Funktioner som stöds i personal och externa klienter

Artikel
05/11/2024

Det finns två sätt att konfigurera en Microsoft Entra-klientorganisation, beroende på hur organisationen tänker använda klientorganisationen och de resurser som de vill hantera:

En klientkonfiguration för personal är avsedd för dina anställda, interna företagsappar och andra organisationsresurser. B2B-samarbete används i en personalklientorganisation för att samarbeta med externa affärspartner och gäster.
En extern klientkonfiguration används uteslutande för scenarier med externt ID där du vill publicera appar till konsumenter eller företagskunder.

Den här artikeln ger en detaljerad jämförelse av de funktioner som är tillgängliga i personalen och externa klienter.

Kommentar

Under förhandsversionen är funktioner som kräver en premiumlicens inte tillgängliga i externa klienter.

Jämförelse av allmänna funktioner

I följande tabell jämförs de allmänna funktioner som är tillgängliga i personalen och externa klienter.

Funktion	Personalklientorganisation	Extern klientorganisation
Scenario för externa identiteter	Tillåt affärspartner och andra externa användare att samarbeta med din personal. Du kan få säker åtkomst till dina affärsprogram via inbjudningar eller självbetjäningsregistrering.	Använd externt ID för att skydda dina program. Konsumenter och företagskunder kan på ett säkert sätt komma åt dina konsumentappar via självbetjäningsregistrering. Inbjudningar stöds också .
Lokala konton	Lokala konton stöds endast för interna medlemmar i din organisation.	Lokala konton stöds för: - Externa användare (konsumenter, företagskunder) som använder självbetjäningsregistrering. – Konton som skapats av administratörer.
Grupper	Grupper kan användas för att hantera administrativa konton och användarkonton.	Grupper kan användas för att hantera administrativa konton. Stöd för Microsoft Entra-grupper och programroller fasas in i kundklientorganisationer. De senaste uppdateringarna finns i Stöd för grupper och programroller.
Roller och administratörer	Roller och administratörer stöds fullt ut för administrativa konton och användarkonton.	Roller stöds inte med kundkonton. Kundkonton har inte åtkomst till klientresurser.
Egna domännamn	Du kan endast använda anpassade domäner för administrativa konton.	Stöds inte för närvarande. Url:erna som är synliga för kunder på registrerings- och inloggningssidorna är dock neutrala, omärkta URL:er. Läs mer
Identitetsskydd	Ger kontinuerlig riskidentifiering för din Microsoft Entra-klientorganisation. Det gör det möjligt för organisationer att identifiera, undersöka och åtgärda identitetsbaserade risker.	En delmängd av Microsoft Entra ID Protection-riskidentifieringar är tillgänglig. Läs mer.
Tillägg för anpassad autentisering	Lägg till anspråk från externa system.	Lägg till anspråk från externa system.
Anpassning av token	Lägg till användarattribut, anpassat autentiseringstillägg, anspråkstransformering och medlemskap i säkerhetsgrupper till tokenanspråk.	Lägg till användarattribut, anpassat autentiseringstillägg och medlemskap i säkerhetsgrupper i tokenanspråk.Läs mer.
Självåterställning av lösenord	Tillåt användare att återställa sitt lösenord med upp till två autentiseringsmetoder (se nästa rad för tillgängliga metoder).	Tillåt användare att återställa sitt lösenord med hjälp av e-post med engångslösenord. Läs mer.
Språkanpassning	Anpassa inloggningsupplevelsen baserat på webbläsarspråket när användarna autentiserar till företagets intranät eller webbaserade program.	Använd språk för att ändra de strängar som visas för dina kunder som en del av inloggnings- och registreringsprocessen. Läs mer.
Anpassade attribut	Använd katalogtilläggsattribut för att lagra mer data i Microsoft Entra-katalogen för användarobjekt, grupper, klientinformation och tjänstens huvudnamn.	Använd katalogtilläggsattribut för att lagra mer data i kundkatalogen för användarobjekt. Skapa anpassade användarattribut och lägg till dem i ditt registreringsanvändarflöde. Läs mer.

Identitetsprovidrar och autentiseringsmetoder

I följande tabell jämförs de identitetsprovidrar och metoder som är tillgängliga för primär autentisering och multifaktorautentisering (MFA) i arbetsstyrkan och externa klientorganisationer.

