Fonctionnalités prises en charge dans les locataires de main-d’œuvre et externes

Article
02/25/2025

Il existe deux modes de configuration d’un locataire Microsoft Entra, selon la façon dont l’organisation compte utiliser le locataire et les ressources qu’elle souhaite gérer :

Une configuration de locataire de main d’œuvre est destinée à vos employés, applications métier internes et d’autres ressources de l’organisation. La collaboration B2B est utilisée dans un locataire de main-d’œuvre pour collaborer avec des partenaires commerciaux externes et des invités.
Une configuration de locataire externe est utilisée exclusivement pour les scénarios d’ID externe dans lesquels vous souhaitez publier des applications auprès des consommateurs ou des clients professionnels.

Cet article fournit une comparaison détaillée des fonctionnalités et capacités disponibles dans les locataires de main-d’œuvre et externes.

Remarque

Pendant la préversion, les fonctionnalités ou capacités nécessitant une licence Premium ne sont pas disponibles dans les locataires externes.

Comparaison des fonctionnalités générales

Le tableau suivant compare les fonctionnalités et capacités générales disponibles dans les locataires de main-d’œuvre et externes.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Scénario d’identités externes	Autoriser les partenaires commerciaux et autres utilisateurs externes à collaborer avec votre personnel. Les invités peuvent accéder de façon sécurisée à vos applications métier par le biais d’invitations ou d’inscription en libre-service.	Utilisez l’ID externe pour sécuriser vos applications. Les consommateurs et les clients professionnels peuvent accéder de façon sécurisée à vos applications grand public via une inscription en libre-service. Les invitations sont également prises en charge.
Comptes locaux	Les comptes locaux sont pris en charge pour les membres internes de votre organisation uniquement.	Les comptes locaux sont pris en charge pour : – Utilisateurs externes (consommateurs, clients professionnels) qui ont recours à une inscription en libre-service. – Comptes créés par les administrateurs.
Groupes	Les groupes peuvent permettre de gérer les comptes d’utilisateur et d’administration.	Les groupes peuvent permettre de gérer les comptes d’administration. La prise en charge des groupes Microsoft Entra et des rôles d’application est progressivement intégrée aux locataires clients. Pour connaître les dernières mises à jour, consultez Prise en charge des groupes et des rôles d’application.
Rôles et administrateurs	Les rôles et les administrateurs sont entièrement pris en charge pour les comptes d’administration et d’utilisateur.	Les rôles ne sont pas pris en charge avec les comptes client. Les comptes client n’ont pas accès aux ressources du locataire.
Protection des ID	Fournit une détection continue des risques pour votre locataire Microsoft Entra. Le service permet aux organisations de découvrir, d’examiner et de corriger les risques basés sur l’identité.	Un sous-ensemble des détections de risques Protection Microsoft Entra ID est disponible. En savoir plus
Gouvernance des ID	Permet aux organisations de régir les cycles de vie des identités et des accès, ainsi que l’accès privilégié sécurisé. En savoir plus	Non disponible
Réinitialisation de mot de passe en libre service	Autoriser les utilisateurs à réinitialiser leur mot de passe à l’aide de deux méthodes d’authentification maximum (voir la ligne suivante pour connaître les méthodes disponibles).	Autoriser les utilisateurs à réinitialiser leur mot de passe à l’aide d’un e-mail avec un code secret à usage unique. En savoir plus
Personnalisation de la langue	Personnalisez l’expérience de connexion en fonction de la langue du navigateur lorsque les utilisateurs s’authentifient dans votre intranet d’entreprise ou dans des applications web.	Utilisez des langues pour modifier les chaînes affichées pour vos clients dans le cadre du processus de connexion et d’inscription. En savoir plus
Attributs personnalisés	Utilisez les attributs d’extension d’annuaire pour stocker davantage de données dans l’annuaire Microsoft Entra pour les objets utilisateur, les groupes, les détails du locataire et les principaux de service.	Utilisez des attributs d’extension d’annuaire pour stocker davantage de données dans l’annuaire client pour les objets utilisateur. Créez des attributs utilisateur personnalisés et ajoutez-les à votre flux d’utilisateur d’inscription. En savoir plus
Tarification	Tarification des utilisateurs actifs mensuels (MAU) pour les invités externes de collaboration B2B (TypeUtilisateur=Invité).	Tarification des utilisateurs actifs mensuels (MAU) pour tous les utilisateurs du locataire externe, quel que soit leur rôle ou leur UserType.

