Autenticazione e accesso condizionale per ID esterno

Si applica a: Tenant delle risorse Tenant esterni (altre informazioni)

Quando un utente esterno accede alle risorse dell'organizzazione, il flusso di autenticazione viene determinato dal metodo di collaborazione (collaborazione B2B o connessione diretta B2B), dal provider di identità dell'utente (un tenant esterno di Microsoft Entra, dal provider di identità social e così via), dai criteri di accesso condizionale e dalle impostazioni di accesso tra tenant configurati sia nel tenant principale dell'utente che nelle risorse di hosting del tenant.

Questo articolo descrive il flusso di autenticazione per gli utenti esterni che accedono alle risorse nell'organizzazione. Le organizzazioni possono applicare più criteri di accesso condizionato per i loro utenti esterni, che possono essere applicati a livello di tenant, di app o di singolo utente, così come vengono abilitati per dipendenti a tempo pieno e membri dell'organizzazione.

Flusso di autenticazione per gli utenti esterni di Microsoft Entra

Il diagramma seguente illustra il flusso di autenticazione quando un'organizzazione Microsoft Entra condivide le risorse con gli utenti di altre organizzazioni di Microsoft Entra. Questo diagramma illustra il funzionamento delle impostazioni di accesso tra tenant con i criteri di accesso condizionale, ad esempio l'autenticazione a più fattori, per determinare se l'utente può accedere alle risorse. Questo flusso si applica sia alla collaborazione B2B che alla connessione diretta B2B, ad eccezione di quanto indicato nel passaggio 6.

Per altre informazioni, vedere la sezione Accesso condizionale per utenti esterni.

Flusso di autenticazione per utenti esterni non Azure AD

Quando un'organizzazione di Microsoft Entra condivide le risorse con utenti esterni con un provider di identità diverso da Microsoft Entra ID, il flusso di autenticazione dipende dal fatto che l'utente stia autenticando con un provider di identità o con l'autenticazione con passcode monouso tramite posta elettronica. In entrambi i casi, il tenant della risorsa identifica il metodo di autenticazione da usare e quindi reindirizza l'utente al provider di identità o rilascia un passcode monouso.

Esempio 1: Flusso di autenticazione e token per un utente esterno non Azure AD

Il diagramma seguente illustra il flusso di autenticazione quando un utente esterno accede con un account da un provider di identità non Azure AD, ad esempio Google, Facebook o un provider di identità SAML/WS-Fed federato.

Esempio 2: Flusso di autenticazione e token per l'utente con passcode monouso

Il diagramma seguente illustra il flusso quando viene abilitata l'autenticazione con passcode monouso tramite posta elettronica e l'utente esterno non viene autenticato tramite altri mezzi, ad esempio Microsoft Entra ID, account Microsoft (MSA) o provider di identità di social networking.

Accesso condizionale per gli utenti esterni

Le organizzazioni possono applicare i criteri di accesso condizionale per la collaborazione B2B esterna e gli utenti con connessione diretta B2B nello stesso modo in cui sono abilitati per dipendenti e membri dell'organizzazione a tempo pieno. Con l'introduzione delle impostazioni di accesso tra tenant, è anche possibile considerare attendibili le attestazioni di MFA e dispositivo da organizzazioni esterne di Microsoft Entra. Questa sezione descrive considerazioni importanti per l'applicazione dell'accesso condizionale agli utenti esterni all'organizzazione.

Assegnazione di criteri di accesso condizionale a tipi di utenti esterni

Quando si configura un criterio di accesso condizionale, si ha un controllo granulare sui tipi di utenti esterni a cui applicare tale criterio. Gli utenti esterni vengono classificati in base alla modalità di autenticazione (interna o esterna) e alla relazione con l'organizzazione (utente guest o membro).