Funktion	Personalklientorganisation	Extern klientorganisation
Identitetsprovidrar för externa användare	För självbetjäningsregistreringsgäster: - Microsoft Entra-konton – Microsoft-konton – E-post engångslösenord – Google-federation – Facebook-federation För inbjudna gäster: - Microsoft Entra-konton – Microsoft-konton – E-post engångslösenord – Google-federation – SAML/WS-Fed-federation	För användare med självbetjäningsregistrering (konsumenter, företagskunder): - Skicka e-post med lösenord - Via e-post google federation (förhandsversion) - Facebook-federation - (förhandsversion)
Autentiseringsmetoder	För interna användare (anställda och administratörer): - Autentiserings- och verifieringsmetoder för gäster (inbjuden eller självbetjäningsregistrering): - Autentiseringsmetoder för gäst-MFA	För användare med självbetjäningsregistrering (konsumenter, företagskunder): - Skicka e-post engångslösenord för MFA

Programregistrering

I följande tabell jämförs de funktioner som är tillgängliga för programregistrering i varje typ av klientorganisation.

Funktion	Personalklientorganisation	Extern klientorganisation
Protokoll	SAML-förlitande parter, OpenID Anslut och OAuth2	OpenID Anslut och OAuth2
Kontotyper som stöds	Följande kontotyper: Endast konton i den här organisationskatalogen (enskild klientorganisation) Konton i valfri organisationskatalog (Alla Microsoft Entra-klientorganisationer – Multitenant) Konton i valfri organisationskatalog (Alla Microsoft Entra-klientorganisationer – Multitenant) och personliga Microsoft-konton (t.ex. Skype, Xbox) Endast personliga Microsoft-konton	Använd alltid Endast konton i den här organisationskatalogen (enskild klientorganisation).
Plattform	Följande plattformar: Offentlig klient/intern (mobil och stationär dator) Webb Ensidesprogram (SPA)	Följande plattformar: Offentlig klient (mobilt och stationärt) Intern autentiseringsmobil (förhandsversion) Webb Ensidesprogram (SPA)
Omdirigerings-URI:er för autentisering>	URI:erna Microsoft Entra ID accepterar som mål när du returnerar autentiseringssvar (token) efter att ha autentiserat eller loggat ut användare.	Samma som personalstyrkan.
Url för frontkanalsutloggning för autentisering>	Den här URL:en är den där Microsoft Entra-ID:t skickar en begäran om att programmet ska rensa användarens sessionsdata. Utloggnings-URL:en för Front-channel krävs för att enkel utloggning ska fungera korrekt.	Samma som personalstyrkan.
Implicit beviljande av autentisering>och hybridflöden	Begär en token direkt från auktoriseringsslutpunkten.	Samma som personalstyrkan.
Certifikat och hemligheter	Certifikat Klienthemligheter Federerade autentiseringsuppgifter	Samma som personalstyrkan.
Tokenkonfiguration	Valfria anspråk Gruppera valfria anspråk	Valfria anspråk måste konfigureras via attribut och anspråk eller en anpassad anspråksprovider Valfria anspråk för grupper är begränsade till gruppobjektets ID.
API-behörigheter	Lägg till, ta bort och ersätt behörigheter för ett program. När behörigheter har lagts till i ditt program måste användare eller administratörer bevilja medgivande till de nya behörigheterna. Läs mer om att uppdatera en apps begärda behörigheter i Microsoft Entra-ID.	Följande är de behörigheter som tillåts: Microsoft Graph `offline_access`, `openid`och `User.Read` dina mina API:er delegerade behörigheter. Endast en administratör kan godkänna för organisationens räkning.
Exponera ett API	Definiera anpassade omfång för att begränsa åtkomsten till data och funktioner som skyddas av API:et. Ett program som kräver åtkomst till delar av det här API:et kan begära att en användare eller administratör godkänner ett eller flera av dessa omfång.	Definiera egna omfång för att begränsa åtkomst till data och funktionalitet som skyddas av API:et. Ett program som kräver åtkomst till delar av det här API:et kan begära administratörens medgivande till en eller flera av dessa omfång.
Approller	Approller är anpassade roller för att tilldela behörigheter till användare eller appar. Programmet definierar och publicerar approllerna och tolkar dem som behörigheter under auktoriseringen.	Samma som personalstyrkan. Läs mer om hur du använder rollbaserad åtkomstkontroll för program i en extern klientorganisation.
Ägare	Programägare kan visa och redigera programregistreringen. Dessutom kan alla användare (som kanske inte visas) med administratörsbehörighet för att hantera alla program (till exempel molnprogramadministratör) visa och redigera programregistreringen.	Samma som personalstyrkan.
Roller och administratörer	Administrativa roller används för att bevilja åtkomst för privilegierade åtgärder i Microsoft Entra-ID.	Endast rollen Molnprogramadministratör kan användas för appar i externa klientorganisationer. Den här rollen ger möjlighet att skapa och hantera alla aspekter av programregistreringar och företagsprogram.
Tilldela användare och grupper till en app	När det krävs användartilldelning kan bara de användare du tilldelar till appen (antingen via direkt användartilldelning eller baserat på gruppmedlemskap) logga in. Mer information finns i Hantera användare och grupptilldelning till ett program	Inte tillgängliga

OpenID-Anslut- och OAuth2-flöden

I följande tabell jämförs de funktioner som är tillgängliga för OAuth 2.0 och OpenID Anslut auktoriseringsflöden i varje typ av klientorganisation.

