Gestione delle licenze di Microsoft Entra ID Governance per gli utenti guest

2025-06-13

Questo articolo descrive la struttura dei prezzi per il componente aggiuntivo Microsoft Entra ID Governance per i guest e descrive come collegare il tenant a una sottoscrizione di Azure per garantire l'accesso corretto alla fatturazione e alle funzionalità.

Modello di fatturazione basato sugli utenti attivi mensili (MAU)

Microsoft Entra ID Governance usa le licenze MAU (Monthly Active User) per gli utenti guest diversi dalle licenze per i dipendenti. Per informazioni dettagliate sulle licenze per i dipendenti, vedere Concetti fondamentali sulla governance delle licenze di Microsoft Entra ID .

Nel modello di fatturazione guest, gli utenti guest vengono identificati da un userType guest indipendentemente dalla posizione in cui l'utente esegue l'autenticazione. Un userType guest è l'userType predefinito per tutti i metodi di invito B2B e può essere impostato anche da un amministratore di identità. La fattura per ogni mese include un record per ogni utente guest con una o più azioni di governance in quel mese. Per informazioni dettagliate sui prezzi, vedere la pagina dei prezzi di Azure.

Funzionalità di governance fatturabili

Gli utenti guest vengono fatturati solo quando usano attivamente funzionalità esclusive di Microsoft Entra ID Governance. Le funzionalità incluse in Microsoft Entra P2 non vengono fatturate. Inoltre, se un guest non esegue alcuna azione attiva correlata alla governance durante un mese, ad esempio nei casi in cui l'accesso è stato assegnato automaticamente in un mese precedente, non verranno fatturati per quel mese.

È possibile identificare le azioni che verranno fatturate al componente aggiuntivo Microsoft Entra ID Governance per i guest esaminando i log di controllo. In particolare, ogni azione fatturabile include queste proprietà:

TargetId: ID oggetto dell'utente di destinazione
TargetUserType: Guest
GovernanceLicenseFeatureUsed: True

La tabella seguente contiene un elenco di azioni attualmente fatturabili per gli utenti guest. Questo elenco potrebbe cambiare man mano che vengono aggiunte funzionalità aggiuntive a Microsoft Entra ID Governance.

Servizio	Azione	API e eventi fatturabili	Log di controllo Dove TargetUserType è Guest e GovernanceLicenseFeatureUsed è True
Gestione dei diritti	Richiedere il pacchetto di accesso per conto di altri utenti	Fattura per la creazione di richieste riuscite. L'utente richiede o aggiorna un'assegnazione del pacchetto di accesso per conto di un altro utente. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando il richiedente (manager) viene estratto dal token e l'oggetto di destinazione è determinato dall'ID del dipendente diretto che riceve l'accesso.	Assegnazione pacchetto di accesso richieste dall'utente, Richiesta di aggiornamento dell'utente per l'assegnazione di pacchetti di accesso
Gestione dei diritti	Il guest viene assegnato a un'assegnazione di ruolo Microsoft Entra	Fattura in caso di creazione di richieste riuscite quando un ruolo Microsoft Entra è incluso nel pacchetto di accesso. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando il pacchetto di accesso contiene un ruolo Microsoft Entra.	Assegnazione pacchetto di accesso richieste dall'utente, Richiesta di aggiornamento dell'utente per l'assegnazione di pacchetti di accesso
Gestione dei diritti	Il criterio sponsor viene applicato all'assegnazione	Fatturare in caso di creazione di richieste riuscite quando uno sponsor viene incluso come responsabile approvazione nei criteri del pacchetto di accesso. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` dove uno sponsor è incluso come responsabile approvazione nei criteri del pacchetto di accesso.	Assegnazione pacchetto di accesso richieste dall'utente, Richiesta di aggiornamento dell'utente per l'assegnazione di pacchetti di accesso
Gestione dei diritti	EM - PIM per i gruppi	Fatturare in caso di creazione di richieste riuscite quando un gruppo PIM è incluso nel pacchetto di accesso. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando il pacchetto di accesso contiene un gruppo PIM.	L'utente richiede l'assegnazione del pacchetto di accesso, creare una richiesta di aggiornamento utente per l'assegnazione di pacchetti di accesso.
Gestione dei diritti	L'utente guest usa l'ID verificato per la richiesta	Fattura per la creazione di una richiesta corretta quando è necessario l'ID verificato nei criteri. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando i criteri del pacchetto di accesso richiedono un ID verificato.	L'utente richiede l'assegnazione del pacchetto di accesso, creare una richiesta di aggiornamento utente per l'assegnazione di pacchetti di accesso.
Gestione dei diritti	Criteri guest assegnati con estensione personalizzata	Fattura per la creazione di richieste riuscite quando un'estensione personalizzata è inclusa nei criteri di assegnazione. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando un'estensione personalizzata è inclusa nei criteri di assegnazione.	L'utente richiede l'assegnazione del pacchetto di accesso, creare una richiesta di aggiornamento utente per l'assegnazione di pacchetti di accesso.
Gestione dei diritti	Al guest viene concesso un criterio di assegnazione automatica	Fatturare la creazione di una richiesta con esito positivo con un criterio di assegnazione automatica.	Entitlement Management crea una richiesta di assegnazione dei pacchetti di accesso per l'utente.
Gestione dei diritti	Assegnare direttamente qualsiasi utente	Fatturare in caso di creazione di richieste riuscite quando si assegna direttamente un pacchetto di accesso a un utente non ancora nella directory. api `https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests` quando si usa requestType "AdminAdd" per un utente che non esiste nella directory.	L'amministratore assegna direttamente l'utente al pacchetto di accesso.
Gestione dei diritti	Contrassegnare l'ospite come disciplinato	Fattura per la conversione in utente regolamentato. api `https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/subjects` dove "subjectLifecycle" è impostato su "regolamentato".	Aggiornare il ciclo di vita dell'utente del pacchetto di accesso.
Flussi di lavoro relativi al ciclo di vita	Flusso di lavoro eseguito per guest	Fattura per l'esecuzione del flusso di lavoro. api `https://graph.microsoft.com/v1.0/identityGovernance/lifecycleWorkflows/workflows/{workflowId}/activate`	Esecuzione del flusso di lavoro avviata per l'utente.
Verifiche di accesso	Verifica di accesso : verifiche di accesso assistito da Machine Learning	Fattura quando l'utente guest è incluso nella revisione. api `https://graph.microsoft.com/v1.0/identityGovernance/accessReviews/definitions` dove le impostazioni di raccomandazione sono abilitate in una revisione di gruppo.	Disponibile dopo l'1/08/2025
Verifiche di accesso	Verifica di accesso : utenti inattivi	Fattura quando l'utente guest è incluso nella revisione. api `https://graph.microsoft.com/v1.0/identityGovernance/accessReviews/definitions` dove le recensioni guest inattive sono incluse nei criteri per una risorsa di gruppo.	Disponibile dopo l'1/08/2025