• Utenti guest di Collaborazione B2B: la maggior parte degli utenti che sono comunemente considerati guest rientrano in questa categoria. Questo utente di collaborazione B2B ha un account in un'organizzazione esterna di Microsoft Entra o in un provider di identità esterno (ad esempio un'identità social), e dispone delle autorizzazioni a livello di guest nell'organizzazione. L'oggetto utente creato nella directory Microsoft Entra ha un UserType guest. Questa categoria include gli utenti di Collaborazione B2B invitati e che hanno usato l'iscrizione self-service.
• Utenti membri di Collaborazione B2B: questo utente di collaborazione B2B ha un account in un'organizzazione di Microsoft Entra esterna o in un provider di identità esterno (ad esempio un'identità social), e un accesso a livello di membro alle risorse nell'organizzazione. Questo scenario è comune nelle organizzazioni costituite da più tenant, in cui gli utenti sono considerati parte dell'organizzazione più grande e necessitano dell'accesso a livello di membro alle risorse negli altri tenant dell'organizzazione. L'oggetto utente creato nella directory Microsoft Entra della risorsa ha un UserType di Membro.
• Utenti con connessione diretta B2B: utenti esterni che possono accedere alle risorse tramite connessione diretta B2B, ovvero una connessione bidirezionale reciproca con un'altra organizzazione di Microsoft Entra che consente l'accesso Single Sign-On a determinate applicazioni Microsoft (attualmente, canali condivisi di Microsoft Teams Connect). Gli utenti con connessione diretta B2B non hanno una presenza nell'organizzazione Microsoft Entra, ma vengono invece gestiti dall'interno dell'applicazione (ad esempio, dal proprietario del canale condiviso di Teams).
• Utenti guest locali: gli utenti guest locali dispongono di credenziali gestite nella directory. Prima che collaborazione B2B di Microsoft Entra fosse disponibile, spesso si collaborava con distributori, fornitori e altri configurando le credenziali interne per loro e designandoli come guest impostando l'oggetto utente UserType su Guest.
• Utenti del provider di servizi: le organizzazioni che fungono da provider di servizi cloud per l'organizzazione (la proprietà isServiceProvider nella configurazione specifica del partner Microsoft Graph è vera).
• Altri utenti esterni: si applica a tutti gli utenti che non rientrano in queste categorie, ma che non sono considerati membri interni dell'organizzazione, ovvero non eseguono l'autenticazione internamente tramite Microsoft Entra ID e l'oggetto utente creato nella directory Microsoft Entra della risorsa non ha un UserType di Membro.

Altre informazioni sulle assegnazioni utente dell’accesso condizionale.

Confronto dei criteri di accesso condizionale con ID esterno

La tabella seguente fornisce un confronto dettagliato delle opzioni di conformità e dei criteri di sicurezza in Microsoft Entra per ID esterno. I criteri di sicurezza e conformità sono gestiti dall'organizzazione host o che invia l'invito in Criteri di accesso condizionale.

Assistente cartelle gestite per utenti esterni di Microsoft Entra

In uno scenario multi-tenant di Microsoft Entra, l'organizzazione delle risorse può creare criteri di accesso condizionale che richiedono MFA o conformità dei dispositivi per tutti gli utenti guest ed esterni. In genere, un utente di Collaborazione B2B che accede a una risorsa è quindi necessario per configurare l'autenticazione a più fattori Di Microsoft Entra con il tenant delle risorse. Tuttavia, Microsoft Entra ID offre ora la possibilità di considerare attendibili le attestazioni MFA da altri tenant di Microsoft Entra. L'abilitazione dell'attendibilità MFA con un altro tenant semplifica il processo di accesso per gli utenti di Collaborazione B2B e consente l'accesso per gli utenti con connessione diretta B2B.

Se sono state configurate le impostazioni di attendibilità in ingresso per accettare attestazioni MFA da un tenant principale di Collaborazione B2B o B2B direct connect dell'utente, Microsoft Entra ID controlla la sessione di autenticazione dell'utente. Se la sessione contiene un'attestazione che indica che i criteri di autenticazione a più fattori sono già stati soddisfatti nel tenant principale dell'utente, all'utente viene concesso l'accesso facile alla risorsa condivisa.

