Microsoft 365 Guest Users and External Access: La guida completa

Con la sua principale suite di produttività Microsoft 365 (precedentemente conosciuta come Office 365), Microsoft mira a rompere i silos aziendali tradizionali che ostacolano la condivisione dei contenuti e la collaborazione. Le capacità interconnesse di SharePoint Online e OneDrive for Business permettono agli utenti di collaborare con un'ampia gamma di colleghi sia all'interno che all'esterno della loro organizzazione.

Nonostante i suoi vantaggi, la condivisione di file presenta diversi rischi. Cosa succede se i tuoi file vengono condivisi inavvertitamente o deliberatamente con gli utenti sbagliati? E se gli utenti gestiscono in modo inappropriato le informazioni sensibili? Come puoi mantenere il controllo sui tuoi utenti ospiti?

Per mitigare le preoccupazioni di sicurezza legate alla condivisione, è importante capire come configurare i due meccanismi di condivisione in Microsoft 365:

• Accesso ospite: Condivisione di contenuti con membri ospiti nei gruppi di Microsoft 365 o Microsoft Teams
• Condivisione esterna: Collegamenti di condivisione per specifici asset di SharePoint e OneDrive con parti esterne

Questo articolo spiega come gestire utenti ospiti e accesso esterno in Microsoft 365 per garantire la continuità operativa senza compromettere la sicurezza dei vostri dati critici:

• Accesso ospite in Microsoft 365
  • Come abilitare o limitare la funzionalità di Accesso Ospite
  • Come aggiungere un utente ospite a un gruppo
  • Quale livello di accesso ha un utente ospite?
• Condivisione esterna in Microsoft 365: SharePoint Online
  • Come gestire la condivisione su tutto il tenant
    • Utilizzando il SharePoint Admin Center
    • Utilizzando il Microsoft 365 Admin Center
    • Utilizzando Azure AD
  • Come gestire l'accesso a livello di sito in SharePoint Online da parte di utenti esterni
    • Come modificare l'impostazione di condivisione esterna per un sito
    • Come limitare l'accesso a un sito in base al dominio dell'utente
• Condivisione esterna in OneDrive for Business
  • Come gestire la condivisione su tutto il tenant per OneDrive
    • Come configurare la condivisione di OneDrive tramite il SharePoint Admin Center
    • Come configurare la condivisione di OneDrive tramite il OneDrive Admin Center
  • Come gestire la condivisione esterna per un singolo OneDrive
• Come mitigare il rischio di condivisione esterna non autorizzata di dati critici
• FAQ

Accesso ospite in Microsoft 365

Nel back end, i gruppi Microsoft 365 sono oggetti in Azure Active Directory (Azure AD). Ogni oggetto gruppo in Azure AD contiene informazioni identificative uniche quali:

• Informazioni sul proprietario del gruppo
• URL per risorse associate
• Elenco dei membri del gruppo, inclusi eventuali account ospiti

Come abilitare o limitare la funzionalità di Accesso Ospite

Per impostazione predefinita, la funzionalità di accesso ospite è abilitata per un tenant di Microsoft 365, il che significa che un proprietario di un gruppo Microsoft 365 può invitare chiunque disponga di un account email aziendale o personale a diventare membri ospiti del gruppo.

Come amministratore di Microsoft 365, puoi impostare il livello di accesso esterno per il tenant accedendo alla pagina Microsoft 365 Groups nel centro amministrativo di Microsoft 365. Nella sezione Services and Add-ins, puoi controllare se disattivare completamente l'accesso agli ospiti e se ai proprietari dei gruppi è permesso invitare utenti ospiti.

Puoi anche utilizzare PowerShell per limitare la policy sull'accesso degli ospiti. Ad esempio, puoi:

• Impedisci agli utenti ospiti di accedere a un gruppo specifico.
• Blocca gli ospiti esterni da un dominio specifico.

Come aggiungere un utente ospite a un gruppo

Qualsiasi membro del gruppo può nominare un utente esterno per l'Office 365 group come ospite, ma solo il proprietario del gruppo può concedere l'accesso agli ospiti. Il processo di aggiunta di un utente ospite a un gruppo procede come segue:

1. Il proprietario del gruppo o un membro del gruppo utilizza il comando Groups > Add Members per nominare l'utente esterno come membro inserendo l'indirizzo email dell'utente.
2. Il proprietario del gruppo esamina i permessi di accesso che l'ospite riceverebbe unendosi e approva la nomina.
3. L'ospite riceve un'email di benvenuto e può iniziare a partecipare alle attività di gruppo.

Quale livello di accesso ha un utente ospite?

