Microsoft Teams中的外部用户与访客访问：完整指南

Microsoft Teams是面向Microsoft 365用户的、设备无关的“一体化”云协作平台。凭借开放且灵活的权限策略，Teams让你可以与组织内部和外部的其他用户进行沟通并共享内容。

然而，外部协作会带来安全方面的担忧，包括文件共享失控以及敏感数据泄露的风险。幸运的是，Microsoft 提供了一系列配置选项，让你能够以更安全的方式将 Teams 环境的部分内容提供给外部用户访问。

在不断变化、日益依赖远程沟通的工作环境中，你可以使用 Teams，在不牺牲安全性的前提下发挥云的强大能力。本文将带你了解一些用于配置 Teams 外部共享功能的安全最佳实践。

在 Microsoft Teams 中，访客访问（guest access）和外部访问（external access）有什么区别？

Microsoft 提供了两种不同的方式，用于与 Microsoft Teams 的外部用户进行沟通与协作。你可以根据外部协作需求，选择其中一种、两种都启用，或都不启用这些访问方式。

• 访客访问 — 允许组织外部的用户成为几乎等同于正式团队成员的人：他们可以进行通话、参与聊天、安排会议并访问共享文件。团队所有者可以按个人为单位添加访客。当你希望向外部用户授予与本地团队成员相同的 Teams 活动、频道和共享资源的访问权限时，请使用访客访问。
• 外部访问 (联合)：允许来自指定外部域的 Teams 用户查找、聊天、通话，并向组织内的人员发送会议邀请。来自外部的联合用户无法访问你的内部 Teams 活动或资源。当你希望在 Skype for Business 上与外部用户进行协作，或希望阻止外部用户访问 Teams 内容时，请使用外部访问。

有关这些访问方式的更多详细信息，请查看此 对比图表。

Microsoft Teams 中的访客访问

访客访问是 Teams 中一项覆盖整个租户的功能，默认情况下处于禁用状态。

启用访客访问后，组织外部任何拥有企业或个人电子邮件帐户的人都可以成为访客。符合条件的访客会从团队所有者处收到一封电子邮件邀请。收到邀请后，访客只需点击 Open Microsoft Teams ，即可在以访客用户权限被添加到该团队中。

Microsoft Teams 中访客访问的功能

访客可以聊天、进行通话，并参与频道对话。他们还可以创建频道并共享文件。然而，访客无法访问组织团队成员可使用的其他功能，例如 OneDrive for Business 和 Teams 日历。

如需查看 Teams 中访客用户的完整功能与限制列表，请参阅此 capabilities table。

团队所有者可以添加任意数量的访客，但最多不超过由 Azure Active Directory（Azure AD）许可证规定的限制。访客访问受 Azure AD 和 Microsoft 365（原名 Office 365）的服务限制所管控。

出于安全考虑，Microsoft 会使用与 Microsoft 365 其他部分相同的合规性与审计保护来覆盖 Teams 的访客账户。

Microsoft Teams 中的访客访问管理

要在 Teams 中启用并管理访客访问，您必须具备全局管理员（Global Administrator）或 Teams 管理员（Teams Administrator）的权限。启用访客访问后，该更改将需要 2–24 小时才能在整个 Microsoft 365 租户中生效。

有四个独立的配置门户可用于管理 Teams 中的访客访问。每个门户都控制访客体验的不同授权级别：

• Azure AD — 在目录、租户和应用程序级别授权访客访问。
• Microsoft 365 Groups — 授权访客访问 Microsoft 365 组和 Teams（Teams 中的每个团队都基于底层的 Microsoft 365 组）
• Microsoft Teams — 仅授权访客访问 Teams
• SharePoint Online and OneDrive for Business：授权访客访问 SharePoint、OneDrive、Microsoft 365 组和 Teams（SharePoint 配置决定 Teams 中访客的文件共享体验）

根据授权级别，各门户中的访客访问配置会对其他门户中的配置产生依赖关系和影响。例如，如果在 Azure AD 级别禁用外部共享，则 Teams 中的访客访问也会被禁用。如果在 Azure AD 中启用共享，并在 Teams 管理中心中启用访客访问，但在 SharePoint 中禁用外部共享，那么访客可以加入团队，但对共享的团队文件的访问将受到限制。

