Restringir permissões de acesso de convidado no Microsoft Entra ID

O Microsoft Entra ID, parte do Microsoft Entra, permite restringir o que os usuários convidados externos podem ver em sua organização no Microsoft Entra ID. Os usuários convidados são definidos como um nível de permissão limitado por padrão no Microsoft Entra ID, enquanto o padrão para usuários membros é o conjunto completo de permissões de usuário. Há outro nível de permissão de usuário convidado nas configurações de colaboração externa da sua organização do Microsoft Entra para acesso ainda mais restrito, de modo que os níveis de acesso de convidado sejam:

Quando o acesso de convidado é restringido, os convidados só podem ver o seu próprio perfil de utilizador. A permissão para ver outros utilizadores não é permitida, mesmo que o convidado esteja a procurar por Nome Principal de Utilizador ou objectId. O acesso restringido também impede os utilizadores convidados de ver a adesão a grupos em que estão. Para obter mais informações sobre as permissões gerais de usuário padrão, incluindo permissões de usuário convidado, consulte Quais são as permissões de usuário padrão no Microsoft Entra ID?.

Atualizar no portal do Azure

Fizemos alterações nos controles existentes do portal do Azure para permissões de usuário convidado.

1. Entre no centro de administração do Microsoft Entra como Administrador Global.

2. Selecione Identidades>externas.

3. Selecione Configurações de colaboração externa.

4. Na página Configurações de colaboração externa, selecione Acesso de usuário convidado é restrito a propriedades e associações de seus próprios objetos de diretório.

   

5. Selecione Guardar. As alterações podem levar até 15 minutos para entrar em vigor para usuários convidados.

Atualizar com a API do Microsoft Graph

Adicionamos uma nova API do Microsoft Graph para configurar permissões de convidado em sua organização do Microsoft Entra. As chamadas de API a seguir podem ser feitas para atribuir qualquer nível de permissão. O valor para guestUserRoleId usado aqui é para ilustrar a configuração de usuário convidado mais restrita. Para obter mais informações sobre como usar o Microsoft Graph para definir permissões de convidado, consulte authorizationPolicy Tipo de recurso.

Configurando pela primeira vez

POST https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

A resposta deve ser Sucesso 204.

Atualizando o valor existente

PATCH https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

A resposta deve ser Sucesso 204.

Ver o valor atual

GET https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

Resposta de exemplo:

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#policies/authorizationPolicy/$entity",
    "id": "authorizationPolicy",
    "displayName": "Authorization Policy",
    "description": "Used to manage authorization related settings across the company.",
    "enabledPreviewFeatures": [],
    "guestUserRoleId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
    "permissionGrantPolicyIdsAssignedToDefaultUserRole": [
        "user-default-legacy"
    ]
}

Atualizar com cmdlets do PowerShell

Com esse recurso, adicionamos a capacidade de configurar as permissões restritas por meio de cmdlets do PowerShell v2. Obter e atualizar cmdlets do PowerShell foram publicados na versão 2.0.2.85.

Obter comando: Get-MgPolicyAuthorizationPolicy

Exemplo:

Get-MgPolicyAuthorizationPolicy | Format-List

AllowEmailVerifiedUsersToJoinOrganization : True
AllowInvitesFrom                          : everyone
AllowUserConsentForRiskyApps              :
AllowedToSignUpEmailBasedSubscriptions    : True
AllowedToUseSspr                          : True
BlockMsolPowerShell                       : False
DefaultUserRolePermissions                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphDefaultUserRolePermissions
DeletedDateTime                           :
Description                               : Used to manage authorization related settings across the company.
DisplayName                               : Authorization Policy
GuestUserRoleId                           : 10dae51f-b6af-4016-8d66-8c2a99b929b3
Id                                        : authorizationPolicy
AdditionalProperties                      : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/authorizationPolicy/$entity]}

Comando Update: Update-MgPolicyAuthorizationPolicy

Exemplo:

Update-MgPolicyAuthorizationPolicy -GuestUserRoleId '2af84b1e-32c8-42b7-82bc-daa82404023b'

Serviços Microsoft 365 suportados

Serviços suportados

Por apoiado, queremos dizer que a experiência é a esperada; especificamente, que é o mesmo que a experiência atual do hóspede.

• Teams
• Perspetivas (OWA)
• SharePoint
• Planejador em Equipes
• Aplicativo móvel do Planner
• Aplicativo Web do Planejador
• Projeto para a Web
• Operações do Projeto

Serviços atualmente não suportados

O serviço sem suporte atual pode ter problemas de compatibilidade com a nova configuração de restrição de convidado.

• Formulários
• Project Online
• Yammer
• Planejador no SharePoint

Perguntas mais frequentes (FAQ)

Próximos passos

• Para saber mais sobre as permissões de convidado existentes no Microsoft Entra ID, consulte Quais são as permissões de usuário padrão no Microsoft Entra ID?
• Para ver os métodos da API do Microsoft Graph para restringir o acesso de convidados, consulte authorizationPolicy Tipo de recurso
• Para revogar todo o acesso de um usuário, consulte Revogar acesso de usuário no Microsoft Entra ID