Membri ospiti di un gruppo Microsoft 365:

• Non avere accesso diretto a nessuno dei siti del gruppo, come un sito di team in SharePoint
• Possono partecipare ad attività di gruppo tramite conversazioni e inviti al calendario di gruppo inviati alla loro casella di posta elettronica
• È possibile accedere ai file condivisi inclusi nei messaggi di posta elettronica, come allegati o collegamenti, purché l'amministratore abbia abilitato i necessari permessi di condivisione dei file

Condivisione esterna in Microsoft 365: SharePoint Online

Le capacità di condivisione esterna di SharePoint Online possono essere gestite a due livelli:

• In tutto il tenant di Microsoft 365, tramite il SharePoint Admin Center, il Microsoft 365 admin center o Azure AD
• A livello del sito

Come gestire la condivisione su tutto il tenant

Utilizzando lo SharePoint Admin Center

Per configurare le impostazioni di condivisione esterna per l'intero tenant, vai alla pagina Sharing del centro di amministrazione di SharePoint. La sezione External sharing di questa pagina contiene opzioni che ti permettono di controllare il livello di condivisione su tutto il tenant in SharePoint:

• Solo le persone nella tua organizzazione: Disattiva la condivisione esterna e limita la condivisione solo agli utenti interni. Questa è l'impostazione predefinita per i siti di comunicazione e i siti classici in SharePoint. Come prassi di sicurezza consigliata, si raccomanda di disattivare la condivisione esterna su tutto il tenant selezionando questa opzione.
• Ospiti esistenti: Consenti la condivisione con utenti esterni che sono già stati aggiunti al tuo Azure AD. Gli ospiti esistenti potrebbero essere entrati a far parte del tuo Azure AD accettando un invito alla condivisione in passato o essendo stati aggiunti come utenti ospiti da un amministratore nel portale di Azure. Questa opzione richiede agli ospiti di autenticarsi su Microsoft 365 con credenziali valide prima che possano accedere alle risorse condivise.
• Nuovi ed esistenti ospiti: Concedere ai proprietari dei siti e agli utenti il permesso di controllo completo per condividere i siti con utenti esterni. Gli utenti del sito possono anche condividere file e cartelle per collaborare con utenti esterni.
• Chiunque: Consenti a chiunque disponga del link della risorsa di accedere alla stessa e di inoltrare il link ad altri. Questa opzione è selezionata per impostazione predefinita, ma si raccomanda di modificare l'impostazione di condivisione esterna in Solo persone della tua organizzazione. Attenzione a lasciare selezionata l'opzione Chiunque, poiché apre la porta alla condivisione incontrollata con utenti anonimi e non autenticati e può mettere a rischio dati sensibili.

Se si sceglie di consentire la condivisione con Anyone, è possibile migliorare la gestione dei documenti e la sicurezza configurando queste impostazioni avanzate consigliate:

• Configura i link Anyone per scadere dopo un determinato periodo di tempo.
• Limitare i link per ospiti per consentire solo l'accesso in visualizzazione a file e cartelle.
• Limitare i link predefiniti per essere accessibili solo a Only people in your organization.
• Abilita la funzione ATP safe attachments.
• Limita la condivisione esterna con utenti provenienti da blocked domains.

Utilizzando il Microsoft 365 Admin Center

È possibile configurare anche la condivisione a livello di tenant per SharePoint accedendo al centro di amministrazione di Microsoft 365 e selezionando Settings > Services & add-ins > Sites. Questa pagina consente di configurare le stesse opzioni di condivisione esterna del centro di amministrazione di SharePoint.

Utilizzando Azure AD

Per il massimo livello di controllo sull'accesso esterno a SharePoint, configura le impostazioni di condivisione in Azure AD. Puoi affrontare la configurazione della condivisione di Azure AD in due modi:

• Fai sì che SharePoint utilizzi la propria lista di condivisione esterna, indipendente da Azure B2B, e configura le impostazioni delle relazioni organizzative in Azure AD. Accedi al Portale Azure e seleziona Azure Active Directory > Panoramica > Relazioni organizzative. Vai alla pagina delle Impostazioni e definisci le impostazioni di condivisione esterna di SharePoint online che desideri utilizzare per la tua organizzazione.
• Fai in modo che SharePoint utilizzi le impostazioni di condivisione esterna definite in Azure B2B e configura la collaborazione B2B in Azure AD.

Suggerimento: Le impostazioni di condivisione configurate in Azure AD hanno la precedenza su quelle configurate nel centro amministrativo di Microsoft 365 o nel centro amministrativo di SharePoint. Ad esempio, se si consente la condivisione esterna tramite il centro amministrativo di Microsoft 365 ma si disabilita la condivisione esterna attraverso Azure AD, l'impostazione di Azure AD avrà la precedenza e la condivisione esterna verrà disattivata per la vostra organizzazione.