Fatturazione guest nelle organizzazioni multi-tenant

La fatturazione guest di governance si applica solo agli utenti con un userType di guest, quindi se gli utenti membri con licenza microsoft Entra ID Governance vengono inseriti in tenant dell'organizzazione aggiuntivi con un userType di membro, non si accumulano al contatore di fatturazione.

Se questi utenti vengono inseriti con un userType di guest che accumulano al contatore, tuttavia è possibile evitare l'addebito configurando o aggiungendo un'organizzazione multi-tenant. Se l'utente guest proviene da un tenant aziendale partecipante, il guest non si accumula al contatore della fatturazione. Vedere Configurare un'organizzazione multi-tenant in Microsoft 365.

Esempi di fatturazione

Scenario 1: Automazione delle assegnazioni dei pacchetti di accesso

Marzo:

Contoso crea un criterio di assegnazione automatica che assegna un pacchetto di accesso a 500 utenti guest.
Contoso IT esegue l'API di conversione guest per un altro set di 500 utenti guest.
Fatturazione: per marzo, Contoso viene fatturato per 1.000 utenti guest totali: 500 utenti per i criteri di assegnazione automatica e 500 utenti per l'API di conversione guest.

Aprile:

I 500 utenti guest a cui è stato assegnato automaticamente un pacchetto di accesso a marzo mantengono le assegnazioni, ma non vengono fatturati perché non è stata eseguita un'azione esplicita su questi utenti in aprile.
Contoso IT esegue inoltre una verifica di accesso inattiva su 100 guest.
Fatturazione: per aprile, Contoso viene fatturata per 100 utenti per la verifica di accesso inattiva.

Scenario 2: Flusso di lavoro del ciclo di vita e verifica dell'accesso per gli utenti inattivi

Marzo:

Fabrikam esegue un flusso di lavoro del ciclo di vita per 300 utenti guest.
Eseguono anche una verifica di accesso per gli utenti inattivi, destinati a 100 degli stessi guest di prima, oltre a un set diverso di 200 guest.
Fatturazione: per marzo Fabrikam viene fatturato per 300 utenti per il flusso di lavoro del ciclo di vita e 200 utenti per la verifica di accesso inattiva. Poiché 100 utenti guest hanno già addebitato un addebito per il flusso di lavoro del ciclo di vita, non sono stati addebitati costi aggiuntivi per la verifica utente inattiva, poiché ogni utente guest verrà addebitato una sola volta per una o più azioni di governance nel mese.