Se l'attendibilità MFA non è abilitata, l'esperienza utente è diversa per gli utenti di Collaborazione B2B e gli utenti con connessione diretta B2B:

• Utenti di Collaborazione B2B: se l'organizzazione delle risorse non abilita l'attendibilità MFA con il tenant principale dell'utente, all'utente viene presentata una richiesta di autenticazione a più fattori dell'organizzazione delle risorse. (Il flusso è uguale a Flusso di MFA per utenti esterni di Azure AD).

• Utenti con connessione diretta B2B: se l'organizzazione delle risorse non abilita l'attendibilità MFA con il tenant principale dell'utente, l'utente non accede alle risorse. Se si vuole consentire la connessione diretta B2B con un'organizzazione esterna e i criteri di accesso condizionale richiedono l'autenticazione a più fattori, è necessario configurare le impostazioni di attendibilità in ingresso per accettare attestazioni MFA dall'organizzazione.

Altre informazioni su come configurare le impostazioni di attendibilità in ingresso per MFA.

MFA per utenti esterni non Di Azure AD

Per gli utenti esterni non di Azure AD, il tenant delle risorse è sempre responsabile dell'autenticazione a più fattori. Nell'esempio seguente viene illustrato un flusso MFA tipico. Questo scenario funziona per qualsiasi identità, incluso un account Microsoft (MSA) o un ID social. Questo flusso si applica anche agli utenti esterni di Microsoft Entra quando non si configurano le impostazioni di attendibilità con la propria organizzazione Microsoft Entra.

1. Un amministratore o un information worker in una società denominata Fabrikam invita un utente di un'altra società denominata Contoso a usare l'app di Fabrikam.

2. L'app di Fabrikam è configurata per richiedere l'autenticazione a più fattori di Microsoft Entra all'accesso.

3. Quando l'utente di Collaborazione B2B di Contoso tenta di accedere all'app di Fabrikam, viene chiesto di completare la richiesta di autenticazione a più fattori di Microsoft Entra.

4. L'utente guest può quindi configurare l'autenticazione a più fattori di Microsoft Entra con Fabrikam e selezionare le opzioni.

Fabrikam deve disporre di licenze premium di Microsoft Entra ID sufficienti che supportano l'autenticazione a più fattori di Microsoft Entra. L'utente di Contoso utilizza quindi la licenza di Fabrikam. Per informazioni sulle licenze B2B, vedere modello di fatturazione per Microsoft Entra per ID esterno.

Reimpostazione dell'autenticazione a più fattori Microsoft Entra (correzione) per gli utenti di Collaborazione B2B

I cmdlet di PowerShell seguenti sono disponibili per la correzione o la richiesta di registrazione MFA dagli utenti di Collaborazione B2B.

1. Connettersi a Microsoft Entra ID:

   $cred = Get-Credential
   Connect-MsolService -Credential $cred
   

2. Ottenere tutti gli utenti con metodi di identificazione

   Get-MsolUser | where { $_.StrongAuthenticationMethods} | select UserPrincipalName, @{n="Methods";e={($_.StrongAuthenticationMethods).MethodType}}
   

   Ad esempio:

   Get-MsolUser | where { $_.StrongAuthenticationMethods} | select UserPrincipalName, @{n="Methods";e={($_.StrongAuthenticationMethods).MethodType}}
   

3. Reimpostare il metodo di autenticazione a più fattori di Microsoft Entra per richiedere a un utente specifico di impostare nuovamente i metodi di correzione, ad esempio:

   Reset-MsolStrongAuthenticationMethodByUpn -UserPrincipalName gsamoogle_gmail.com#EXT#@ WoodGroveAzureAD.onmicrosoft.com
   

Criteri della forza di autenticazione per gli utenti esterni

Il livello di autenticazione è un controllo di accesso condizionale che consente di definire una combinazione specifica di metodi di autenticazione a più fattori che un utente esterno deve completare nell’accedere alle risorse. Questo controllo è particolarmente utile per limitare l'accesso esterno alle app sensibili nell'organizzazione perché è possibile applicare metodi di autenticazione specifici, ad esempio un metodo resistente al phishing, per gli utenti esterni.

