Защитите внешний доступ с помощью групп в Microsoft Entra ID и Microsoft 365

Группы являются частью стратегии управления доступом. Группы безопасности Microsoft Entra и Группы Microsoft 365 можно использовать в качестве основы для защиты доступа к ресурсам. Используйте группы для следующих механизмов управления доступом:

• Политики условного доступа
  • Что такое условный доступ?
• Пакеты доступа к управлению правами
  • Общие сведения об управлении правами
• доступ к ресурсам Microsoft 365, Microsoft Teams и сайтам SharePoint.

В группах имеются следующие роли:

• Владельцы групп — управление параметрами группы и его членством
• Члены — наследуют разрешения и доступ, назначенные группе
• Гости — это пользователи, не входящие в вашу организацию

Перед началом

Эта статья является номером 4 в серии из 10 статей. Мы рекомендуем ознакомиться с статьями по порядку. Перейдите к разделу "Дальнейшие действия ", чтобы просмотреть всю серию.

Стратегия группы

Чтобы разработать стратегию группы для защиты внешнего доступа к ресурсам, рассмотрите нужный уровень безопасности.

Подробнее: Определение уровня защищенности для внешнего доступа

Создание группы

Определите, кто предоставляет разрешения на создание групп: администраторов, сотрудников и /или внешних пользователей. Рассмотрим следующие сценарии.

• Участники арендатора могут создавать группы безопасности Microsoft Entra
• Внутренние и внешние пользователи могут вступать в группы в вашей организации
• Пользователи могут создавать Группы Microsoft 365
• Управление тем, кто может создавать группы Microsoft 365
  • Настройка этого параметра с помощью PowerShell
• Ограничить приложение Microsoft Entra набором пользователей в клиенте Microsoft Entra
• Настройка самостоятельного управления группами в идентификаторе Microsoft Entra
• Устранение неполадок и устранение проблем с группами

Приглашения к группам

В рамках стратегии группы рассмотрите, кто может приглашать людей или добавлять их в группы. Участники группы могут добавлять других участников, или владельцы групп могут добавлять участников. Решите, кто может быть приглашен. По умолчанию внешние пользователи могут быть добавлены в группы.

Назначение пользователей группам

Пользователи назначаются группам вручную на основе атрибутов пользователей в объекте пользователя или назначаются пользователям на основе других критериев. Пользователи назначаются группам динамически на основе их атрибутов. Например, можно назначить пользователей группам на основе следующих элементов:

• Должность или отдел
• Партнерская организация, к которой они принадлежат
  • Вручную или через подключенные организации
• Тип участника или гостевого пользователя
• Участие в проекте
  • Вручную
• Расположение

Динамические группы имеют пользователей или устройства, но не оба. Чтобы назначить пользователей динамической группе, добавьте запросы на основе атрибутов пользователей. На следующем снимке экрана показаны запросы, которые добавляют пользователей в группу, если они являются сотрудниками финансового отдела.

Дополнительные сведения. Создание или обновление динамической группы в идентификаторе Microsoft Entra

Использование групп для одной функции

При использовании групп важно иметь одну функцию. Если группа используется для предоставления доступа к ресурсам, не используйте ее для другой цели. Мы рекомендуем соглашение об именовании групп безопасности, которое делает назначение понятным:

• Безопасный_доступ_к_финансовым_приложениям
• Команда_членство_финансы_команда
• Расположение финансового здания

Типы группы

Вы можете создавать группы безопасности Microsoft Entra и группы Microsoft 365 в портале Azure или в центре администрирования Microsoft 365. Используйте любой тип группы для защиты внешнего доступа.

Группы безопасности Microsoft Entra

Группы безопасности Microsoft Entra могут иметь пользователей или устройства. Используйте эти группы для управления доступом к:

• Ресурсы Azure
  • Приложения Microsoft 365
  • Пользовательские приложения
  • Приложения SaaS, такие как Dropbox ServiceNow
• Данные и подписки Azure
• Службы Azure;

Используйте группы безопасности Microsoft Entra для назначения:

• Лицензии для служб
  • Microsoft 365
  • Dynamics 365
  • Мобильность и безопасность для предприятий
  • См. Назначение или отзыв лицензий для группы в центре администрирования Microsoft 365
• Повышенные права
  • См. Использование групп Microsoft Entra для управления назначениями ролей

Подробнее:

• Управление группами Microsoft Entra и членством в группах
• Командлеты Microsoft Entra версии 2 для управления группами.

Группа безопасности с поддержкой электронной почты

Чтобы создать группу безопасности с поддержкой почты, перейдите к Центр администрирования Microsoft 365. Включите группу безопасности для почты во время создания. Вы не можете включить его позже. Вы не можете создать группу в портале Azure.

Гибридные организации и группы безопасности Microsoft Entra

Гибридные организации имеют инфраструктуру для локальной среды и идентификатора Microsoft Entra. Гибридные организации, использующие Active Directory, могут создавать локальные группы безопасности и синхронизировать их с облаком. Таким образом, в группы безопасности могут добавляться только пользователи в локальной среде.

Группы Microsoft 365

Группы Microsoft 365 — это служба членства для доступа к Microsoft 365. Их можно создать в портале Azure или в центре администрирования Microsoft 365. При создании группы Microsoft 365 вы предоставляете доступ к группе ресурсов для совместной работы.

Подробнее:

• Обзор Группы Microsoft 365 для администраторов
• Создание группы в Центр администрирования Microsoft 365
• Центр администрирования Microsoft Entra
• Центр администрирования Microsoft 365

роли Группы Microsoft 365

• Владельцы групп
  • Добавление или удаление членов
  • Удаление бесед из общей папки "Входящие"
  • Изменение параметров группы
  • Переименование группы
  • Обновление описания или рисунка
• Участники
  • Получите доступ ко всему в группе
  • Не удается изменить параметры группы
  • Может пригласить гостей присоединиться к группе
  • Управление гостевым доступом в группах Microsoft 365
• Гости
  • Члены извне вашей организации
  • Иметь некоторые ограничения в функциональности Teams

Параметры группы Microsoft 365

Выберите псевдоним электронной почты, конфиденциальность и включение группы для команд.

После установки добавьте участников и настройте параметры использования электронной почты и т. д.

Следующие шаги

Используйте следующую серию статей, чтобы узнать о защите внешнего доступа к ресурсам. Мы рекомендуем вам следовать указанному порядку.

1. Определите уровень безопасности при внешнем доступе с помощью Microsoft Entra ID

2. Обнаружение текущего состояния внешней совместной работы в организации

3. Создание плана безопасности для внешнего доступа к ресурсам

4. Защита внешнего доступа с помощью групп в Microsoft Entra ID и Microsoft 365 (Вы здесь)

5. Переход к управляемой совместной работе с Microsoft Entra B2B

6. Управление внешним доступом с помощью управления правами Microsoft Entra

7. Управление внешним доступом к ресурсам с помощью политик условного доступа

8. Управление внешним доступом к ресурсам в идентификаторе Microsoft Entra с помощью меток конфиденциальности

9. Защита внешнего доступа к Microsoft Teams, SharePoint и OneDrive для бизнеса с помощью идентификатора Microsoft Entra

10. Преобразование локальных гостевых учетных записей в гостевые учетные записи Microsoft Entra B2B