Come gestire l'accesso a livello di sito in SharePoint Online da parte di utenti esterni

Oltre a configurare le politiche di condivisione su tutto il tenant, è possibile limitare ulteriormente la condivisione esterna per un sito SharePoint specifico. Per fare ciò, è necessario disporre dei privilegi di amministratore globale o di amministratore SharePoint. I proprietari del sito non possono modificare l'impostazione di condivisione esterna per i siti.

Come modificare l'impostazione di condivisione esterna per un sito

1. Nel centro di amministrazione di SharePoint, vai su Sites > Active Sites.
2. Seleziona la casella di controllo accanto al nome del sito.
3. Fai clic sull'icona “i” nell'angolo in alto a destra della pagina.
4. Seleziona il livello di condivisione desiderato dall'elenco delle opzioni di condivisione. Queste sono le stesse quattro opzioni di condivisione disponibili per la configurazione su tutto il tenant.

Suggerimento: L'impostazione della condivisione esterna per un sito specifico deve essere uguale o più restrittiva rispetto all'impostazione a livello di tenant. Ad esempio, se la condivisione su tutto il tenant è limitata a Existing guests, l'impostazione di condivisione per un sito specifico può essere modificata in Solo persone della tua organizzazione, ma non può essere cambiata in un'opzione più permissiva come Anyone.

In un altro caso d'uso tipico, un amministratore globale o SharePoint deve limitare gli utenti esterni in un certo dominio di rete dall'accesso a un sito specifico. Ad esempio, gli utenti del dominio Client A non dovrebbero poter accedere a un sito specificamente progettato per la condivisione collaborativa con il Client B.

Come limitare l'accesso a un sito in base al dominio dell'utente

1. Nel centro di amministrazione di SharePoint, vai su Sites > Active Sites.
2. Seleziona la casella di controllo accanto al nome del sito.
3. Vai alla scheda Policies.
4. Sotto External sharing, clicca su Modifica.
5. Sotto Advanced settings for external sharing, seleziona la casella accanto a Limit external sharing by domain.
6. Clicca su Add domains.
7. Seleziona Consenti solo domini specifici.
8. Inserisci il nome di dominio completo (FQDN) di ogni dominio che desideri aggiungere alla lista dei permessi. Solo gli utenti dei domini elencati saranno idonei per ricevere inviti al sito.

Condivisione esterna in OneDrive for Business

OneDrive for Business è un repository personale che le persone possono utilizzare per memorizzare e sincronizzare file su più dispositivi. In questo senso, OneDrive funziona come una directory personale o un'unità mappata personale che consente agli utenti di salvare file nello spazio di archiviazione cloud e recuperarli da qualsiasi dispositivo.

Molti clienti utilizzano anche OneDrive per condividere elementi con altri utenti, anche se OneDrive non è stato effettivamente progettato per questo scopo. Come amministratore, puoi decidere il livello di accesso che gli utenti esterni hanno ai file OneDrive nella tua organizzazione.

Come gestire la condivisione su tutto il tenant per OneDrive

Le impostazioni di condivisione su tutto il tenant si applicano a tutte le istanze di OneDrive per gli utenti nel tuo account Microsoft 365. Esistono due portali tramite i quali puoi configurare queste impostazioni di condivisione per OneDrive:

• La pagina Sharing nel centro di amministrazione di SharePoint (Microsoft consiglia di utilizzare questa pagina per configurare le impostazioni di condivisione di OneDrive)
• La pagina Sharing nel OneDrive admin center

Come configurare la condivisione di OneDrive tramite il SharePoint Admin Center

Segui le istruzioni e le linee guida descritte in precedenza in “How to Manage Tenant-Wide Sharing Through SharePoint Admin Center.” OneDrive offre le stesse quattro opzioni di condivisione di SharePoint.

Suggerimento: Il livello di condivisione per OneDrive deve essere uguale o più restrittivo rispetto al livello di condivisione per SharePoint. Ad esempio, se la condivisione su tutto il tenant in SharePoint è impostata su Existing guests, puoi configurare OneDrive per utilizzare la stessa impostazione o l'impostazione più restrittiva Solo persone nella tua organizzazione.

