B2B Collaboration B2B Collaboration

Referenz für Gastbenutzer, Cross-Tenant Access, externe Provider und Governance externer Zusammenarbeit. Reference for guest users, cross-tenant access, external identity providers, and governance of external collaboration.

B2B Collaboration Überblick B2B collaboration overview

Mit B2B Collaboration können Partner, Lieferanten oder Kunden mit ihrer eigenen Identität auf Ressourcen deines Tenants zugreifen. Entra verwaltet dabei Einladung, Redemption, Objektanlage und Richtlinien. B2B collaboration allows partners, vendors, or customers to access resources in your tenant with their own identity. Entra manages invitation, redemption, object creation, and policy enforcement.

Gäste einladen: Portal, PowerShell, Graph Invite guests: portal, PowerShell, Graph

            
                Connect-MgGraph -Scopes User.Invite.All, User.ReadWrite.All
                
                New-MgInvitation `
                  -InvitedUserDisplayName "Alex Partner" `
                  -InvitedUserEmailAddress "alex.partner@fabrikam.com" `
                  -InviteRedirectUrl "https://myapplications.microsoft.com" `
                  -SendInvitationMessage
                        
            
        

            
                $body = @{
                  invitedUserEmailAddress = "alex.partner@fabrikam.com"
                  invitedUserDisplayName = "Alex Partner"
                  inviteRedirectUrl = "https://myapplications.microsoft.com"
                  sendInvitationMessage = $true
                } | ConvertTo-Json
                
                Invoke-MgGraphRequest -Method POST `
                  -Uri "https://graph.microsoft.com/v1.0/invitations" `
                  -Body $body `
                  -ContentType "application/json"
                        
            
        

Redemption Flow Redemption flow

Nach der Einladung erhält der Benutzer einen Link, authentifiziert sich mit seiner externen Identität und akzeptiert gegebenenfalls Datenschutz- oder Nutzungsbedingungen. Erst danach wird das Gastobjekt vollständig nutzbar. After invitation, the user receives a link, authenticates with the external identity, and may need to accept privacy or terms-of-use statements. Only then does the guest object become fully usable.

• Bei identitätsfremden Domänen kann E-Mail-OTP als Fallback aktiv sein. Email one-time passcode can be used as a fallback for domains without compatible identity providers.
• Fehlende Redemption erkennt man oft daran, dass keine Gruppenberechtigungen wirksam werden. Missing redemption is often visible when group-based access does not become effective.
• Die Eigenschaft externalUserState zeigt PendingAcceptance oder Accepted. The externalUserState property indicates PendingAcceptance or Accepted.

Cross-Tenant Access Cross-tenant access

Cross-tenant access policies regeln eingehenden und ausgehenden B2B-Zugriff zwischen Organisationen. Neben Basiszulassung können Vertrauensbeziehungen für MFA, compliant device und hybrid join konfiguriert werden. Cross-tenant access policies govern inbound and outbound B2B access between organizations. In addition to basic allow/deny behavior, trust can be configured for MFA, compliant devices, and hybrid join.

B2B Direct Connect B2B direct connect

B2B Direct Connect wurde für Teams Shared Channels entworfen. Im Gegensatz zum klassischen Gastmodell bleibt der Benutzer im Heimtenant verankert und erhält Zugriff über Vertrauensregeln zwischen den Organisationen. B2B Direct Connect was designed for Teams shared channels. Unlike the classic guest model, the user stays anchored in the home tenant and receives access through trust rules between the organizations.

External Collaboration Settings External collaboration settings

Guest Properties und Einschränkungen Guest properties and limitations

Guest ↔ Member konvertieren Convert guest ↔ member

In bestimmten Projekten werden externe Benutzer als Member geführt, etwa in Joint Ventures. Die Umstellung sollte nur mit sauberer Governance erfolgen, weil Members oft breitere Standardrechte besitzen. In certain projects, external users are treated as members, for example in joint ventures. This conversion should only be done with strong governance because members often have broader default rights.

            
                $user = Get-MgUser -UserId "alex.partner_fabrikam.com#EXT#@contoso.onmicrosoft.com"
                Update-MgUser -UserId $user.Id -UserType "Member"
                
                # Rückweg
                Update-MgUser -UserId $user.Id -UserType "Guest"
                        
            
        

Gastzugriff in Teams und SharePoint Guest access in Teams and SharePoint

Für Teams muss Gastzugriff sowohl in Entra als auch im Teams Admin Center erlaubt sein. Für SharePoint bestimmen tenantweite Sharing Settings, Site Settings und Link-Typen, ob externe Zusammenarbeit reibungslos funktioniert. For Teams, guest access must be enabled in both Entra and the Teams Admin Center. For SharePoint, tenant-wide sharing settings, site settings, and link types determine whether external collaboration works smoothly.

• Nutze dedizierte Gruppen oder Teams für Partnerzugriff. Use dedicated groups or teams for partner access.
• Vermeide Owner-Rollen für Gäste, außer mit klarer Ausnahmegenehmigung. Avoid owner roles for guests unless there is an explicit exception approval.
• Setze Sensitivity Labels oder Site Policies für vertrauliche Inhalte ein. Use sensitivity labels or site policies for confidential content.

Externe Identity Provider External identity providers

Lifecycle Management Lifecycle management

PowerShell + Graph PowerShell + Graph

            
                # Gäste inventarisieren
                Get-MgUser -Filter "userType eq 'Guest'" -All |
                  Select-Object DisplayName, Mail, UserPrincipalName, ExternalUserState
                
                # Einladung erneut senden
                $inv = New-MgInvitation `
                  -InvitedUserEmailAddress "alex.partner@fabrikam.com" `
                  -InviteRedirectUrl "https://myapplications.microsoft.com" `
                  -SendInvitationMessage
                
                # Cross-tenant Policies lesen
                Invoke-MgGraphRequest -Method GET `
                  -Uri "https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy"
                        
            
        

Cross-Tenant Access Deep DiveCross-tenant access deep dive

Cross-Tenant Access Policies steuern, wie Benutzer, Gruppen, Apps und Vertrauenssignale zwischen zwei Entra-Tenants wirken. Relevant sind Default-Einstellungen, partnerspezifische Overrides, Inbound/Outbound-Richtung und die Art der Zusammenarbeit.Cross-tenant access policies control how users, groups, apps, and trust signals behave between two Entra tenants. Important dimensions are default settings, partner-specific overrides, inbound/outbound direction, and the collaboration model.

Trust Settings und SteuerungTrust settings and control

Connect-MgGraph -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"

Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy"

Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/partners" 

$body = @{
  tenantId = "bbbbbbbb-2222-3333-4444-555555555555"
  inboundTrust = @{
    isMfaAccepted = $true
    isCompliantDeviceAccepted = $false
    isHybridAzureADJoinedDeviceAccepted = $false
  }
} | ConvertTo-Json -Depth 8

Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/beta/policies/crossTenantAccessPolicy/partners" `
  -Body $body `
  -ContentType "application/json" 

Externe AuthentifizierungsmethodenExternal authentication methods

Externe Identitäten lassen sich über verschiedene Identitätsquellen und Fallback-Mechanismen anbinden. Welche Methode passt, hängt von Governance, Zielgruppe und Produktlinie ab.External identities can be connected through multiple identity sources and fallback mechanisms. The right method depends on governance, target audience, and product line.