Personnalisation de l’apparence

Le tableau suivant compare les fonctionnalités de personnalisation de l’apparence disponibles dans les locataires de main-d’œuvre et externes.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Personnalisation d’entreprise	Vous pouvez ajouter une personnalisation d’entreprise qui s’applique à toutes ces expériences afin de créer une expérience de connexion cohérente pour vos utilisateurs.	Identique au locataire de main-d’œuvre. En savoir plus
Personnalisation de la langue	Personnaliser l’expérience de connexion en fonction de la langue du navigateur.	Identique au locataire de main-d’œuvre. En savoir plus
Noms de domaines personnalisés	Vous pouvez utiliser des domaines personnalisés Azure AD pour les comptes d’administration uniquement.	La fonctionnalité domaine d’URL personnalisé pour les locataires externes vous permet de marquer les points de connexion des applications avec votre propre nom de domaine.
Authentification native pour les applications mobiles	Non disponible	L’authentification native de Microsoft Entra vous permet d’avoir un contrôle total sur la conception des expériences de connexion de vos applications mobiles.

Ajouter votre propre logique métier

Les extensions d’authentification personnalisées vous permettent de personnaliser l’expérience d’authentification Microsoft Entra en l’intégrant à des systèmes externes. Une extension d’authentification personnalisée est essentiellement un écouteur d’événements qui, une fois activé, effectue un appel HTTP à un point de terminaison d’API REST où vous définissez votre propre logique métier. Le tableau suivant compare les événements des extensions d’authentification personnalisées disponibles dans les locataires de main-d’œuvre et externes.

Événement	Locataire de main-d’œuvre	Locataire externe
TokenIssuanceStart	Ajouter des revendications à partir de systèmes externes.	Ajouter des revendications à partir de systèmes externes.
OnAttributeCollectionStart	Non disponible	Se produit au début de l’étape de collecte d’attributs de l’inscription, avant l’affichage de la page de collecte d’attributs. Vous pouvez ajouter des actions telles que Préremplir des valeurs et Afficher une erreur bloquante. En savoir plus
OnAttributeCollectionSubmit	Non disponible	Se produit pendant le flux d’inscription, après que l’utilisateur a entré et envoyé ses attributs. Vous pouvez ajouter des actions telles que la validation ou la modification des entrées de l’utilisateur. En savoir plus
OnOtpSend	Non disponible	Configurez un fournisseur de messagerie personnalisé pour les événements d’envoi de code secret à usage unique. En savoir plus

Fournisseurs d’identité et méthodes d’authentification

Le tableau suivant compare les fournisseurs d’identité et les méthodes disponibles pour l’authentification principale et l’authentification multifacteur (MFA) dans les locataires de main-d’œuvre et externes.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Fournisseurs d’identité pour les utilisateurs externes (authentification principale	Pour les invités via une inscription en libre-service – Comptes Microsoft Entra – Comptes Microsoft – Mot de passe à usage unique par e-mail – Fédération Google – Fédération Facebook Pour les invités – Comptes Microsoft Entra – Comptes Microsoft – Mot de passe à usage unique par e-mail – Fédération Google – Fédération SAML/WS-Fed	Pour les utilisateurs d’inscription en libre-service (consommateurs, clients professionnels) - e-mail avec mot de passe - code secret unique e-mail - fédération Google (préversion) - fédération Facebook (préversion) - fédération Apple (préversion) - fédération OIDC (préversion) Pour les invités (préversion) Invités avec un rôle d’annuaire (par exemple, administrateurs) : – Comptes Microsoft Entra – Comptes Microsoft - Code secret à usage unique par e-mail - Fédération SAML/WS-Fed
Méthodes d’authentification pour l’authentification multifacteur	Pour les utilisateurs internes (employés et administrateurs) - Méthodes d’authentification et de vérification Pour les invités (via invitation ou inscription en libre-service) - Méthodes d’authentification pour l’authentification multifacteur des invités	Pour les utilisateurs utilisant une inscription en libre service (consommateurs, clients professionnels) ou utilisateurs invités (préversion) - Code secret à usage unique par e-mail - Authentification par SMS

