Compartir a través de

允许或阻止与组织的 B2B 协作

  • Artículo

适用于：带白色勾号的绿色圆圈。 员工租户 带灰色 X 号的白色圆圈。 外部租户（了解详细信息）

可以使用允许列表或阻止列表，来允许或阻止向特定组织中的 B2B 协作用户发送邀请。 例如，如果你要阻止个人电子邮件地址域，可以设置一个阻止列表，并在其中包含类似于 Gmail.com 和 Outlook.com 的域。 或者，如果你的企业与 Contoso.com、Fabrikam.com 和 Litware.com 等其他企业建立了合作关系，并且你希望将邀请限制为这些组织，则可以将 Contoso.com、Fabrikam.com 和 Litware.com 添加到允许列表。

本文讨论了为 B2B 协作配置允许或阻止列表的两种方法：

  • 在门户中，通过在组织的外部协作设置中配置协作限制
  • 通过 PowerShell

重要注意事项

  • 可以创建允许列表或阻止列表。 不能同时设置这两种类型的列表。 默认情况下，不在允许列表中的任何域都会包含在阻止列表中，反之亦然。
  • 对于每个组织，只能创建一个策略。 可以更新策略以包含更多的域，或者删除策略以创建新策略。
  • 可以添加到允许列表或阻止列表的域数仅受策略大小限制。 此限制适用于字符数，这样可以拥有更多短域或更少长域。 整个策略的最大大小为25 KB（25,000 个字符），其中包括允许列表或阻止列表以及为其他功能配置的任何其他参数。
  • 此列表独立于 OneDrive 和 SharePoint Online 允许/阻止列表。 若要在 SharePoint Online 中限制单个文件的共享，需要为 OneDrive 和 SharePoint Online 设置允许或阻止列表。 有关详细信息，请参阅按域限制 SharePoint 和 OneDrive 内容的共享。
  • 此列表不适用于已兑换邀请的外部用户。 设置列表后，将强制实施该列表。 如果用户邀请处于挂起状态，而你设置了一个阻止该用户的域的策略，则该用户在尝试兑换邀请时会失败。
  • 邀请时会检查允许/阻止列表和跨租户访问设置。

在门户中设置允许或阻止列表策略

“允许将邀请发送到任何域(最大范围)”默认已启用。 在这种情况下，可以邀请任何组织中的 B2B 用户。

重要

Microsoft 建议使用权限最少的角色。 这有助于提高组织的安全性。 全局管理员是一个高度特权的角色，应仅限于无法使用现有角色的紧急情况。

添加阻止列表

提示

本文中的步骤可能因开始使用的门户而略有不同。

这是一个最典型的场景：你的组织希望能够与绝大多数组织合作，但同时想要避免邀请某些域的用户作为 B2B 用户。

若要添加阻止列表：

  1. 以全局管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到“标识”>“外部标识”>“外部协作设置”。

  3. 在“协作限制”下，选择“拒绝向指定的域发送邀请”。

  4. 在“目标域”下，输入要阻止的某个域的名称。 若要阻止多个域，请分行输入每个域。 例如：

    屏幕截图显示了具有增加的域的拒绝选项。

  5. 完成后，选择“保存”。

设置策略后，如果尝试邀请被阻止域中的用户，将会收到一条消息，指出该用户的域当前已被邀请策略阻止。

添加允许列表

有了这个限制性更强的配置，你可在允许列表中设置特定的域，并将邀请限制为列表中未提到的其他任何组织或域。

若要使用允许列表，请确保花些时间来全面评估业务需求。 如果此策略的限制性过于严格，用户可选择通过电子邮件发送文档，或者寻求 IT 部门未批准的其他协作方式。

若要添加允许列表：

  1. 以全局管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到“标识”>“外部标识”>“外部协作设置”。

  3. 在“协作限制”下，选择“只允许向指定的域发送邀请(限制性最强)”。

  4. 在“目标域”下，输入要允许的某个域的名称。 若要阻止多个域，请分行输入每个域。 例如：

    显示允许选项的屏幕截图，其中包含添加的域。

  5. 完成后，选择“保存”。

设置策略后，如果尝试邀请的用户来自允许列表之外的域，就会收到一条消息，指出用户的域当前已被邀请策略阻止。

从允许列表切换到阻止列表，反之亦然

从一个策略切换到另一个策略时会放弃现有的策略配置。 在执行这种切换之前，请务必备份配置详细信息。

使用 PowerShell 设置允许或阻止列表策略

先决条件

注意

AzureADPreview 模块不是完全支持的模块，因为它处于预览状态。

若要使用 PowerShell 设置允许或阻止列表，必须安装 Azure AD PowerShell 模块预览版。 具体而言，请安装 AzureADPreview 模块 2.0.0.98 或更高版本。

检查模块版本（及查看是否已安装）：

  1. 以权限提升的用户身份（以管理员身份运行）打开 Windows PowerShell。

  2. 运行以下命令，查看计算机上是否已安装任何版本的 Azure AD PowerShell 模块：

    Get-Module -ListAvailable AzureAD*

如果未安装该模块或者未安装所需的版本，请执行以下操作之一：

  • 如果未返回任何结果，请运行以下命令来安装 AzureADPreview 模块的最新版本：

    Install-Module AzureADPreview

  • 如果结果中只显示了 AzureAD 模块，请运行以下命令来安装 AzureADPreview 模块：

    Uninstall-Module AzureAD
Install-Module AzureADPreview

  • 如果结果中只显示了 AzureADPreview 模块，但版本低于 2.0.0.98，则请运行以下命令进行更新：

    Uninstall-Module AzureADPreview 
Install-Module AzureADPreview

  • 如果结果中同时显示 AzureAD 和 AzureADPreview 模块，但 AzureADPreview 模块版本低于 2.0.0.98，请运行以下命令进行更新：

    Uninstall-Module AzureAD 
Uninstall-Module AzureADPreview 
Install-Module AzureADPreview

使用 AzureADPolicy cmdlet 配置策略

若要创建允许或阻止列表，请使用 New-AzureADPolicy cmdlet。 以下示例演示如何设置阻止“live.com”域的阻止列表。

$policyValue = @("{`"B2BManagementPolicy`":{`"InvitationsAllowedAndBlockedDomainsPolicy`":{`"AllowedDomains`": [],`"BlockedDomains`": [`"live.com`"]}}}")

New-AzureADPolicy -Definition $policyValue -DisplayName B2BManagementPolicy -Type B2BManagementPolicy -IsOrganizationDefault $true

下面是一个类似的示例，其中包含内联的策略定义。

New-AzureADPolicy -Definition @("{`"B2BManagementPolicy`":{`"InvitationsAllowedAndBlockedDomainsPolicy`":{`"AllowedDomains`": [],`"BlockedDomains`": [`"live.com`"]}}}") -DisplayName B2BManagementPolicy -Type B2BManagementPolicy -IsOrganizationDefault $true

若要设置允许或阻止列表策略，请使用 Set-AzureADPolicy cmdlet。 例如：

Set-AzureADPolicy -Definition $policyValue -Id $currentpolicy.Id

若要获取策略，请使用 Get-AzureADPolicy cmdlet。 例如：

$currentpolicy = Get-AzureADPolicy -All $true | ?{$_.Type -eq 'B2BManagementPolicy'} | select -First 1

若要删除策略，请使用 Remove-AzureADPolicy cmdlet。 例如：

Remove-AzureADPolicy -Id $currentpolicy.Id

后续步骤