使用访问评审监视和清理过时的来宾帐户
当用户与外部合作伙伴协作时,随着时间的推移,Microsoft Entra 租户中可能会创建许多来宾帐户。 协作结束时,用户不再访问租户,来宾帐户可能已过期。 管理员可以使用非活动来宾见解大规模监视来宾帐户。 管理员也可以使用“访问评审”来自动评审非活动来宾用户,阻止他们登录,并且将其从目录中删除。
请详细了解如何管理 Microsoft Entra ID 中的非活动用户帐户。
有一些建议的模式在监视和清理过时来宾帐户方面非常有效:
使用非活动来宾报表对来宾账户进行大规模监视,获取对组织中非活动帐户的智能见解。 根据组织的需求自定义非活动阈值,缩小要监视的来宾用户的范围,并识别可能处于非活动状态的来宾用户。
创建多阶段评审,以便来宾自行证明他们是否仍需要访问权限。 第二阶段审阅者评估结果并做出最终决策。 被拒绝访问的来宾将被禁用,并在以后删除。
创建评审以删除非活动外部来宾。 管理员以天数的形式定义“非活动”。 他们禁用未在该时间范围内登录到租户的来宾,并在以后将其删除。 默认情况下,这不会影响最近创建的用户。 详细了解如何识别非活动帐户。
使用以下说明了解如何大规模增强对非活动来宾帐户的监视,并创建遵循这些模式的访问评审。 请考虑配置建议,然后做出适合环境的所需更改。
许可要求
使用此功能需要 Microsoft Entra ID 治理或 Microsoft Entra 套件许可证。 如需查找符合要求的许可证,请参阅《Microsoft Entra ID 治理许可基础知识》。
使用非活动来宾见解大规模监视来宾帐户
提示
本文中的步骤可能因开始使用的门户而略有不同。
浏览到“标识治理”>“仪表板”
导航到“来宾访问治理”卡片,然后选择“查看非活动来宾”来访问非活动来宾帐户报表。
你将看到非活动来宾报表,它将基于 90 天不活动的情况提供关于非活动来宾用户的见解。 阈值默认设置为 90 天,但可以根据组织的需要使用“编辑非活动阈值”以进行配置。
以下见解作为此报表的一部分提供:
- 来宾帐户概述(来宾总数和非活动来宾数,并进一步分为从未登录或至少登录过一次的来宾)
- 来宾非活动分布(基于上次登录以来的天数的来宾用户的百分比分布)
- 来宾非活动概述(来宾非活动指南,用于配置非活动阈值)
- 来宾帐户摘要(一个可导出的表格视图,其中包含所有来宾帐户的详细信息,还有对其活动状态的见解)。根据所配置的非活动阈值,活动状态可能为“活动”或“非活动”)
如果用户至少登录过一次,则根据上次登录日期计算非活动天数。 对于从未登录的用户,非活动天数是根据创建日期计算的。
注意
可使用“下载所有数据”来下载具有来宾见解的报告。 每个下载操作都可能需要一些时间,具体取决于来宾用户的计数,此操作还支持为多达 100 万名来宾用户进行下载。
创建多阶段评审,使来宾可以自行证明其需要持续访问
为要评审的来宾用户创建动态组。 例如,
(user.userType -eq "Guest") and (user.mail -contains "@contoso.com") and (user.accountEnabled -eq true)
若要为动态组创建访问评审,请导航到“Microsoft Entra ID”>“Identity Governance”>“访问评审”。
选择“新建访问评审”。
配置“评审类型”。
属性 值 选择要评审的内容 团队和组 评审范围 选择“团队 + 组” 组 选择动态组 范围 仅限来宾用户 (可选)评审非活动来宾 选中“仅限非活动用户(在租户级别)”对应的框。
输入形成非活动状态的天数。选择“下一步: 评审”。
配置评审:
属性 值 第一阶段评审 多阶段审阅 选中对应框 选择审阅者 “用户评审自己的访问” 阶段持续时间(以天为单位) 输入天数 第二阶段评审 选择审阅者 “组所有者”或“选定的用户或组” 阶段持续时间(以天为单位) 输入天数。
(可选)指定回退审阅者。指定评审的重复周期 评审重复周期 从下拉列表中选择首选项 开始日期 选择日期 结束 选择首选项 指定受审阅人以转到下一阶段 转到下一阶段的受审阅人 选择受审阅人。 例如,选择已自我批准或响应了“不知道”的用户。 选择“下一步: 设置”。
配置设置:
属性 值 完成后的设置 自动向资源应用结果 选中对应框 如果审阅者未响应 删除访问权限 对被拒绝的来宾用户应用的操作 在 30 天内阻止用户登录,然后从租户中删除用户 (可选)审阅结束时,将通知发送到 指定要通知的其他用户或组。 启用审阅者决策帮助程序 审阅者电子邮件的其他内容 为审阅者添加自定义消息 所有其他字段 将其余选项保留为默认值。 选择“下一步: 查看 + 创建”
输入访问评审名称。 (可选)提供说明。
选择“创建” 。
创建评审以删除非活动外部来宾
为要评审的来宾用户创建动态组。 例如,
(user.userType -eq "Guest") and (user.mail -contains "@contoso.com") and (user.accountEnabled -eq true)
若要为动态组创建访问评审,请导航到“Microsoft Entra ID”>“Identity Governance”>“访问评审”。
选择“新建访问评审”。
配置“评审类型”:
属性 值 选择要评审的内容 团队和组 评审范围 选择“团队 + 组” 组 选择动态组 范围 仅限来宾用户 仅限非活动用户(在租户级别) 选中对应框 不活动天数 输入形成非活动状态的天数 备注
配置的非活动状态时间不会影响最近创建的用户。 “访问评审”将检查用户是否已在你配置的时间范围内创建,并忽略其存在时间短于该时间量的用户。 例如,如果将非活动时间设置为 90 天,并且创建/邀请来宾用户的时间距今短于 90 天,则该来宾用户将不在访问评审范围内。 这确保了来宾在被删除之前可以登录一次。
选择“下一步: 评审”。
配置评审:
属性 值 指定审阅者 选择审阅者 选择“组所有者”或用户或组。
(可选)若要使流程保持自动化,请选择不采取任何操作的审阅者。指定评审的重复周期 持续时间(以天为单位) 根据你的喜好输入或选择值 评审重复周期 从下拉列表中选择首选项 开始日期 选择日期 结束 选择一个选项 选择“下一步: 设置”。
配置设置:
属性 值 完成后的设置 自动向资源应用结果 选中对应框 如果评审未响应 删除访问权限 对被拒绝的来宾用户应用的操作 在 30 天内阻止用户登录,然后从租户中删除用户 启用审阅者决策帮助程序 30 天内未登录 选中对应框 所有其他字段 根据你的喜好选中/取消选中这些框。 在完成时选择“下一步:查看 + 创建”。
输入访问评审名称。 (可选)提供说明。
选择“创建” 。
在你配置的天数内未登录到租户的来宾用户将被禁用 30 天,然后被删除。 删除后,在最多 30 天的时间内可以还原来宾,之后便需要新的邀请。