使用外部身分識別跨租使用者存取設定，透過 B2B 共同作業管理您與其他 Microsoft Entra 組織共同作業的方式。 這些設定會決定外部 Microsoft Entra 組織中輸入存取使用者對資源的層級，以及使用者對外部組織的輸出存取層級。 它們也可讓您信任其他 Microsoft Entra 組織的多重要素驗證 （MFA） 和裝置宣告（符合規範的宣告和 Microsoft Entra 混合式聯結宣告）。 如需詳細數據和規劃考慮，請參閱 Microsoft Entra 外部 ID 中的跨租使用者存取。
重要
Microsoft 已開始使用跨租使用者存取設定將客戶移至 2023 年 8 月 30 日的新記憶體模型。 您可能會注意到稽核記錄中的專案，通知您跨租使用者存取設定已更新，因為我們的自動化工作會移轉您的設定。 在移轉程式期間，對於短暫的視窗，您將無法變更您的設定。 如果您無法進行變更，您應該稍候片刻，然後再試一次變更。 移轉完成之後， 您就不會再使用 25 kb 的儲存空間 上限，而且不會再限制您可以新增的合作夥伴數目。
警告
將預設的輸入或輸出設定變更為 [封鎖存取 ] 可能會封鎖組織或合作夥伴組織中應用程式的現有業務關鍵存取。 請務必使用 Microsoft Entra 外部 ID 中跨租使用者存取中所述的工具，並洽詢您的商務項目關係人，以識別所需的存取權。
提示
本文中的步驟可能會根據您從開始的入口網站稍有不同。
默認跨租使用者存取設定會套用至您尚未建立組織特定自定義設定的所有外部租使用者。 如果您想要修改 Microsoft Entra ID 提供的預設設定，請遵循下列步驟。
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]，然後選取 [跨租使用者存取設定]。
選取 [ 預設設定] 索引標籤並檢閱摘要頁面。
![顯示跨租使用者存取設定 [預設設定] 索引標籤的螢幕快照。](media/cross-tenant-access-settings-b2b-collaboration/cross-tenant-defaults.png)
若要變更設定，請選取 [ 編輯輸入預設值 ] 連結或 [ 編輯輸出預設值 ] 連結。
![顯示 [預設設定] 編輯按鈕的螢幕快照。](media/cross-tenant-access-settings-b2b-collaboration/cross-tenant-defaults-edit.png)
依照下列各節的詳細步驟修改預設設定：
請遵循下列步驟來設定特定組織的自定義設定。
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]，然後選取 [組織設定]。
選取 [新增組織]。
在 [新增組織] 窗格中，輸入組織的完整網域名稱 (或租用戶識別碼)。
在搜尋結果中選取組織，然後選取 [ 新增]。
組織會出現在 [ 組織設定 ] 清單中。 此時，此組織的所有存取設定都會繼承自您的預設設定。 若要變更此組織的設定，請選取 [輸入存取] 或 [輸出存取] 資料行底下的 [繼承自默認連結]。
依照下列各節中的詳細步驟修改組織的設定：
使用輸入設定，您可以選取哪些外部使用者和群組能夠存取您選擇的內部應用程式。 無論您是設定預設設定或組織特定的設定，變更輸入跨租使用者存取設定的步驟都相同。 如本節所述，您會流覽至 [組織設定] 索引標籤上的 [預設] 索引卷標或組織，然後進行變更。
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]。
瀏覽至您要修改的設定：
請遵循您要變更之輸入設定的詳細步驟：
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]，然後選取 [組織設定]
選取 [ 輸入存取] 資料行和 [B2B 共同作業 ] 索引標籤中的連結。
如果您要為特定組織設定輸入存取設定，請選取選項：
默認設定：如果您想要組織使用預設輸入設定（如 [預設設定] 索引標籤上設定，請選取此選項。 如果已為此組織設定自定義的設定，您必須選取 [是 ] 以確認所有設定都由預設設定取代。 然後選取 [ 儲存]，並略過此程式中其餘的步驟。
自訂設定：如果您想要自定義要針對此組織強制執行的設定，而不是預設設定，請選取此選項。 繼續進行此程式中其餘的步驟。
選取 [外部使用者與群組]。
在 [存取狀態] 底下，選取下列其中一項：
在 [套用至] 底下，選取下列其中一項：
注意
如果您封鎖所有外部使用者和群組的存取，您也需要封鎖所有內部應用程式的存取權（在 [應用程式 ] 索引標籤上）。
如果您選擇 [ 選取外部使用者和群組]，請針對您要新增的每個使用者或群組執行下列動作：
注意
您無法以輸入預設設定中的使用者或群組為目標。
當您完成新增使用者和群組時，請選取 [ 提交]。
選取 [ 應用程式] 索引 標籤。
在 [存取狀態] 底下，選取下列其中一項：