Inscription de l’application

Le tableau suivant compare les fonctionnalités disponibles pour l’inscription d’application dans chaque type de locataire.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Protocole	Parties de confiance SAML, OpenID Connect, et OAuth2	Parties de confiance SAML, OpenID Connect, et OAuth2
Types de comptes pris en charge	Les types de comptes suivants : Comptes dans cet annuaire organisationnel uniquement (Locataire unique) Comptes dans n’importe quel annuaire organisationnel (n’importe quel locataire Microsoft Entra – Multi-locataire) Comptes dans n’importe quel annuaire organisationnel (n’importe quel locataire Microsoft Entra – Multi-locataire) et comptes Microsoft personnels (par exemple, Skype, Xbox) Comptes Microsoft personnels uniquement	Utilisez toujours Comptes dans cet annuaire organisationnel uniquement (Locataire unique).
Plateforme	Les plateformes suivantes : Client public/natif (mobile et bureau) Web Application monopage (SPA)	Les plateformes suivantes : Client public (mobile et bureau) Authentification native mobile Web Application monopage (SPA)
Authentification>URI de redirection	Les URI que Microsoft Entra ID accepte comme destinations lorsqu’il renvoie des réponses d’authentification (jetons) après avoir authentifié ou déconnecté des utilisateurs avec succès.	Identique à la main-d’œuvre.
Authentification>URL de déconnexion du canal frontal	Cette URL est l’emplacement où Microsoft Entra ID envoie une requête pour que l’application efface les données de session de l’utilisateur. L’URL de déconnexion du canal frontal est requise pour que l’authentification unique fonctionne correctement.	Identique à la main-d’œuvre.
Authentification>Octroi implicite et flux hybrides	Demander un jeton directement à partir du point de terminaison d'autorisation.	Identique au locataire de main-d’œuvre.
Certificats et secrets	Certificate Clés secrètes client Informations d’identification fédérées	Identique au locataire de main-d’œuvre.
Autorisations d’API	Ajouter, supprimer et remplacer des autorisations pour une application. Une fois les autorisations ajoutées à votre application, les utilisateurs ou les administrateurs doivent accorder le consentement aux nouvelles autorisations. Apprenez-en davantage sur la mise à jour des autorisations demandées d’une application dans Microsoft Entra ID.	Voici les autorisations acceptées : Microsoft Graph `offline_access`, `openid`, et `User.Read`, ainsi que vos permissions déléguées Mes API. Seul un administrateur peut consentir au nom de l’organisation.
Exposer une API	Définissez des étendues personnalisées pour restreindre l’accès aux données et aux fonctionnalités protégées par l’API. Une application qui nécessite l’accès à certaines parties de cette API peut demander à un utilisateur ou à un administrateur de donner son consentement à une ou plusieurs de ces étendues.	Définir des étendues personnalisées pour restreindre l’accès aux données et aux fonctionnalités protégées par l’API. Une application qui nécessite l’accès à certaines parties de cette API peut demander le consentement de l’administrateur à une ou plusieurs de ces étendues.
Rôles d’application	Les rôles d’application sont des rôles personnalisés permettant d’attribuer des autorisations à des utilisateurs ou à des applications. L’application définit et publie les rôles d’application, et les interprète comme des autorisations pendant l’autorisation.	Identique au locataire de main-d’œuvre. Apprenez-en davantage sur l’utilisation du contrôle d’accès en fonction du rôle pour les applications dans un locataire externe.
Propriétaires	Les propriétaires d’applications peuvent afficher et modifier l’inscription de l’application. En outre, tout utilisateur (qui peut ne pas être répertorié) disposant de privilèges Administrateur pour gérer n’importe quelle application (par exemple, Administrateur d’application cloud) peut afficher et modifier l’inscription de l’application.	Identique au locataire de main-d’œuvre.
Rôles et administrateurs	Les rôles d’administration sont utilisés pour accorder l’accès aux actions privilégiées dans Microsoft Entra ID.	Seul le rôle Administrateur d’applications cloud peut être utilisé pour les applications dans des locataires externes. Ce rôle permet de créer et de gérer tous les aspects des inscriptions d’application et des applications d’entreprise.
Affectation d’utilisateurs et de groupes à une application	Quand une affectation d’utilisateur est requise, seuls les utilisateurs que vous affectez à l’application (via une affectation directe ou une appartenance à un groupe) peuvent se connecter. Pour plus d’informations, consultez Gérer l’affectation d’utilisateurs et de groupes à une application	Non disponible

Flux OpenID Connect et OAuth2

Le tableau suivant compare les fonctionnalités disponibles pour les flux d’autorisation OAuth 2.0 et OpenID Connect dans chaque type de locataire.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
OpenID Connect	Oui	Oui
Code d’autorisation	Oui	Oui
Code d’autorisation avec Code Exchange (PKCE)	Oui	Oui
Informations d’identification du client	Oui	Applications v2.0 (préversion)
Autorisation de l’appareil	Oui	Préversion
Flux On-Behalf-Of	Oui	Oui
Octroi implicite	Oui	Oui
Informations d’identification de mot de passe du propriétaire de ressource	Oui	Non, pour les applications mobiles, utilisez l’authentification native.