È anche possibile applicare la forza di autenticazione ai diversi tipi di utenti guest o esterni con cui si collabora o con cui ci si connette. Ciò significa che è possibile applicare requisiti di attendibilità dell'autenticazione univoci per la collaborazione B2B, la connessione diretta B2B e altri scenari di accesso esterno.

Microsoft Entra ID offre tre livelli di autenticazione predefiniti:

• Livello di autenticazione a più fattori
• Livello di autenticazione a più fattori senza password
• Livello di autenticazione a più fattori resistente al phishing

È possibile usare uno di questi livelli predefiniti o creare un criterio per la complessità dell’autenticazione personalizzato in base ai metodi di autenticazione necessari.

Quando si applica un criterio di complessità di autenticazione agli utenti esterni di Microsoft Entra, il criterio interagisce con le impostazioni di attendibilità MFA nelle impostazioni di accesso tra tenant per determinare dove e come l'utente esterno deve eseguire l'autenticazione a più fattori. Un utente di Microsoft Entra esegue prima l'autenticazione con il proprio account nel tenant Microsoft Entra principale. Quindi, quando l'utente tenta di accedere alla risorsa, Microsoft Entra ID applica i criteri di accesso condizionale del livello di autenticazione e verifica se è stata abilitata l'attendibilità MFA.

Negli scenari utente esterni, i metodi di autenticazione che sono accettabili per soddisfare la complessità dell’autenticazione variano a seconda che l'utente stia completando l'autenticazione a più fattori nel tenant principale o nel tenant della risorsa. La tabella seguente indica i metodi accettabili in ogni tenant. Se un tenant di risorse sceglie di considerare attendibili le attestazioni provenienti da organizzazioni esterne di Microsoft Entra, solo le attestazioni elencate nella colonna "Tenant principale" vengono accettate dal tenant della risorsa per l'evasione dell'autenticazione a più fattori. Se il tenant delle risorse ha disabilitato l'attendibilità MFA, l'utente esterno deve completare l'autenticazione a più fattori nel tenant delle risorse usando uno dei metodi elencati nella colonna "Tenant delle risorse".

Tabella 1. Metodi MFA di complessità di autenticazione per gli utenti esterni

Per configurare un criterio di accesso condizionale che applica i requisiti di attendibilità dell'autenticazione a utenti o guest esterni, vedere Accesso condizionale: Richiedere un livello di autenticazione per gli utenti esterni.

Esperienza utente per utenti esterni di Microsoft Entra

I criteri di complessità dell'autenticazione interagiscono con le impostazioni di attendibilità MFA nelle impostazioni di accesso tra tenant per determinare dove e come l'utente esterno deve eseguire l'autenticazione a più fattori.

Un utente di Microsoft Entra esegue prima l'autenticazione con il proprio account nel tenant principale. Quindi, quando l'utente tenta di accedere alla risorsa, Microsoft Entra ID applica i criteri di accesso condizionale del livello di autenticazione e verifica se è stata abilitata l'attendibilità MFA.