在 [套用至] 底下，選取下列其中一項：
注意
如果您封鎖所有應用程式的存取，您也必須封鎖所有外部使用者和群組的存取權（在 [外部使用者和群組 ] 索引標籤上）。
如果您選擇 [ 選取應用程式]，請針對您想要新增的每個應用程式執行下列動作：
選取 [儲存]。
您無法直接將 Microsoft 管理員 入口網站應用程式新增至 Microsoft Entra 系統管理中心的輸入和輸出跨租使用者存取設定。 不過，您可以使用 Microsoft Graph API 個別新增下列應用程式。
下列應用程式是 Microsoft 管理員 入口網站應用程式群組的一部分：
若要自定義來賓使用者可以在接受邀請時用來登入的識別提供者順序，請遵循下列步驟。
使用 Global 管理員 istrator 或 Security 管理員 istrator 帳戶登入 Microsoft Entra 系統管理中心。 然後開啟左側的 身分 識別服務。
選取 [外部身分>識別跨租使用者存取設定]。
在 [組織設定] 下，選取 [輸入存取] 數據行和 [B2B 共同作業] 索引卷標中的連結。
選取 [ 兌換訂單] 索引標籤 。
向上或向下移動身分識別提供者，以變更來賓使用者可以在接受邀請時登入的順序。 您也可以在這裡將兌換順序重設為預設設定。
選取 [儲存]。
您也可以透過 Microsoft Graph API 自定義兌換訂單。
使用全域 管理員 istrator 或 Security 管理員 istrator 帳戶登入您的資源租使用者。
執行下列查詢以取得目前的兌換訂單：
GET https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/default
{
"invitationRedemptionIdentityProviderConfiguration":
{
"primaryIdentityProviderPrecedenceOrder": ["ExternalFederation ","AzureActiveDirectory"],
"fallbackIdentityProvider": "defaultConfiguredIdp "
}
}
若要確認變更再次執行 GET 查詢。
若要將兌換順序重設為預設設定，請執行下列查詢：
{
"invitationRedemptionIdentityProviderConfiguration": {
"primaryIdentityProviderPrecedenceOrder": [
"azureActiveDirectory",
"externalFederation",
"socialIdentityProviders"
],
"fallbackIdentityProvider": "defaultConfiguredIdp"
}
}
您現在可以新增已登記的 Microsoft Entra ID 已驗證網域，以設定直接同盟關聯性。 首先，您必須在系統管理中心或透過 API 設定直接同盟設定。 請確定網域未在相同的租用戶中驗證。 設定完成後，您可以自定義兌換訂單。 SAML/WS-Fed IdP 會新增至兌換訂單作為最後一個專案。 您可以在兌換順序中將其向上移動，以將它設定在 Microsoft Entra 識別提供者上方。
若要防止 B2B 來賓使用者使用現有的 Microsoft 帳戶兌換邀請，或建立新的邀請以接受邀請，請遵循下列步驟。
使用 Global 管理員 istrator 或 Security 管理員 istrator 帳戶登入 Microsoft Entra 系統管理中心。 然後開啟左側的 身分 識別服務。
選取 [外部身分>識別跨租使用者存取設定]。
在 [組織設定] 下，選取 [輸入存取] 數據行和 [B2B 共同作業] 索引卷標中的連結。
選取 [ 兌換訂單] 索引標籤 。
在 [後援識別提供者] 下，停用 Microsoft 服務帳戶 （MSA）。
選取 [儲存]。
您必須在任何指定時間至少啟用一個後援識別提供者。 如果您想要停用 Microsoft 帳戶，則必須啟用電子郵件一次性密碼。 您無法停用這兩個後援識別提供者。 使用 Microsoft 帳戶登入的任何現有來賓使用者，會在後續登入期間繼續使用。您必須 重設其兌換狀態 ，才能套用此設定。
選取 [信任設定] 索引標籤。
（此步驟適用於 只限組織設定 。）如果您要設定組織的設定，請選取下列其中一項：
默認設定：組織會使用 [預設設定] 索引標籤上設定的設定。如果已為此組織設定自定義設定，請選取 [是] 以確認您想要將所有設定取代為預設設定。 然後選取 [ 儲存]，並略過此程式中其餘的步驟。
自訂設定：您可以自定義設定來強制執行此組織的設定，而不是預設設定。 繼續進行此程式中其餘的步驟。
選取下列一或多個選項：
