Entra External ID Entra External ID

B2B Workforce-Kollaboration, External Tenant (CIAM), externe Identity Provider, Cross-Tenant-Zugriffsrichtlinien und Einladungseinlösung. B2B workforce collaboration, external tenant (CIAM), external identity providers, cross-tenant access policies, and invitation redemption.

Überblick: Entra External IDOverview: Entra External ID

Entra External ID fasst alle Szenarien zusammen, in denen Identitäten außerhalb der eigenen Organisation verwaltet oder eingeladen werden. Es gibt zwei grundlegende Modelle: den Workforce-Tenant mit B2B-Gastbenutzern (Partner, Lieferanten) und den External Tenant für Customer Identity (CIAM) mit End-Kunden-Registrierungsflows. Entra External ID consolidates all scenarios where identities outside the own organization are managed or invited. There are two fundamental models: the workforce tenant with B2B guest users (partners, vendors) and the external tenant for Customer Identity (CIAM) with end-customer registration flows.

B2B Collaboration – Workforce-TenantB2B Collaboration – workforce tenant

Bei der B2B-Kollaboration wird ein externer Benutzer als Gastobjekt (userType: Guest) im eigenen Tenant angelegt. Der Gast authentifiziert sich bei seinem Heimat-IdP und erhält dann Zugriff auf freigegebene Ressourcen. In B2B collaboration an external user is created as a guest object (userType: Guest) in the own tenant. The guest authenticates at their home IdP and then receives access to shared resources.

Einladung per PowerShellInvite via PowerShell

Connect-MgGraph -Scopes "User.Invite.All","User.ReadWrite.All"

# Einzelne Einladung
New-MgInvitation -InvitedUserEmailAddress "partner@fabrikam.com" `
    -InviteRedirectUrl "https://myapps.microsoft.com" `
    -SendInvitationMessage $true `
    -InvitedUserDisplayName "Partner User"

# Masseneinladung aus CSV
$guests = Import-Csv "C:\guests.csv" # Spalten: Email, DisplayName
foreach ($g in $guests) {
    New-MgInvitation -InvitedUserEmailAddress $g.Email `
        -InviteRedirectUrl "https://myapps.microsoft.com" `
        -SendInvitationMessage $true `
        -InvitedUserDisplayName $g.DisplayName
}

Einladungseinlösung (Redemption)Invitation redemption

Wenn ein Gast auf einen Einladungslink klickt, durchläuft er den Redemption-Flow. Entra ID prüft dabei die Identität des Gastes und legt ein entsprechendes Verbundkonto oder OTP-Konto an. When a guest clicks an invitation link, they go through the redemption flow. Entra ID verifies the guest's identity and creates a corresponding federated or OTP account.

Cross-Tenant-ZugriffsrichtlinienCross-tenant access policies

Cross-Tenant-Zugriffsrichtlinien (XTAP) steuern pro Partnerorganisation, welche Vertrauensstellungen gewährt werden. Dabei wird zwischen Inbound (fremde Benutzer in meinem Tenant) und Outbound (meine Benutzer in fremdem Tenant) unterschieden. Cross-Tenant Access Policies (XTAP) control per partner organization what trust is granted. There is a distinction between inbound (foreign users in my tenant) and outbound (my users in a foreign tenant).

MFA- und Geräte-Vertrauen konfigurierenConfigure MFA and device trust

Wenn Sie einem Partnerorganisations-Tenant MFA-Vertrauen gewähren, akzeptiert Ihr CA das bereits erfüllte MFA des Gastes – der Gast muss keine zweite MFA-Anforderung erfüllen. Gleiches gilt für Geräte-Compliance und Hybrid Join. When you grant an MFA trust to a partner organization tenant, your CA accepts the guest's already satisfied MFA – the guest does not need to fulfill a second MFA requirement. The same applies to device compliance and Hybrid Join.

Connect-MgGraph -Scopes "Policy.ReadWrite.CrossTenantAccess"

# Inbound MFA-Vertrauen für spezifischen Partnertenants konfigurieren
$partnerTenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
$body = @{
    tenantId = $partnerTenantId
    inboundTrust = @{
        isMfaAccepted = $true
        isCompliantDeviceAccepted = $true
        isHybridAzureADJoinedDeviceAccepted = $false
    }
} | ConvertTo-Json -Depth 5

Invoke-MgGraphRequest -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners" `
    -Body $body -ContentType "application/json"

# Bestehende Cross-Tenant-Policies anzeigen
Get-MgPolicyCrossTenantAccessPolicyPartner | Select-Object TenantId, InboundTrust, OutboundTrust

Externe Identity ProviderExternal identity providers

Im Workforce-Tenant können Google und Facebook als Identity Provider für B2B-Gäste konfiguriert werden. Für Unternehmenspartner eignet sich der SAML/OIDC Direct Federation. In the workforce tenant, Google and Facebook can be configured as identity providers for B2B guests. For enterprise partners, SAML/OIDC Direct Federation is suitable.

