Usare la funzionalità di invito in blocco (anteprima) per invitare più utenti guest B2B contemporaneamente	Invitare più utenti guest all'organizzazione contemporaneamente usando la funzionalità di anteprima dell'invito in blocco nella portale di Azure. Questa funzionalità consente di caricare un file CSV per creare utenti guest B2B e inviare inviti in blocco. Vedere Esercitazione per l'invito bulk degli utenti B2B.
Applicare i criteri di accesso condizionale per l'autenticazione a più fattori Di Microsoft Entra	È consigliabile applicare criteri di autenticazione a più fattori nelle app da condividere con gli utenti B2B partner. In questo modo, l'autenticazione a più fattori verrà applicata in modo coerente alle app nel tenant, indipendentemente dal fatto che l'organizzazione partner usi MFA. Vedere Accesso condizionale per gli utenti di Collaborazione B2B.
Se si applicano criteri di accesso condizionale basati su dispositivo, usare elenchi di esclusione per consentire l'accesso agli utenti B2B	Se i criteri di accesso condizionale basati su dispositivo sono abilitati nell'organizzazione, i dispositivi utente guest B2B verranno bloccati perché non sono gestiti dall'organizzazione. È possibile creare elenchi di esclusione contenenti utenti partner specifici per escluderli dai criteri di accesso condizionale basato su dispositivo. Vedere Accesso condizionale per gli utenti di Collaborazione B2B.
Usare un URL specifico del tenant quando si forniscono collegamenti diretti agli utenti guest B2B	In alternativa al messaggio di posta elettronica di invito, è possibile assegnare a un utente guest un collegamento diretto all'app o al portale. Questo collegamento diretto deve essere specifico del tenant, ovvero deve includere un ID tenant o un dominio verificato in modo che il guest possa essere autenticato nel tenant, in cui si trova l'app condivisa. Vedere Esperienza di riscatto per l'utente guest.
Quando si sviluppa un'app, usare UserType per determinare l'esperienza utente guest	Se si sviluppa un'applicazione e si vogliono offrire esperienze diverse per gli utenti tenant e gli utenti guest, usare la proprietà UserType. L'attestazione UserType non è attualmente inclusa nel token. Le applicazioni devono usare l'API Microsoft Graph per eseguire una query sulla directory affinché l'utente ottenga il proprio UserType.
Modificare la proprietà UserType solo se la relazione dell'utente con l'organizzazione cambia	Sebbene sia possibile usare PowerShell per convertire la proprietà UserType per un utente da Membro a Guest (e viceversa), è consigliabile modificare questa proprietà solo se la relazione dell'utente all'organizzazione cambia. Vedere Proprietà di un utente guest B2B.
Scoprire se l'ambiente sarà interessato dai limiti della directory Microsoft Entra	Microsoft Entra B2B è soggetto ai limiti della directory del servizio Microsoft Entra. Per informazioni dettagliate sul numero di directory che un utente può creare e sul numero di directory a cui un utente o un utente guest può appartenere, vedere Limiti e restrizioni del servizio Microsoft Entra.
Gestire il ciclo di vita dell'account B2B con la funzionalità Sponsor	Uno sponsor è un utente o un gruppo responsabile per i propri utenti guest. Per altre informazioni su questa nuova funzionalità, vedere Campo Sponsor per gli utenti B2B.

Passaggi successivi

Gestire la condivisione B2B