信任來自 Microsoft Entra 租使用者的多重要素驗證：選取此複選框可讓您的條件式存取原則信任來自外部組織的 MFA 宣告。 在驗證期間，Microsoft Entra ID 會檢查用戶的認證，以取得使用者已完成 MFA 的宣告。 如果沒有，則會在使用者的主租使用者中起始 MFA 挑戰。
信任相容的裝置：允許條件式存取原則在其使用者存取您的資源時信任 來自外部組織的相容裝置宣告 。
信任 Microsoft Entra 混合式已加入裝置：在您的使用者存取您的資源時，允許條件式存取原則信任來自外部組織的 Microsoft Entra 混合式已加入裝置宣告。
（此步驟適用於 只限組織設定 。）檢閱自動 兌換 選項：
選取 [儲存]。
如果您選取已新增組織的 [ 輸入存取 ]，您會看到 [ 跨租使用者同步 處理] 索引標籤和 [ 允許使用者同步至此租使用者 ] 複選框。 跨租使用者同步處理是 Microsoft Entra 識別碼中的單向同步處理服務，可自動化跨組織中的租使用者建立、更新和刪除 B2B 共同作業使用者。 如需詳細資訊，請參閱 設定跨租使用者同步 處理和 多租用戶組織檔。
![顯示 [跨租使用者同步處理] 索引標籤的螢幕快照，其中包含 [允許使用者同步至此租使用者] 複選框。](media/cross-tenant-access-settings-b2b-collaboration/cross-tenant-sync-tab.png#lightbox)
透過輸出設定，您可以選取哪些使用者和群組能夠存取您選擇的外部應用程式。 無論您是設定預設設定或組織特定的設定，變更輸出跨租使用者存取設定的步驟都相同。 如本節所述，您會流覽至 [組織設定] 索引標籤上的 [預設] 索引卷標或組織，然後進行變更。
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]。
瀏覽至您要修改的設定：
若要修改預設輸出設定，請選取 [預設設定] 索引標籤，然後在 [輸出存取設定] 底下，選取 [編輯輸出預設值]。
若要修改特定組織的設定，請選取 [組織設定] 索引卷標，在清單中尋找組織（或新增一個），然後選取 [輸出存取] 資料行中的連結。
選取 [B2B 共同作業] 索引標籤。
（此步驟適用於 只限組織設定 。）如果您要設定組織的設定，請選取選項：
默認設定：組織會使用 [預設設定] 索引標籤上設定的設定。如果已為此組織設定自定義的設定，您必須選取 [是] 以確認所有設定都由預設設定取代。 然後選取 [ 儲存]，並略過此程式中其餘的步驟。
自訂設定：您可以自定義設定來強制執行此組織的設定，而不是預設設定。 繼續進行此程式中其餘的步驟。
選取 使用者及群組。
在 [存取狀態] 底下，選取下列其中一項：
在 [套用至] 底下，選取下列其中一項：
注意
如果您封鎖所有使用者和群組的存取，您也需要封鎖所有外部應用程式的存取權（在 [ 外部應用程式 ] 索引標籤上）。
如果您選擇 [選取您的組織>使用者和群組]，請針對您要新增的每個使用者或群組<執行下列動作：
注意
以使用者和群組為目標時，您將無法選取已設定 SMS型驗證的使用者。 這是因為在其用戶物件上有「同盟認證」的使用者遭到封鎖，以防止外部使用者新增至輸出存取設定。 因應措施是，您可以使用 Microsoft Graph API 直接新增使用者的物件識別碼，或將使用者所屬的群組設為目標。
選取 [ 外部應用程式] 索引 標籤。
在 [存取狀態] 底下，選取下列其中一項：
在 [套用至] 底下，選取下列其中一項：
注意
如果您封鎖存取所有外部應用程式，您也必須封鎖所有使用者和群組的存取權（在 [使用者和群組 ] 索引標籤上）。
如果您選擇 [ 選取外部應用程式]，請針對您想要新增的每個應用程式執行下列動作：
選取 [儲存]。
（本節適用於 只限組織設定 。）
選取 [信任設定] 索引標籤。
檢閱自動 兌換 選項：
使用租<>用戶自動兌換邀請：如果您想要自動兌換邀請，請檢查此設定。 如果是，來自此租用戶的使用者不需要在第一次使用跨租使用者同步處理、B2B 共同作業或 B2B 直接連線存取指定的租使用者時，接受同意提示。 如果指定的租使用者也檢查此設定是否有輸入存取，此設定只會抑制同意提示。
選取 [儲存]。
當您從組織設定中移除組織時，預設的跨租使用者存取設定會生效給該組織。
注意
如果組織是貴組織的雲端服務提供者（Microsoft Graph 合作夥伴特定組態 中的 isServiceProvider 屬性為 true），您將無法移除組織。
以至少安全性 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別外部身分>識別跨租使用者存取設定]。
選取 [組織設定] 索引標籤。
在清單中尋找組織，然後選取該數據列上的垃圾桶圖示。
即將登場：在 2024 年，我們將逐步淘汰 GitHub 問題作為內容的意見反應機制，並將它取代為新的意見反應系統。 如需詳細資訊，請參閱：https://aka.ms/ContentUserFeedback。
提交並檢視相關的意見反應