如何在 Teams 管理中心配置来宾访问

请按以下步骤在 Teams 管理中心启用并设置来宾权限：

1. 使用 Teams 管理员权限登录到 Teams 管理中心。
2. 导航到 全局设置 > 来宾访问。
3. 将 允许 Microsoft Teams 中的来宾访问 切换开关设置为 启用。此设置将启用来宾访问功能。
4. 使用以下 Calling、 Meeting 和 Messaging 部分下的控件，微调授予访客的特定功能。可配置的功能包括：

• 私密点对点通话
• 在通话和会议中使用 IP 视频
• 屏幕共享
• 立即会议（让用户可在对话上下文中立即开始会议）
• 编辑已发送的消息
• 聊天
• Giphy（允许用户分享具有指定内容分级的动画 GIF）
• 对话中的表情包使用
• 对话中的贴纸使用

1. 点击 Save 以应用配置。

Microsoft Teams 中的外部访问

默认情况下，Teams 租户范围内已完全启用外部访问。“open federation”（开放联合）这一默认设置允许来自任何外部域的 Teams 用户使用电子邮件地址查找并联系你组织中的团队成员。

三种外部访问配置如下：

• Open federation（默认设置）— 允许来自任何域的外部访问
• 仅允许特定域 — 仅允许来自指定域的外部访问
• 阻止特定域 — 阻止来自指定域的外部访问，并允许来自所有其他域的访问

如需将外部访问配置从默认设置更改，请执行以下步骤：

1. 在 Microsoft Teams 管理中心中，转到 组织范围设置 > 外部访问。
2. 将 用户可以与其他 Skype for Business 和 Teams 用户通信 选项切换为 启用。
3. 要允许或阻止特定域名，请单击 添加域名。指定域名名称，然后将其添加到“允许”或“阻止”列表中。
4. 保存你的更改。你刚刚配置了外发联合身份。
5. 与其他组织中的 Teams 管理员协作以配置传入联合身份。 例如，请确保他们已将你的业务域添加到其“允许”列表中。
6. 使用 Teams 应用测试配置：查找并向已联合的外部 Teams 用户发送聊天请求，然后让外部用户向你发送 Teams 聊天请求。 如果你们双方都收到请求，则说明联合身份已成功配置。

Microsoft Teams 中访客和外部访问的安全最佳实践

请遵循以下基本建议，以优化对组织团队进行的访客访问与外部访问的安全性和管理：

• 贯彻principle of least privilege：仅为本团队成员（原生成员和访客成员）完成工作所必需的最低级别访客权限。
• 确保你在 Microsoft 365 群组、SharePoint Online 以及 Microsoft 365 管理中心中的共享设置，支持你计划的访客权限级别。
• 通过配置 Azure AD 中的外部协作设置，定义谁有权限邀请访客加入 Teams — 管理员、非管理员，甚至访客。
• 限制可以邀请访客的用户数量的另一种方法，是定义一个仅由具有“创建群组”权限的用户组成的 Microsoft 365 群组；只有获得授权的用户才可以创建团队并添加成员或访客。
• 为单个团队配置访客权限：
  1. 在 Teams 应用中，点击左侧功能区里的 Teams 。
  2. 选择该团队，然后转到 更多选项 (…) > 管理团队。
  3. 进入 设置 > 访客权限，然后使用这些设置来定义访客对团队频道拥有多少控制权。
• 通过使用例如 数据隐私 这类解决方案对内容进行分类来保护 Netwrix Data Classification。该解决方案可让您创建工作流，用于规定敏感数据可以和不可以存储的地点。
• 禁用应在内部保存的文件夹或文件的外部共享。
• 要向团队添加或移除来宾，请始终使用 Teams 客户端，而不要使用其他配置门户，例如 Microsoft 365 管理中心。使用 Teams 客户端可确保来宾访问的更改能够正确级联到其他依赖应用。

常见问题

Microsoft Teams 中的来宾访问是什么？

来宾访问是一种方式，允许组织外部的人加入 Teams，以便与您的本地 Teams 用户进行沟通和协作。

Microsoft Teams 是否允许外部用户？

可以。访客是可以参与 Teams 活动的外部用户。

访客在 Microsoft Teams 中可以做什么？

取决于 Teams 管理员如何配置访客功能，访客可以在频道对话中聊天、发起通话并发布消息。他们还可以创建和删除频道，并与本团队成员共享文件。