• Se l'attendibilità MFA è abilitata, Microsoft Entra ID controlla la sessione di autenticazione dell'utente per un'attestazione che indica che l'autenticazione a più fattori è stata soddisfatta nel tenant principale dell'utente. (Vedere Tabella 1 per i metodi di autenticazione accettabili per l'evasione dell'autenticazione a più fattori al termine del tenant principale di un utente esterno. Se la sessione contiene un'attestazione che indica che i criteri MFA sono già stati soddisfatti nel tenant principale dell'utente e i metodi soddisfano i requisiti di attendibilità dell'autenticazione, l'utente è autorizzato ad accedere. In caso contrario, Microsoft Entra ID presenta all'utente una sfida per completare l'autenticazione a più fattori nel tenant principale usando un metodo di autenticazione accettabile. Il metodo MFA deve essere abilitato nel tenant principale e l'utente deve essere in grado di eseguirne la registrazione.
• Se l'attendibilità MFA è disabilitata, Microsoft Entra ID presenta all'utente una prova per completare l'autenticazione a più fattori nel tenant della risorsa usando un metodo di autenticazione accettabile. (Vedere Tabella 1 per i metodi di autenticazione accettabili per l'evasione dell'autenticazione a più fattori da un utente esterno.

Se l'utente non è in grado di completare l'autenticazione a più fattori o se un criterio di accesso condizionale (ad esempio un criterio del dispositivo conforme) impedisce la registrazione, l'accesso viene bloccato.

Conformità dei dispositivi e criteri dei dispositivi aggiunti a Microsoft Entra ibrido

Le organizzazioni possono usare i criteri di accesso condizionale per richiedere che i dispositivi degli utenti siano gestiti da Microsoft Intune. Questi criteri possono bloccare l'accesso degli utenti esterni, perché un utente esterno non può registrare il dispositivo non gestito con l'organizzazione delle risorse. I dispositivi possono essere gestiti solo dal tenant principale di un utente.

Tuttavia, è possibile usare le impostazioni di attendibilità dei dispositivi per sbloccare gli utenti esterni, pur richiedendo dispositivi gestiti. Nelle impostazioni di accesso tra tenant, è possibile scegliere di considerare attendibili le attestazioni del tenant principale di un utente esterno sul fatto che il dispositivo dell'utente soddisfi i criteri di conformità del dispositivo o sia aggiunto a Microsoft Entra ibrido. È possibile impostare le impostazioni di attendibilità dei dispositivi per tutte le organizzazioni Microsoft Entra o le singole organizzazioni.

Quando le impostazioni di attendibilità del dispositivo sono abilitate, Microsoft Entra ID controlla la sessione di autenticazione di un utente per un'attestazione del dispositivo. Se la sessione contiene un'attestazione del dispositivo che indica che i criteri sono già stati soddisfatti nel tenant principale dell'utente, all'utente esterno viene concesso l'accesso facile alla risorsa condivisa.

Filtri del dispositivo

Quando si creano criteri di accesso condizionale per gli utenti esterni, è possibile valutare un criterio in base agli attributi del dispositivo registrato in Microsoft Entra ID. Utilizzando la condizione di filtro per dispositivi, è possibile definire dispositivi specifici usando gli operatori e le proprietà supportati per i filtri dei dispositivi e le altre condizioni di assegnazione disponibili nei criteri di accesso condizionale.

I filtri dei dispositivi possono essere usati insieme alle impostazioni di accesso tra tenant per basare i criteri sui dispositivi gestiti in altre organizzazioni. Si supponga, ad esempio, di voler bloccare i dispositivi da un tenant Microsoft Entra esterno in base a un attributo di dispositivo specifico. Per configurare un criterio basato su attributi del dispositivo, è possibile seguire questa procedura:

• Configurare le impostazioni di accesso tra tenant per considerare attendibili le attestazioni dei dispositivi da tale organizzazione.
• Assegnare l'attributo del dispositivo da usare per filtrare uno degli attributi di estensione del dispositivo supportati.
• Creare criteri di accesso condizionale con un filtro del dispositivo che blocca l'accesso ai dispositivi contenenti tale attributo.

Altre informazioni sul filtro per i dispositivi con accesso condizionale.

