Microsoft Entra ID 中的多租户组织功能

概述

本文概述了 Microsoft Entra ID 中的多租户组织方案和相关功能。

什么是多租户组织情况？

当某个组织拥有多个 Microsoft Entra ID 租户实例时，就会出现多租户组织的情况。 下面是组织使用多个租户的主要原因：

• 集团：具有多个子公司或独立运营的业务部门的组织。
• 合并与收购：合并或收购公司的组织。
• 资产剥离活动：在资产剥离中，一个组织拆分其部分业务以组建一个新组织或将业务出售给现有组织。
• 多个云：在多个云环境中运营的组织需要满足合规或监管要求。
• 多个地理边界：组织需要根据驻留法规在多个地理位置运营。
• 测试或过渡租户：组织在更广泛地部署到主要租户之前需要在多个租户中进行测试或过渡。
• 部门或员工创建的租户：组织中的部门或员工创建了租户用于开发、测试或独立控制。

什么是 Microsoft Entra 租户？

租户是 Microsoft Entra ID 的一个实例，其中保存了有关单个组织的信息，包括用户、组、设备等组织对象，以及 Microsoft 365 和第三方应用程序等应用程序注册。 租户还包含资源的访问与合规性策略，例如在目录中注册的应用程序。 租户提供的主要功能包括身份验证和资源访问管理。

从 Microsoft Entra 的角度看，租户构成了身份和访问管理范围。 例如，租户管理员为租户中的部分或所有用户提供应用程序，并对该租户中的用户强制实施该应用程序的访问策略。 此外，租户包含用于驱动最终用户体验的组织品牌数据，例如组织电子邮件域和该组织的员工使用的 SharePoint URL。 从 Microsoft 365 的角度看，租户构成了默认的协作和许可边界。 例如，Microsoft Teams 或 Microsoft Outlook 中的用户可以轻松查找其租户中的其他用户并与之协作，但无法查找或查看其他租户中的用户。

租户包含特权组织数据，并与其他租户安全隔离。 此外，可以将租户配置为在特定区域或云中持久保存和处理数据，使组织能够将租户用作一种机制来满足数据驻留与合规性处理要求。

多租户挑战

你的组织可能最近收购了一家新公司，与另一家公司合并，或者根据新组建的业务部门进行重组。 如果有不同的标识管理系统，则不同租户中的用户访问资源和协作可能会面临挑战。

下图显示了其他租户中的用户为何无法跨组织中的租户访问应用程序。

随着组织的发展，IT 团队必须适应不断变化的需求。 这通常包括与现有租户整合或组建新租户。 无论标识基础结构的管理方式如何，为用户提供用于访问资源和协作的无缝体验都至关重要。 目前，你可能正在使用自定义脚本或本地解决方案将租户组合在一起，以便跨租户提供无缝体验。

多租户组织的多租户功能

Microsoft Entra ID中的多租户组织提供了一系列多租户功能，可用于安全地与多个租户组织中的用户进行交互，并自动预配和管理租户中的这些用户。

其中几个多租户功能与Microsoft Entra 外部 ID（用于业务来宾）和Microsoft Entra ID中的应用预配共享通用的技术堆栈，因此你可能经常会发现对这些区域的交叉引用。 Microsoft 365 企业版使用多租户功能在 Microsoft Teams 和 Microsoft 365 应用程序中启用或促进无缝多租户协作体验。

以下多租户功能集支持多租户组织的需求：

• 跨租户访问设置 - 管理租户如何允许或禁止组织中的其他租户访问你的租户，反之亦然。 它们用于管理 B2B 协作和跨租户同步，并表明贵组织中的另一个租户是否已知属于你的多租户组织。

• B2B 协作 - 为外部用户启用应用程序访问和协作。 B2B 协作用户会出现在你的目录中。 可以在 Microsoft Teams 中使用它们实现协作（如果已启用）。 还可以跨 Microsoft 365 应用程序使用它们。

• 跨租户同步 - 提供同步服务，可在包含多个租户的组织中自动创建、更新和删除 B2B 协作用户。 该服务可用于确定目标租户中 Microsoft 365 人员搜索的范围。 该服务由跨租户访问设置下的跨租户同步设置控制。

• Microsoft 365 多租户人员搜索 - 与 B2B 协作用户进行协作。 如果显示在地址列表中，则 B2B 协作用户可用作 Outlook 中的联系人。 如果提升为用户类型成员，B2B 协作成员用户可在大多数 Microsoft 365 应用程序中使用。