URL d’autorité dans les flux OpenID Connect et OAuth2

L’URL d’autorité est une URL indiquant un annuaire auquel la bibliothèque d’authentification Microsoft peut demander des jetons. Pour les applications dans des locataires externes, utilisez toujours le format suivant : <nom du locataire>.ciamlogin.com

Le code JSON suivant montre un exemple de fichier appsettings.json d’application .NET avec une URL d’autorité :

{
    "AzureAd": {
        "Authority": "https://<Enter_the_Tenant_Subdomain_Here>.ciamlogin.com/",
        "ClientId": "<Enter_the_Application_Id_Here>"
    }
}

Accès conditionnel

Le tableau suivant compare les fonctionnalités disponibles pour l’accès conditionnel dans chaque type de locataire.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Affectations	Utilisateurs, groupes et identités de charge de travail	Inclure tous les utilisateurs, et exclure des utilisateurs et des groupes. Pour plus d’informations, consultez Ajouter l’authentification multifacteur (MFA) à une application.
Ressources cibles	Applications cloud Actions utilisateur Global Secure Access Contexte d’authentification	Toutes les ressources, les applications sélectionnées, ou les applications filtrées. Contexte d’authentification
Conditions	Risque à la connexion Risque utilisateur Plateformes d’appareils Localisations Applications clientes Filtre pour les appareils	Risque à la connexion Risque utilisateur Plateformes d’appareils Localisations
Octroi	Accorder ou bloquer l’accès aux ressources	Bloquer l’accès Exiger l’authentification multifacteur Exiger une réinitialisation de mot de passe
Session	Contrôles de session	Non disponible

Gestion de compte

Le tableau suivant compare les fonctionnalités disponibles pour la gestion des utilisateurs dans chaque type de locataire. Comme indiqué dans le tableau, certains types de comptes sont créés via une invitation ou une inscription en libre-service. Un administrateur utilisateur du locataire peut également créer des comptes via le centre d’administration.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Types de comptes	Membres internes, par exemple, les employés et les administrateurs. Utilisateurs externes qui sont invités ou utilisent une inscription en libre-service.	Utilisateurs internes de votre locataire, par exemple, des administrateurs. Consommateurs externes et clients professionnels qui utilisent une inscription en libre-service ou qui sont créés par les administrateurs. Utilisateurs externes invités (préversion).
Gérer les informations du profil utilisateur	Par programmation et avec le centre d’administration Microsoft Entra.	Identique au locataire de main-d’œuvre.
Réinitialiser le mot de passe d’un utilisateur	Les administrateurs peuvent réinitialiser le mot de passe d’un utilisateur si le mot de passe est oublié, si l’utilisateur n’a plus accès à un appareil ou s’il n’a jamais reçu de mot de passe.	Identique au locataire de main-d’œuvre.
Restaurer ou supprimer un utilisateur récemment supprimé	Lorsque vous supprimez un utilisateur, son compte reste à l’état suspendu pendant 30 jours. Pendant ces 30 jours, le compte de l’utilisateur peut être restauré, avec l’ensemble de ses propriétés.	Identique au locataire de main-d’œuvre.
Désactiver des comptes	Empêcher le nouvel utilisateur de se connecter.	Identique au locataire de main-d’œuvre.

Protection par mot de passe

Le tableau suivant compare les fonctionnalités disponibles pour la protection par mot de passe dans chaque type de locataire.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Verrouillage intelligent	Le verrouillage intelligent empêche les personnes malveillantes de deviner vos mots de passe ou d’utiliser des méthodes de force brute pour accéder à vos systèmes	Identique au locataire de main-d’œuvre.
Mots de passe interdits personnalisés	La liste de mots de passe interdits personnalisés de Microsoft Entra vous permet d’ajouter des chaînes spécifiques à évaluer et bloquer.	Non disponible.

Personnalisation des jetons

Le tableau suivant compare les fonctionnalités disponibles pour la personnalisation des jetons dans chaque type de locataire.

Fonctionnalité	Locataire de main-d’œuvre	Locataire externe
Mappage des revendications	Personnaliser les revendications émises dans le jeton JWT (JSON Web Token) pour les applications d’entreprise.	Identique au locataire de main-d’œuvre. Les revendications facultatives doivent être configurées via Attributs et revendications.
Transformation de revendications	Appliquer une transformation à un attribut utilisateur émis dans le jeton JWT pour les applications d’entreprise.	Identique au locataire de main-d’œuvre.
Fournisseur de revendications personnalisé	Extension d’authentification personnalisée qui appelle une API REST externe pour récupérer les revendications de systèmes externes.	Identique au locataire de main-d’œuvre. En savoir plus
Groupes de sécurité	Configurer des revendications facultatives de groupes.	Les revendications facultatives de groupes configurées sont limitées à l’ID d’objet de groupe.
Durées de vie des jetons	Vous pouvez spécifier la durée de vie des jetons de sécurité émis par Microsoft Entra ID.	Identique au locataire de main-d’œuvre.

API Microsoft Graph

Toutes les fonctionnalités prises en charge dans les locataires externes sont également compatibles avec l’automatisation via les API Microsoft Graph. Certaines fonctionnalités qui sont en préversion dans les locataires externes peuvent être généralement disponibles via Microsoft Graph. Pour plus d’informations, consultez Gérer l’identité Microsoft Entra et l’accès réseau à l’aide de Microsoft Graph.

Étapes suivantes

Planification du CIAM

Partager via