Externer Tenant (CIAM)External tenant (CIAM)

Ein externer Tenant ist ein dedizierter Entra-ID-Tenant für Customer Identity and Access Management (CIAM). Er ermöglicht Self-Service-Registrierung, Social-Login, angepasstes Branding und kundenseitige MFA-Methoden, ohne die internen Workforce-Ressourcen zu berühren. An external tenant is a dedicated Entra ID tenant for Customer Identity and Access Management (CIAM). It enables self-service registration, social login, customized branding, and customer-side MFA methods without touching internal workforce resources.

Einstellungen für externe ZusammenarbeitExternal collaboration settings

Im Entra-Admin-Center (Entra ID → External Identities → Externe Zusammenarbeit) steuern Sie übergeordnete Einschränkungen für B2B-Einladungen und Gastbenutzerrechte. In the Entra admin center (Entra ID → External Identities → External collaboration settings) you control top-level restrictions for B2B invitations and guest user permissions.

Gast-Lifecycle und BereinigungGuest lifecycle and cleanup

Connect-MgGraph -Scopes "User.Read.All","User.ReadWrite.All"

# Alle Gastbenutzer auflisten
Get-MgUser -Filter "userType eq 'Guest'" -All |
    Select-Object DisplayName, UserPrincipalName, CreatedDateTime, SignInActivity

# Gäste, die sich nie oder seit 90 Tagen nicht angemeldet haben
$cutoff = (Get-Date).AddDays(-90)
Get-MgUser -Filter "userType eq 'Guest'" -All -Property "id,displayName,userPrincipalName,signInActivity" |
    Where-Object {
        $null -eq $_.SignInActivity.LastSignInDateTime -or
        $_.SignInActivity.LastSignInDateTime -lt $cutoff
    } | Select-Object DisplayName, UserPrincipalName, @{N="LastSignIn"; E={$_.SignInActivity.LastSignInDateTime}}

# Gast deaktivieren
Update-MgUser -UserId "" -AccountEnabled $false

# Gast löschen
Remove-MgUser -UserId ""

Self-Service Sign-up User FlowsSelf-service sign-up user flows

Self-Service Sign-up User Flows erlauben es Gästen, sich ohne manuelle Einladung selbst zu registrieren. Sie werden auf Enterprise-App-Ebene konfiguriert und unterstützen verschiedene Identity Provider, Attributabfragen und API-Connectors. Self-service sign-up user flows allow guests to register themselves without a manual invitation. They are configured at the Enterprise App level and support various identity providers, attribute collections, and API connectors.

B2B Direct Connect (Shared Channels)B2B Direct Connect (Shared Channels)

B2B Direct Connect unterscheidet sich grundlegend von B2B Collaboration: Externe Benutzer werden nicht als Gastobjekte im Tenant angelegt. Stattdessen greifen sie direkt über eine Echtzeit-Verbindung auf freigegebene Teams Shared Channels zu. Dies erfordert eine bidirektionale Cross-Tenant-Zugriffsrichtlinienkonfiguration bei beiden Organisationen. B2B Direct Connect fundamentally differs from B2B Collaboration: external users are not created as guest objects in the tenant. Instead, they access shared Teams Shared Channels directly through a real-time connection. This requires a bidirectional Cross-Tenant Access Policy configuration in both organizations.

Entitlement Management für externe BenutzerEntitlement Management for external users

Entitlement Management kann Access Packages spezifisch für externe Benutzer konfigurieren. Connected Organizations ermöglichen es, Partnerorganisationen als vertrauenswürdige Quellen für Zugriffsanfragen zu definieren. Entitlement Management can configure access packages specifically for external users. Connected Organizations enable defining partner organizations as trusted sources for access requests.

PowerShell-Referenz für External IDPowerShell reference for External ID

CIAM User Flow KonfigurationCIAM user flow configuration

Im externen Tenant können User Flows für Registrierung, Anmeldung und Passwort-Reset konfiguriert werden. Jeder User Flow unterstützt mehrere Identity Provider und Attributabfragen. In the external tenant, user flows for sign-up, sign-in, and password reset can be configured. Each user flow supports multiple identity providers and attribute collections.

