ИТ-администраторы — управление внешними собраниями и чат с пользователями и организациями с помощью удостоверений Майкрософт

В этом разделе вы можете настроить:

• Собрания и чаты с доверенными организациями Microsoft 365
• Chat с внешними пользователями Teams, не управляемыми организацией
• Chat и звонки с пользователями Skype
• Блокировка внешних пользователей

Эти параметры также можно настроить с помощью PowerShell

Указание доверенных организаций Microsoft 365

Для собраний и чатов с другими организациями Microsoft 365 вы можете указать, каким доменам вы хотите доверять. По умолчанию все внешние домены разрешены. Вы можете разрешить или заблокировать определенные домены, чтобы определить, каким организациям организации разрешено использовать внешние собрания и чаты.

Чтобы общаться в чате и встречаться с людьми во внешних доменах, организации, которым вы доверяете, также должны доверять вашей организации, а их пользователям должен быть разрешен внешний доступ. В противном случае они не смогут общаться в чате с пользователями в вашей организации и будут считаться анонимными при присоединении к собраниям, проводимым вашей организацией. Узнайте больше о собраниях с другими организациями Microsoft 365.

Вы можете указать, какие домены разрешены, а какие заблокированы. Если вы укажете заблокированные домены, все остальные домены будут разрешены; Если указать разрешенные домены, все остальные домены будут заблокированы. Существует четыре сценария настройки доверенных организаций:

• Разрешить все внешние домены: настройка по умолчанию в Teams, которая позволяет пользователям вашей организации находить, звонить, общаться и назначать встречи с людьми, не входящими в вашу организацию, в любом домене.

  В этом сценарии ваши пользователи могут общаться со всеми внешними доменами, в которых работает Teams или Skype для бизнеса, если другая организация также включила внешний доступ.

• Разрешить только определенные домены. Добавляя домены в список разрешений, вы ограничиваете внешний доступ только разрешенными доменами. После настройки списка разрешенных доменов все остальные домены блокируются.

• Блокировка определенных доменов: добавив домены в список блокировки , вы можете взаимодействовать со всеми внешними доменами, кроме заблокированных. После настройки списка заблокированных доменов все остальные домены будут разрешены.

• Блокировка всех внешних доменов: запрещает пользователям в вашей организации находить, звонить, общаться в чатах и назначать собрания с людьми, не входящими в вашу организацию, в любом домене.

Чтобы разрешить определенные домены, выполните следующие действия:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.

2. Для пользователей Teams и Skype для бизнеса во внешних организациях выберите Разрешить только определенные внешние домены.

3. Выберите "Добавить внешние домены".

4. В поле "Домен " введите домен, который необходимо разрешить, и нажмите "Готово".

5. Если вы хотите разрешить другой домен, введите данные в другом домене.

6. Выберите "Готово".

Чтобы заблокировать определенные домены, выполните следующие действия.

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.

2. Рядом с пользователями Teams и Skype для бизнеса во внешних организациях выберите Блокировать только определенные внешние домены.

3. Выберите Блокировать внешние домены.

4. В поле "Домен " введите домен, который необходимо разрешить, и нажмите "Готово".

5. Если вы хотите заблокировать другой домен, введите данные в другом домене.

6. Выберите "Готово".

По умолчанию при блокировке доменов поддомены не блокируются. Например, если вы заблокируете contoso.com, marketing.contoso.com не будет заблокирован. Если вы хотите заблокировать все поддомены, вы можете использовать командлет PowerShell Set-CsTenantFederationConfiguration с этим параметром -BlockAllSubdomains . Например:

Set-CsTenantFederationConfiguration -BlockAllSubdomains $True

Блокировать федерацию с клиентами Teams, доступными только для пробных версий

Вы можете управлять внешним доступом организации с помощью клиентов только пробных версий Teams (у которых нет приобретенных лицензий) с помощью параметра -ExternalAccessWithTrialTenants PowerShell (требуется версия не ниже 6.4.0).

Значение по умолчанию для этого параметра — Blocked, но вы можете переопределить его в Allowed с помощью следующей команды:

Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Allowed"

Чтобы заблокировать внешний обмен данными с клиентами только для пробной версии, используйте следующую команду:

Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Blocked"

Если установлено значение "Заблокировано", пользователи из этих пробных клиентов не могут выполнять поиск и связываться с вашими пользователями через чаты, звонки Teams и собрания (используя удостоверения пользователей, прошедших проверку подлинности), и ваши пользователи не могут связаться с пользователями в этих пробных версиях клиентов. Пользователи из клиента только с пробной версией также удаляются из существующих чатов.