Aprile:

Dal secondo gruppo di 200 utenti guest nel mese di marzo, 150 guest ricevono un pacchetto di accesso assegnato automaticamente che concede l'accesso a un'app e hanno la stessa verifica di accesso utente inattiva eseguita a marzo, ripetuta in aprile.
Fatturazione: per aprile, Fabrikam viene fatturato per 150 utenti e non viene addebitato alcun addebito per l'azione di assegnazione automatica del pacchetto di accesso, poiché questi 150 guest sono già stati addebitati per aprile.

Scenario 3: Verifiche di accesso per utenti inattivi e affiliazione da utente a gruppo

Maggio:

Tailspin Toys crea una verifica di accesso guest inattiva per 200 utenti.
Tailspin crea una seconda verifica di accesso per un gruppo di sicurezza con 300 utenti guest con la funzionalità di affiliazione da utente a gruppo abilitata.
Fatturazione: per maggio Tailspin viene fatturato per 500 utenti - 200 per la verifica dell'accesso guest inattivo e 300 per la revisione con affiliazione da utente a gruppo.

Collegare il tenant a una sottoscrizione

I tenant devono essere collegati a una sottoscrizione di Azure per la fatturazione e l'accesso alle funzionalità appropriate. Per collegare il tenant a una sottoscrizione, seguire questa procedura.

Accedere all'Interfaccia di amministrazione di Microsoft Entra con un account assegnato almeno al ruolo di collaboratore all'interno della sottoscrizione o a un gruppo di risorse all'interno della sottoscrizione.
Selezionare la directory da collegare: nella barra degli strumenti dell'Interfaccia di amministrazione di Microsoft Entra selezionare l'icona Impostazioni nella barra degli strumenti del portale. Quindi, nella pagina Impostazioni del portale | Directory e sottoscrizioni, trovare il tenant del personale nell'elenco Nome directory e quindi selezionare Cambia.
Passare a Entra ID ID> Governance Dashboard (Dashboardgovernance> IDID Entra).
Nel dashboard di governance individuare il pannello di governance guest e selezionare Introduzione.
Nel riquadro Collega una sottoscrizione selezionare una sottoscrizione e un gruppo di risorse. Selezionare quindi Attiva.

Dopo aver completato questi passaggi, la sottoscrizione di Azure viene fatturata in base ai dettagli del contratto Azure Direct o Enterprise, se applicabile.

Cosa accade se non è possibile trovare una sottoscrizione?

Se nel riquadro Collega una sottoscrizione non sono disponibili sottoscrizioni, ecco alcuni possibili motivi:

Non si dispone delle autorizzazioni appropriate. Assicurarsi di accedere con un account di Azure a cui è stato assegnato almeno il ruolo di collaboratore o un gruppo di risorse nella sottoscrizione.
Esiste una sottoscrizione, ma non è ancora associata alla directory. È possibile associare una sottoscrizione esistente al tenant e quindi ripetere la procedura per collegarla al tenant.
Non esiste alcuna sottoscrizione. Nel riquadro Collega una sottoscrizione è possibile creare una sottoscrizione selezionando se non si ha già una sottoscrizione, è possibile crearne una qui. Dopo aver creato una nuova sottoscrizione, è necessario creare un gruppo di risorse nella nuova sottoscrizione e quindi ripetere la procedura per collegarla al tenant.

Disattivare la fatturazione guest

È possibile disattivare la fatturazione guest della governance restituendo al dashboard di governance e selezionando Modifica nel pannello di governance guest. Nel pannello Modifica accesso guest selezionare "Disattiva" per disabilitare la fatturazione e le funzionalità di governance dell'ID di Microsoft Entra per gli utenti guest.

Domande frequenti sulle licenze per gli utenti guest

È necessario avere una sottoscrizione a Microsoft Entra ID Governance o Microsoft Entra Suite se si vuole gestire solo gli utenti guest?

Sì. Anche se non è necessaria una sottoscrizione per gli utenti guest, è necessario avere almeno una licenza Microsoft Entra ID Governance o Microsoft Entra Suite per un amministratore nel tenant.

Uso delle verifiche di accesso e delle funzionalità di gestione entitlement incluse in Microsoft Entra P2 per gli utenti guest. Inizierò a ricevere addebiti per questo utilizzo?

Le funzionalità di governance incluse in Microsoft Entra P2, incluse le verifiche di accesso di base e le funzionalità di gestione entitlement, non verranno fatturate al componente aggiuntivo guest di governance. Solo le funzionalità di governance esclusive di Microsoft Entra Suite o la governance autonoma di Microsoft Entra ID Governance verranno fatturate al contatore. Per informazioni dettagliate, vedere l'azione tabelle fatturabili in questa pagina.

La fatturazione guest di governance si applica a tutti gli utenti guest, inclusi quelli inclusi nei primi 50.000 utenti attivi mensili (MAU)?

Sì, non è disponibile alcun livello gratuito per la fatturazione della governance. La fatturazione guest di governance si applica a tutti gli utenti guest, anche a quelli inclusi nei primi 50.000 MAU.