Come configurare la condivisione di OneDrive tramite il OneDrive Admin Center

1. Accedi al OneDrive admin center.
2. Naviga verso la sezione Sharing

Qui, puoi impostare il livello di condivisione esterna per OneDrive e configurare controlli di condivisione più dettagliati come:

• Il tipo di link generato per impostazione predefinita quando un utente condivide un file
• Il periodo di scadenza per i link
• Se consentire la modifica e il caricamento di privilegi per i link che condividono file o cartelle OneDrive esternamente
• Domini specifici da consentire o bloccare per la ricezione di inviti alla condivisione da parte degli utenti
• Se gli utenti esterni devono utilizzare lo stesso account per ricevere e accettare inviti alla condivisione
• Se gli utenti esterni possono condividere contenuti di cui non sono proprietari
• Se i proprietari dei contenuti possono verificare l'elenco degli utenti che hanno visualizzato i loro contenuti

Come gestire la condivisione esterna per un singolo OneDrive

Per personalizzare il livello di condivisione per l'OneDrive di un utente specifico, utilizza il centro di amministrazione di Microsoft 365:

1. Accedi al centro di amministrazione di Microsoft 365 con privilegi di amministratore globale o di amministratore SharePoint.
2. Vai su Utenti > Utenti attivi.
3. Seleziona l'utente OneDrive per il quale vuoi cambiare il livello di condivisione.
4. Vai alla scheda OneDrive.
5. Seleziona Manage sharing nella sezione Sharing.
6. Configura il livello di condivisione esterna e salva le modifiche.

Suggerimento: Il livello di condivisione esterna per un singolo OneDrive deve essere uguale o più restrittivo rispetto al livello di condivisione configurato per OneDrive su base tenant.

Come mitigare il rischio di condivisione esterna non autorizzata di dati critici

Classificare i tuoi dati ti aiuterà a comprendere dove risiedono i tuoi dati critici, inclusa la possibilità che un particolare sito di SharePoint Online o una raccolta di siti o una cartella di OneDrive for Business condivisa con utenti esterni contenga dati sensibili. Questa consapevolezza ti permetterà di impostare la condivisione esterna in base alla sensibilità e al valore dei dati ivi memorizzati.

Per garantire una scoperta e classificazione dei dati completa e accurata, scegli una soluzione avanzata come Netwrix Data Classification. Il suo tagging automatico e altamente preciso dei dati ti permette di scegliere le impostazioni di condivisione appropriate e consente anche agli utenti di trovare facilmente i dati di cui hanno bisogno. Il tagging migliorerà anche l'efficacia della data loss prevention (DLP), della gestione dei diritti informativi, della records management e di altre soluzioni di data governance che la tua organizzazione sta già utilizzando o prevede di implementare. Puoi anche impostare flussi di lavoro che sposteranno automaticamente i dati troppo esposti dai repository di SharePoint Online e OneDrive for Business in un'area di quarantena designata.

FAQ

Chi sono gli utenti ospiti in Microsoft 365?

Un ospite è qualsiasi utente esterno al quale il proprietario di un gruppo Microsoft 365 ha concesso il permesso di partecipare a conversazioni di gruppo, inviti al calendario, condivisione di file e attività del taccuino. Gli utenti ospiti di Microsoft 365 sono gli stessi degli utenti ospiti di Office 365.

Cos'è la condivisione esterna in Microsoft 365?

La condivisione esterna si riferisce alla capacità degli utenti di SharePoint Online e OneDrive di condividere link di accesso a file e cartelle con utenti esterni. I proprietari di siti SharePoint possono anche condividere l'accesso al sito con utenti esterni.

Come posso ottenere un elenco degli utenti ospiti nel mio tenant di Microsoft 365?

Puoi:

• Visita la pagina Guests nel centro di amministrazione di Microsoft 365.
• Utilizza PowerShell per Azure AD ed esegui uno script che utilizza sistematicamente il cmdlet Get-AzureADuser e esporta l'elenco degli utenti ospiti in un file CSV.

Come faccio a scoprire quali utenti esterni hanno accesso a SharePoint Online?

Scarica lo SharePoint Search Query Tool e segui il processo descritto in questo Microsoft support article per ottenere un elenco di tutte le risorse a cui gli utenti esterni hanno accesso.

Posso limitare la condivisione esterna dei file in Microsoft 365?

Sì, è possibile disattivare completamente la condivisione esterna per la propria organizzazione. Esistono anche modi per limitare la condivisione esterna. Ad esempio, è possibile:

• Condividi solo con ospiti di Azure AD che forniscono credenziali di autenticazione valide
• Configura i link di condivisione file con permessi di sola visualizzazione
• Blocca gli utenti in specifici domini di rete dal ricevere inviti alla condivisione

Come gestisco la condivisione esterna in Microsoft 365?

Come amministratore globale o amministratore di SharePoint, puoi gestire la condivisione esterna utilizzando PowerShell o uno dei seguenti portali:

• Centro di amministrazione SharePoint
• Microsoft 365 admin center
• Centro di amministrazione di OneDrive
• Azure Portal