以下各部分更详细地介绍了其中的每项功能。

跨租户访问设置

Microsoft Entra 租户管理员保持对其租户范围内的资源的控制是一项指导原则，即使在包含多个租户的组织内也是如此。 因此，每个租户到租户的关系都需要跨租户访问设置，并且租户管理员根据需要显式配置每个跨租户访问关系。

下图显示了基本的跨租户访问入站和出站设置功能。

有关详细信息，请参阅 跨租户访问概述。

B2B 协作

要使用户能够跨租户协作，可以使用 Microsoft Entra B2B 协作。 B2B 协作是外部 ID 的一项功能，使你能够邀请来宾用户同组织一起协作。 外部用户兑换其邀请或完成注册后，他们将在租户中表示为用户对象。 使用 B2B 协作，可以安全地将租户的应用程序和服务与外部用户共享，同时保持对自己租户数据的控制。

下面是跨多个租户使用 B2B 协作的主要限制：

• 管理员必须使用 B2B 邀请流程邀请用户，或使用 B2B 协作邀请管理器构建加入体验。
• 管理员可能必须使用自定义脚本来同步用户。
• 根据自动兑换设置，用户可能需要接受同意提示并在每个租户中遵循兑换流程。

有关详细信息，请参阅 B2B 协作概述。

跨租户同步

如果你要让用户获得更无缝的跨租户协作体验，可以使用 Microsoft Entra ID 中的跨租户同步。 跨租户同步是 Microsoft Entra ID 中的单向同步服务，可跨组织中的租户自动创建、更新和删除 B2B 协作用户。 跨租户同步建立在 B2B 协作功能之上，利用现有的 B2B 跨租户访问设置。 用户在目标租户中表示为 B2B 协作用户对象。

下面是使用跨租户同步的主要好处：

• 在组织内自动创建 B2B 协作用户并为其提供对所需应用程序的访问权限，而无需创建和维护自定义脚本。
• 改善用户体验并确保用户无需在每个租户中收到邀请电子邮件和接受同意提示即可访问资源。
• 自动更新用户并在他们离开组织时将其删除。

下面是跨多个租户使用跨租户同步的主要限制：

• 已同步的用户将拥有与其他任何 B2B 协作用户相同的跨租户 Teams 和 Microsoft 365 使用体验。
• 不同步设备或联系人。

有关详细信息，请参阅什么是跨租户同步？。

Microsoft 365 多租户人员搜索

现在，B2B 协作用户可以在 Microsoft 365 中实现协作，这超越了众所周知的 B2B 协作来宾用户体验。

多租户组织人员搜索是一项协作功能，可以跨多个租户搜索和发现人员。 如果显示在地址列表中，则 B2B 协作用户可用作 Outlook 中的联系人。 除了显示在地址列表中之外，如果进一步提升为用户类型“成员”，B2B 协作成员用户还可在大多数 Microsoft 365 应用程序中使用。

下面是跨多个租户使用 Microsoft 365 人员搜索的主要优势：

• B2B 协作用户可以在 Outlook 中进行协作。 对于主机租户中的 Exchange Online 邮件用户，可以使用设置为 true 的 showInAddressList 属性来启用此功能，或者从源租户使用跨租户同步。
• 通过将 userType 属性设置为 Member，能使地址列表中已显示的 B2B 协作用户可以在大多数 Microsoft 365 应用程序中进行协作，并在主机租户的 Microsoft Entra 管理中心进行管理，或从源租户使用跨租户同步。

下面是跨多个租户使用 Microsoft 365 人员搜索的主要限制：

• 对于大多数 Microsoft 365 应用程序中的协作，B2B 协作用户应显示在地址列表中，并设置为用户类型“成员”。

有关详细信息，请参阅 Microsoft 365 多租户人员搜索。

比较多租户功能

根据组织的需求，可以使用 B2B 协作、跨租户同步和多租户组织功能的任意组合。 跨租户同步和多租户组织功能彼此独立，但两者都依赖于基础 B2B 协作。

下表比较了每项功能的作用。 有关不同外部标识方案的详细信息，请参阅比较外部 ID 功能集。

术语

若要更好地理解与多租户组织方案相关的 Microsoft Entra 功能，可参考以下术语列表。

后续步骤

• 什么是跨租户同步？