Пользователи из клиентов, использующих только пробную версию, по умолчанию заблокированы (без возможности переопределения) от внешнего общения с пользователями в других облачных средах Microsoft 365 и с пользователями сервера Microsoft Skype для бизнеса. Два клиента только с пробными подписками могут объединяться в федерацию, если значение параметра -ExternalAccessWithTrialTenants разрешено обоими клиентами.

Средство диагностики

Если вы администратор, вы можете использовать следующее средство диагностики, чтобы проверить, может ли пользователь Teams общаться с пользователем Teams в доверенной организации:

1. Выберите "Выполнить тесты", чтобы заполнить диагностику в Центре администрирования Microsoft 365:

   Выполнить тесты: доверенные организации Teams

2. В области запуска диагностики введите Адрес протокола SIP сеанса и Доменное имя федеративного клиента, а затем выберите Выполнить тесты.

3. Тесты возвращают наилучшие дальнейшие действия для устранения любых настроек или конфигураций политик, которые препятствуют обмену данными с внешним пользователем Teams.

Skype для бизнеса Online

Если вы хотите, чтобы чаты и звонки поступали в клиент Skype для бизнеса пользователя, настройте для пользователей любой режим, отличный от TeamsOnly. Дополнительные сведения см. в статье Общие сведения о сосуществовании и взаимодействии Microsoft Teams и Skype для бизнеса.

Управление чатами и собраниями с внешними пользователями Teams, не управляемыми организацией

Вы можете включить или отключить чаты и собрания с внешними неуправляемыми пользователями Teams (пользователями, не управляемыми организацией, например Microsoft Teams (бесплатная версия)). Если этот параметр включен, вы также можете указать, могут ли пользователи с неуправляемыми учетными записями Teams начинать чаты и собрания с пользователями в вашей организации.

Чтобы разрешить чаты и собрания с неуправляемыми учетными записями Teams:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.
2. Включите параметр "People в моей организации может общаться с неуправляемыми учетными записями Teams".
3. Если вы хотите разрешить внешним неуправляемым пользователям Teams начинать беседу, установите флажок Внешние пользователи с учетными записями Teams, не управляемыми организацией, могут связываться с пользователями в моей организации .
4. Нажмите Сохранить.

Если параметр "Внешние пользователи с учетными записями Teams, не управляемыми организацией, могут связываться с пользователями в моей организации " отключен, неуправляемые пользователи Teams не смогут выполнять поиск пользователей в вашей организации по адресу электронной почты. Пользователи в вашей организации должны инициировать все сеансы обмена данными с неуправляемыми пользователями Teams.

Чтобы запретить чат с неуправляемыми учетными записями Teams:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.
2. Отключите параметр "People в моей организации может взаимодействовать с неуправляемыми учетными записями Teams".
3. Нажмите Сохранить.

Управление чатом и звонками с пользователями Skype

Выполните следующие действия, чтобы пользователи Teams в вашей организации общались и общались с пользователями Skype. Пользователи Teams могут затем искать и начинать индивидуальную текстовую беседу или аудио- / видео вызов с пользователями Skype и наоборот.

Собрания не поддерживаются пользователями Skype. Если пользователь приглашен на собрание, он считается анонимным при присоединении.

Чтобы настроить чат и звонки с пользователями Skype:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.

2. Включите или выключите параметр "Разрешить пользователям в моей организации общаться с пользователями Skype ".

   

3. Нажмите Сохранить.

Чтобы узнать больше о способах взаимодействия пользователей Команд и пользователей Skype, в том числе о применяемых ограничениях, см. Совместимость Teams и Skype.

Блокировка внешних пользователей

Вы можете запретить совместную работу определенных внешних пользователей с вашей организацией. Если пользователь добавлен в список блокировки, ваша организация не сможет иметь личные и групповые чаты с этими пользователями. Если чаты уже существуют до добавления пользователя в список блокировки, заблокированный пользователь удаляется из чата. По умолчанию эта функция отключена.

Чтобы включить и настроить список заблокированных пользователей, выполните следующие шаги:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.

2. Включите параметр "Запретить общение определенных пользователей с сотрудниками моей организации ".

3. Добавить пользователей в список блокировки, нажав кнопку "Заблокировать пользователя ".