Funktion	Personalklientorganisation	Extern klientorganisation
OpenID Connect	Ja	Ja
Auktoriseringskod	Ja	Ja
Auktoriseringskod med Code Exchange (PKCE)	Ja	Ja
Klientautentiseringsuppgifter	Ja	v2.0-program
Enhetsauktorisering	Ja	Nej
On-Behalf-Of-flöde	Ja	Ja
Implicit beviljande	Ja	Ja
Autentiseringsuppgifter för resursägares lösenord	Ja	Nej

Utfärdar-URL i OpenID-Anslut- och OAuth2-flöden

Utfärdarens URL är en URL som anger en katalog som MSAL kan begära token från. För appar i externa klienter använder du alltid följande format: <tenant-name.ciamlogin.com>

Följande JSON visar ett exempel på en .NET-appinställningar med en utfärdar-URL:

{
    "AzureAd": {
        "Authority": "https://<Enter_the_Tenant_Subdomain_Here>.ciamlogin.com/",
        "ClientId": "<Enter_the_Application_Id_Here>"
    }
}

Villkorlig åtkomst

I följande tabell jämförs de funktioner som är tillgängliga för villkorsstyrd åtkomst i varje typ av klientorganisation.

Funktion	Personalklientorganisation	Extern klientorganisation
Tilldelningar	Användare, grupper och arbetsbelastningsidentiteter	Inkludera alla användare och exkludera användare och grupper. Mer information finns i Lägga till multifaktorautentisering (MFA) i en app.
Målresurser	Molnappar Användaråtgärder Global säker åtkomst Autentiseringskontext	Alla molnappar, valda appar eller filterprogram. Autentiseringskontext
Villkor	Inloggningsrisk Användarrisk Enhetsplattformar Platser Klientappar Filtrera efter enheter	Inloggningsrisk Användarrisk Enhetsplattformar Platser
Bevilja	Bevilja eller blockera åtkomst till resurser	Blockera åtkomst Kräv multifaktorautentisering Kräv lösenordsåterställning
Session	Sessionskontroller	Inte tillgängliga

Kontohantering

I följande tabell jämförs de funktioner som är tillgängliga för användarhantering i varje typ av klientorganisation. Som anges i tabellen skapas vissa kontotyper via inbjudan eller självbetjäningsregistrering. En användaradministratör i klientorganisationen kan också skapa konton via administrationscentret.

Funktion	Personalklientorganisation	Extern klientorganisation
Typer av konton	Interna medlemmar, till exempel anställda och administratörer. Externa användare som bjuds in eller använder självbetjäningsregistrering.	Interna användare i din klientorganisation, till exempel administratörer. Externa konsumenter och företagskunder som använder självbetjäningsregistrering eller skapas av administratörer. Externa användare som är inbjudna (förhandsversion).
Hantera användarprofilinformation	Programmatiskt och med hjälp av administrationscentret för Microsoft Entra.	Samma som personalstyrkan.
Återställa en användares lösenord	Administratörer kan återställa en användares lösenord om lösenordet glöms bort, om användaren blir utelåst från en enhet eller om användaren aldrig har fått ett lösenord.	Samma som personalstyrkan.
Återställa eller ta bort en nyligen raderad användare	När du tar bort en användare inaktiveras kontot i 30 dagar. Under den 30-dagarsperioden kan användarkontot återställas, tillsammans med alla dess egenskaper.	Samma som personalstyrkan.
Inaktivera konton	Förhindra att den nya användaren kan logga in.	Samma som personalstyrkan.

Lösenordsskydd

Funktion	Personalklientorganisation	Extern klientorganisation
Smart utlåsning	Smart utelåsning hjälper till att låsa ut dåliga aktörer som försöker gissa användarnas lösenord eller använda råstyrkemetoder för att komma in	Samma som personalstyrkan.
Anpassade förbjudna lösenord	Med listan med anpassade förbjudna lösenord i Microsoft Entra kan du lägga till specifika strängar för att utvärdera och blockera.	Ej tillgänglig.

Nästa steg

Planera för CIAM