GET https://graph.microsoft.com/beta/identity/authenticationEventsFlows

# Spezifischen User Flow abrufen
GET https://graph.microsoft.com/beta/identity/authenticationEventsFlows/{id}

# Verfügbare Identity Provider im externen Tenant
GET https://graph.microsoft.com/v1.0/identityProviders

Domain-Beschränkungen und Allow/Block-ListenDomain restrictions and allow/block lists

Branding und AnpassungBranding and customization

Entra External ID erlaubt umfangreiche Branding-Anpassungen für den Anmeldeflow. Im externen Tenant können Logo, Hintergrundbild, Farben und benutzerdefinierte CSS sowie JavaScript-Erweiterungen eingesetzt werden. Entra External ID allows extensive branding customizations for the sign-in flow. In the external tenant, logo, background image, colors, and custom CSS as well as JavaScript extensions can be applied.

Benutzerdefinierte AttributeCustom user attributes

Benutzerdefinierte Attribute ergänzen das Standard-Benutzerverzeichnis um anwendungsspezifische Felder. Sie können bei der Registrierung im User Flow abgefragt und in den Token eingebettet werden. Custom user attributes extend the default user directory with application-specific fields. They can be collected during sign-up in the user flow and embedded in tokens.

API ConnectorsAPI connectors

API Connectors ermöglichen die Integration externer REST-APIs in den Anmeldeflow. Sie können eingesetzt werden, um Benutzereingaben zu validieren, Daten aus externen Systemen abzurufen oder den Registrierungsflow zu steuern. API connectors enable the integration of external REST APIs into the sign-in flow. They can be used to validate user inputs, retrieve data from external systems, or control the registration flow.

Custom Authentication ExtensionsCustom authentication extensions

Custom Authentication Extensions (CAE) sind Event-Listener, die an bestimmten Stellen im Authentifizierungsflow aufgerufen werden. Sie ermöglichen Token-Anreicherung mit Daten aus externen Systemen über einen benutzerdefinierten REST-Endpunkt. Custom Authentication Extensions (CAE) are event listeners called at specific points in the authentication flow. They enable token enrichment with data from external systems via a custom REST endpoint.

Native AuthenticationNative authentication

Native Authentication erlaubt mobilen Apps die vollständige Kontrolle über den Anmeldefluss, ohne Browser-Umleitung. Die App kommuniziert direkt über die MSAL-Bibliothek mit dem Entra External ID-Endpoint. Native Authentication unterstützt E-Mail-OTP und Benutzername/Passwort-Flows. Native Authentication allows mobile apps full control over the sign-in flow without browser redirection. The app communicates directly with the Entra External ID endpoint via the MSAL library. Native Authentication supports email OTP and username/password flows.

Token-Anpassung für GastbenutzerToken Customisation for Guest Users

Optional Claim-Policies und Token-Mapping ermöglichen es, Gastbenutzer-Attribute im ID- und Access-Token anzupassen.Optional claims policies and token mapping let you customise guest user attributes in ID and access tokens.

Gastbenutzer-Lebenszyklus & Access ReviewsGuest User Lifecycle & Access Reviews

Microsoft Entra Entitlement Management und Access Reviews helfen, den Lebenszyklus von Gastbenutzern zu automatisieren.Microsoft Entra Entitlement Management and Access Reviews help automate the lifecycle of guest users.

Überwachung externer BenutzerMonitoring External Users

KQL-Abfragen im Log Analytics Workspace ermöglichen die gezielte Überwachung von Gastbenutzer-Aktivitäten.KQL queries in Log Analytics Workspace enable targeted monitoring of guest user activities.

// Gastbenutzer-Anmeldungen der letzten 7 Tage
SigninLogs
| where TimeGenerated > ago(7d)
| where UserType == "Guest"
| summarize SigninCount=count() by UserPrincipalName, AppDisplayName, ResultType
| where ResultType != "0"
| order by SigninCount desc

// Einladungen und Einlösungen
AuditLogs
| where TimeGenerated > ago(30d)
| where OperationName in ("Invite external user", "Redeem external user invite")
| project TimeGenerated, OperationName, InitiatedBy, TargetResources
| order by TimeGenerated desc

Cross-Tenant-SynchronisationCross-Tenant Synchronisation

Cross-Tenant Sync automatisiert das Erstellen, Aktualisieren und Löschen von B2B-Benutzern zwischen Unternehmenstenant.Cross-Tenant Sync automates the creation, update, and deletion of B2B users between corporate tenants.

Verwandte SeitenRelated pages

• B2B (klassische Referenz)B2B (classic reference)
• Conditional AccessConditional Access
• Governance & LifecycleGovernance & Lifecycle
• AuthentifizierungsprotokolleAuthentication Protocols
• Monitoring & AuditMonitoring & Audit