4. В поле "Пользователь" введите адрес электронной почты пользователя, которого нужно заблокировать, а затем нажмите кнопку "Применить ". Нажмите кнопку "Отмена ", чтобы выйти без каких-либо действий. Необходимо ввести действительный индивидуальный адрес электронной почты или идентификатор ресурса обмена сообщениями (MRI).

   

5. Если вы хотите заблокировать другого пользователя, выберите "Добавить пользователей ", а затем кнопку "Применить ". В этот список можно ввести не более 200 пользователей.

   

Администраторы могут настраивать параметры блокировки пользователей с помощью командлета PowerShell Set-CsTeamsExternalAccessConfiguration .

Разрешить команде безопасности управлять заблокированными доменами

Администраторы Microsoft Teams могут предоставить администраторам безопасности управление заблокированными внешними доменами на портале безопасности Microsoft Defender для Office. Эта функция использует функцию списка разрешенных или заблокированных клиентов специально для Teams. Если эта функция включена, администраторы безопасности могут просматривать, добавлять и удалять заблокированные внешние домены. Эти действия выполняются на портале Microsoft Defender и блокируют входящие сообщения (включая чаты, собрания и звонки) из указанных доменов.

Чтобы включить эту функцию, выполните следующие шаги:

Центр администрирования Teams.

1. Войдите в Центр администраторов Teams на странице https://admin.teams.microsoft.com.
2. В области навигации слева выберите "Пользователи>— внешний доступ".
3. Включите параметр "Разрешить команде безопасности управлять заблокированными доменами".

Портал Microsoft Defender:

1. На портале Microsoft Defender по адресу https://security.microsoft.com, перейдите к Email & совместной работе>Политики & правила>Политики угроз> Раздел >правилСписки разрешенных и заблокированных клиентов.
2. Откройте вкладку "Домены Teams ".
3. При необходимости добавьте внешние домены, чтобы заблокировать обмен данными.

Предварительные требования:

• Microsoft Defender для Office 265 (план 1 или 2).
• Параметр клиента внешнего доступа Teams, настроенный как один из следующих вариантов:
  • Блокировка только определенных внешних доменов
  • Разрешить все внешние домены

Списки заблокированных доменов в Центре администрирования Teams и на портале безопасности Microsoft Defender совпадают.

Настройка параметров организации с помощью PowerShell

Доверенные организации можно настроить с помощью командлета Set-CsTenantFederationConfiguration .

В следующей таблице показаны параметры командлетов, используемые для настройки доверенных организаций.

Chat с пользователями Teams, не управляемыми организацией, и пользователями Skype можно настроить с помощью командлета Set-CsTenantFederationConfiguration.

В следующей таблице показаны параметры командлетов, используемые для настройки чата с пользователями Skype и неуправляемыми пользователями Teams.

Для запуска этих командлетов необходимо подключиться к Microsoft Teams PowerShell. Дополнительные сведения см. в статье Управление Teams с помощью Microsoft Teams PowerShell.

Если вы включили один из параметров внешнего доступа для организации, вы можете указать, какие пользователи в организации могут общаться в чате или встречаться с людьми из-за пределов организации, используя политику внешнего доступа (оба эти параметра должны быть включены, чтобы пользователи могли общаться в чате или встречаться с людьми из-за пределов вашей организации).

Для организаторов собрания, которым не предоставлен внешний доступ, участники собрания из других организаций считаются анонимными при присоединении к их собраниям.

Параметры внешнего доступа вашей организации могут переопределять политики внешнего доступа.

В этом разделе вы можете настроить следующие параметры:

• Политики внешнего доступа в Центре администрирования Teams
• Политики внешнего доступа с использованием PowerShell
• Детализированный домен в политиках внешнего доступа

Настройка политик внешнего доступа в Центре администрирования Teams

Вы можете управлять параметрами внешнего доступа всей организации, выполнив следующие действия:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.
2. Перейдите на вкладку "Политики ".
3. В списке политик выберите параметры по умолчанию для всей организации.
4. Настройте параметры так, как вам нужно.
5. Нажмите Сохранить.

Если вы хотите создать настраиваемую политику, выполните следующие действия:

1. В Центре администрирования Teams перейдите в раздел Пользователи>Внешний доступ.
2. Перейдите на вкладку "Политики ".
3. Выберите + Добавить.
4. Введите имя и описание политики.
5. Настройте параметры так, как вам нужно.
6. Нажмите Сохранить.