Criteri per la gestione di applicazioni per dispositivi mobili

Non è consigliabile richiedere criteri di protezione delle app per gli utenti esterni. I controlli di concessione dell'accesso condizionale, ad esempio Richiedi app client approvate e Richiedi criteri di protezione delle app richiedono la registrazione del dispositivo nel tenant delle risorse. Questi controlli possono essere applicati solo ai dispositivi iOS e Android. Poiché il dispositivo di un utente può essere gestito solo dal tenant principale, questi controlli non possono essere applicati agli utenti guest esterni.

Accesso condizionale basato sulla località

Il criterio basato sulla posizione che si basa su intervalli IP può essere applicato se l'organizzazione che emette l’invito può creare un intervallo di indirizzi IP attendibile che definisce le organizzazioni partner.

I criteri possono essere applicati anche in base alle posizioni geografiche.

Accesso condizionale basato sul rischio

I criteri di rischio di accesso vengono applicati se l'utente guest esterno soddisfa il controllo di concessione. Ad esempio, un'organizzazione potrebbe richiedere l'autenticazione a più fattori di Microsoft Entra per rischi di accesso medio o elevato. Tuttavia, se un utente non è stato registrato in precedenza per l'autenticazione a più fattori di Microsoft Entra nel tenant della risorsa, l'utente viene bloccato. Questa operazione viene eseguita per impedire agli utenti malintenzionati di registrare le proprie credenziali di autenticazione a più fattori di Microsoft Entra nel caso in cui compromettano la password di un utente legittimo.

I criteri di rischio utente, tuttavia, non possono essere risolti nel tenant delle risorse. Ad esempio, se è necessaria una modifica della password per gli utenti guest esterni ad alto rischio, questi vengono bloccati a causa dell'impossibilità di reimpostare le password nella directory delle risorse.

Condizione delle app client di accesso condizionale

Le condizioni delle app client si comportano come per gli utenti guest B2B come per qualsiasi altro tipo di utente. Ad esempio, è possibile impedire agli utenti guest di usare protocolli di autenticazione legacy.

Controlli sessione di accesso condizionale

I controlli sessione si comportano allo stesso modo per gli utenti guest B2B come per qualsiasi altro tipo di utente.

Microsoft Entra ID Protection e criteri di rischio utente

Microsoft Entra ID Protection rileva le credenziali compromesse per gli utenti di Microsoft Entra e contrassegna gli account utente che potrebbero essere compromessi come "a rischio". Come tenant delle risorse, è possibile applicare criteri di rischio utente agli utenti esterni per bloccare gli accessi a rischio. Per un utente esterno, il rischio utente viene valutato nella home directory. Il rischio di accesso in tempo reale per questi utenti viene valutato nella directory delle risorse quando si tenta di accedere alla risorsa. Tuttavia, poiché l'identità di un utente esterno esiste nella home directory, sono previste le limitazioni seguenti:

• Se un utente esterno attiva i criteri di rischio utente protezione ID per forzare la reimpostazione della password, viene bloccato perché non può reimpostare la password nell'organizzazione delle risorse.
• Il report utenti rischiosi dell'organizzazione delle risorse non riflette gli utenti esterni perché la valutazione dei rischi si verifica nella home directory dell'utente esterno.
• Gli amministratori dell'organizzazione delle risorse non possono ignorare o correggere un utente esterno rischioso perché non hanno accesso alla home directory dell'utente B2B.

È possibile evitare che i criteri basati sui rischi influiscano sugli utenti esterni creando un gruppo nell'ID Microsoft Entra che contiene tutti gli utenti esterni dell'organizzazione. Aggiungere quindi questo gruppo come esclusione per i criteri di accesso condizionale basati sul rischio utente e sui rischi di accesso.

Per altre informazioni, vedere Microsoft Entra ID Protection e utenti B2B.

Passaggi successivi

Per altre informazioni, vedere gli articoli seguenti:

• Criteri Zero Trust per consentire l'accesso guest e l'accesso utente esterno B2B
• Microsoft Entra ID Protection e utenti B2B
• Domande frequenti (FAQ)