Затем вы можете назначить эту политику определенным пользователям или группам. Сведения о назначении и удалении политик для пользователей и групп, см. в статье Назначение политик пользователям и группам.

Настройка политик внешнего доступа с помощью PowerShell

Политики внешнего доступа настраиваются с помощью командлета Set-CsExternalAccessPolicy .

В следующей таблице показаны параметры командлетов, используемые для настройки пользователей, которые могут общаться в чате и встречаться с людьми из-за пределов вашей организации.

Чтобы ограничить внешние собрания и чаты определенными пользователями, вы должны:

• Отключите элемент управления для политики по умолчанию для всей организации.
• Создайте новую политику с включенным элементом управления и назначьте ей соответствующих пользователей.

Вы можете использовать следующий пример сценария, подставив параметр для элемента управления, который вы хотите изменить, PolicyName — для имени, которое вы хотите присвоить политике, и UserName для каждого пользователя, для которого вы хотите включить или отключить внешний доступ.

Перед запуском скрипта убедитесь, что установлен модуль PowerShell в Microsoft Teams .

Connect-MicrosoftTeams

# Disable external access globally
Set-CsExternalAccessPolicy -<parameter> $false

# Create a new external access policy
New-CsExternalAccessPolicy -Identity <PolicyName> -<parameter> $true

# Assign users to the policy
$users_ids = @("<UserName1>", "<UserName2>")
New-CsBatchPolicyAssignmentOperation -PolicyType ExternalAccessPolicy -PolicyName "<PolicyName>" -Identity $users_ids

Параметры для настройки внешнего доступа:

• EnableFederationAccess — управляет чатом и собраниями с другими организациями Microsoft 365
• EnableTeamsConsumerAccess — управляет чатом с пользователями Teams, не управляемыми организацией

Например, чтобы включить связь с внешними пользователями Teams, не управляемыми организацией:

Connect-MicrosoftTeams

Set-CsExternalAccessPolicy -EnableTeamsConsumerAccess $false

New-CsExternalAccessPolicy -Identity ContosoExternalAccess -EnableTeamsConsumerAccess $true

$users_ids = @("MeganB@contoso.com", "AlexW@contoso.com")

New-CsBatchPolicyAssignmentOperation -PolicyType ExternalAccessPolicy -PolicyName "ContosoExternalAccess" -Identity $users_ids

Новую политику можно просмотреть, запустив Get-CsExternalAccessPolicy.

Другие примеры составления списка пользователей см. в статье New-CsBatchPolicyAssignmentOperation .

Настройка детализированных доменов в политиках внешнего доступа

Политики внешнего доступа обеспечивают детальное управление внешней совместной работой в Microsoft Teams. Эта функция позволяет создавать настраиваемые политики, определяющие, какие внешние домены можно разрешить или заблокировать для пользователей и групп в организации. В отличие от параметров организации, применяемых ко всем, эти политики могут наследовать список доменов организации или определять совершенно другие списки доменов для конкретных пользователей и групп.

Чтобы пользователь мог общаться с внешними доменами, должны выполняться следующие утверждения:

• Параметр "Управление внешними доменами" на уровне организации должен быть включен.
• Политика разрешает и запрещает внешние домены должна быть назначена пользователю или группе.
• Внешняя организация также должна разрешить федерацию с вашей организацией.

Сведения о том, какие параметры домена вступают в силу:

• Настраиваемая политика, назначенная пользователю: значение параметра "Разрешить или блокировать внешние домены " в настраиваемой политике имеет приоритет над параметрами организации.
• Настраиваемая политика не назначена: пользователь наследует параметры организации
• Глобальная (по умолчанию для всей организации) политика: не может быть изменена; Всегда устанавливайте значение "Использовать параметры организации".

Методы управления доменами в политике внешнего доступа описаны в следующем списке:

• Использовать параметры организации: наследует параметры глобальной федерации организации. Эта конфигурация используется по умолчанию.
• Разрешить все внешние домены: разрешает взаимодействие с любым внешним доменом без ограничений.
• Разрешить только определенные внешние домены: ограничивает обмен данными только с доменами, указанными в списке разрешенных.
• Блокировать только определенные внешние домены: запрещает взаимодействие с доменами, перечисленными в списке заблокированных, в то время как все остальные разрешены.
• Блокировка всех внешних доменов: полное ограничение взаимодействия с внешним доменом для назначенных пользователей.

При использовании списков разрешенных или запрещенных списков в каждой политике количество доменов ограничено 100.

Настройка гранулярной федерации в политиках внешнего доступа с помощью Центра администрирования Teams

1. Войдите в Центр администраторов Teams на странице https://admin.teams.microsoft.com.
2. В области навигации слева выберите "Пользователи>"Внешний доступ.
3. Перейдите на вкладку "Политики ".
4. Щелкните, чтобы добавить политику или изменить существующую.
5. Включите управление внешними доменами для этой политики , чтобы разрешить федерацию в политике.
6. Выберите Разрешить или заблокировать внешние домены, чтобы настроить управление доменами в политике.
7. Нажмите кнопку "Сохранить", чтобы применить изменения.

Настройка гранулярной федерации в политиках внешнего доступа с помощью PowerShell

1. Прежде чем продолжить, убедитесь, что AllowFederatedUsers в TenantFederationConfiguration параметрах клиента установлено значение $True. Если этот параметр отключен ($False), детализированные элементы управления доменом, определенные в ваших политиках, не будут работать.

   Connect-MicrosoftTeams
   
   Set-CsExternalAccessPolicy -EnableFederationAccess $True
   

2. Включите управление внешним доменом для политики внешнего доступа:

   Connect-MicrosoftTeams
   
   Set-CsExternalAccessPolicy -EnableFederationAccess $True
   

3. Управляйте внешними организациями с помощью этой политики одним из следующих способов (CommunicationWithExternalOrgs):

   • Использовать параметры организации (OrganizationDefault): наследует параметры глобальной федерации организации (TenantFederationConfiguration). Эта конфигурация используется по умолчанию.
   • Разрешить все внешние домены (AllowAllExternalDomains): разрешает взаимодействие с любым внешним доменом без ограничений.
   • Разрешить определенные внешние домены (AllowSpecificExternalDomains): ограничивает взаимодействие только доменами, указанными AllowedExternalDomains в списке.
   • Блокировать определенные внешние домены (BlockSpecificExternalDomains): Запрещает взаимодействие с доменами, перечисленными в списке, BlockedExternalDomains и разрешает все остальные.
   • Блокировка всех внешних доменов: полное ограничение взаимодействия с внешним доменом для назначенных пользователей.

   При использовании AllowSpecificExternalDomains или BlockSpecificExternalDomains каждой политике можно указать не более 100 доменов в списке (разрешенных или заблокированных).

   Для глобальной политики (по умолчанию для всей организации) CommunicationWithExternalOrgs можно задать только значение OrganizationDefault.

   В следующем примере разрешаются Contoso и Fabrikam и блокируются все другие организации:

   Set-CsExternalAccessPolicy -Identity ExampleWithAllowedSpecificDomains -CommunicationWithExternalOrgs "AllowSpecificExternalDomains" -AllowedExternalDomains @("contoso.com", "fabrikam.com")
   

   В следующем примере разрешены все домены:

   Set-CsExternalAccessPolicy -Identity ExampleWithAllAllowedDomains -CommunicationWithExternalOrgs
   

   В следующем примере создается новая политика, в которой example1.com блокируется, а все остальные разрешены:

   New-CsExternalAccessPolicy -Identity BlockSpecificExample -CommunicationWithExternalOrgs "BlockSpecificExternalDomains" -BlockedExternalDomains @("example1.com")
   

4. Убедитесь, что ваши параметры применяются, выполнив команду Get-CsExternalAccessPolicy.

5. Назначьте политику пользователям и группам. Имейте в виду, что пользователи или группы, назначенные политике, взаимодействуют с доменами, указанными в политике, а не с доменами, определенными в параметрах организации.

В следующей таблице показаны параметры командлетов, используемые для настройки детализированных доменов в политике внешнего доступа.

Соответствие требованиям и внешний доступ

См. следующие ссылки, чтобы понять, как внешний доступ сочетается с функциями соответствия требованиям в Microsoft 365.

• Обнаружение электронных данных во внешней среде доступа и в гостевой среде

• Хранение сообщений для пользователей внешнего доступа

• Защита от потери данных и Microsoft Teams

Статьи по теме

Использование гостевого и внешнего доступа для совместной работы с людьми из-за пределов организации

Поиск событий Microsoft Teams в журнале аудита

Set-CsTenantFederationConfiguration

Set-CsExternalAccessPolicyУправление разрешениями и блокировками в списке разрешенных и заблокированных клиентов