Tworzenie bezpieczniejszeego środowiska udostępniania gościa

W tym artykule przedstawiono różne opcje tworzenia bezpieczniejszeego środowiska udostępniania gościa na platformie Microsoft 365. Oto przykłady umożliwiające wyobrażenie o dostępnych opcjach. Tych procedur można używać w różnych kombinacjach, aby spełnić wymagania organizacji dotyczące zabezpieczeń i zgodności.

Ten artykuł zawiera:

• Konfigurowanie uwierzytelniania wieloskładnikowego dla gości.
• Konfigurowanie warunków użytkowania dla gości.
• Konfigurowanie kwartalnych przeglądów dostępu gościa w celu okresowego sprawdzania, czy goście nadal potrzebują uprawnień do zespołów i witryn.
• Ograniczanie gości do dostępu tylko do Internetu dla urządzeń niezarządzanych.
• Konfigurowanie zasad limitu czasu sesji w celu zapewnienia, że goście będą się codziennie uwierzytelniać.
• Tworzenie poufnego typu informacji dla wysoce wrażliwego projektu.
• Automatyczne przypisywanie etykiety poufności do dokumentów zawierających typ informacji poufnych.
• Automatyczne usuwanie dostępu gościa z plików z etykietą poufności.

Niektóre opcje omówione w tym artykule wymagają, aby goście mieli konto w Microsoft Entra identyfikatorze. Aby upewnić się, że goście są dołączane do katalogu podczas udostępniania im plików i folderów, użyj integracji programu SharePoint i usługi OneDrive z usługą Microsoft Entra B2B Preview.

Pamiętaj, że nie omawiamy włączania ustawień udostępniania gościa w tym artykule. Aby uzyskać szczegółowe informacje na temat włączania udostępniania gości w różnych scenariuszach, zobacz Współpraca z osobami spoza organizacji .

Konfigurowanie uwierzytelniania wieloskładnikowego dla gości

Uwierzytelnianie wieloskładnikowe znacznie zmniejsza prawdopodobieństwo naruszenia zabezpieczeń konta. Ponieważ goście mogą korzystać z osobistych kont e-mail, które nie są zgodne z żadnymi zasadami ładu lub najlepszymi rozwiązaniami, szczególnie ważne jest wymaganie uwierzytelniania wieloskładnikowego dla gości. W przypadku kradzieży nazwy użytkownika i hasła gościa wymaganie drugiego czynnika uwierzytelniania znacznie zmniejsza prawdopodobieństwo uzyskania dostępu do witryn i plików przez nieznane strony.

W tym przykładzie skonfigurujemy uwierzytelnianie wieloskładnikowe dla gości przy użyciu zasad dostępu warunkowego w Microsoft Entra identyfikatorze.

Aby skonfigurować uwierzytelnianie wieloskładnikowe dla gości

1. Otwórz centrum administracyjne Microsoft Entra.
2. Rozwiń węzeł Ochrona, a następnie wybierz pozycję Dostęp warunkowy.
3. W dostępie warunkowym | Strona Przegląd wybierz pozycję Utwórz nowe zasady.
4. W polu Nazwa wpisz nazwę.
5. Wybierz link Użytkownicy .
6. Wybierz pozycję Wybierz użytkowników i grupy, a następnie zaznacz pole wyboru Gość lub użytkownicy zewnętrzni .
7. Na liście rozwijanej wybierz pozycję Użytkownicy-goście współpracy B2B i użytkownicy będący członkami współpracy B2B.
8. Wybierz link Zasoby docelowe .
9. Wybierz pozycję Wszystkie aplikacje w chmurze na karcie Dołącz .
10. Wybierz link Udziel .
11. W bloku Udzielanie zaznacz pole wyboru Wymagaj uwierzytelniania wieloskładnikowego , a następnie kliknij pozycję Wybierz.
12. W obszarze Włącz zasady wybierz opcjęWłącz, a następnie wybierz pozycję Utwórz.

Teraz goście muszą zarejestrować się w uwierzytelnianiu wieloskładnikowym, aby mogli uzyskać dostęp do udostępnionej zawartości, witryn lub zespołów.

Więcej informacji

Planowanie wdrożenia uwierzytelniania wieloskładnikowego Microsoft Entra

Konfigurowanie warunków użytkowania dla gości

W niektórych sytuacjach goście mogą nie mieć podpisanych umów o zachowaniu poufności ani innych umów prawnych z Organizacją. Przed uzyskaniem dostępu do udostępnionych plików goście mogą wymagać zgody na warunki użytkowania. Warunki użytkowania mogą być wyświetlane przy pierwszej próbie uzyskania dostępu do udostępnionego pliku lub witryny.

Aby utworzyć warunki użytkowania, należy najpierw utworzyć dokument w Word lub innym programie do tworzenia, a następnie zapisać go jako plik .pdf. Ten plik można następnie przekazać do Microsoft Entra identyfikatora.

Aby utworzyć warunki użytkowania Microsoft Entra

1. Otwórz centrum administracyjne Microsoft Entra.

2. Rozwiń węzeł Ochrona, a następnie wybierz pozycję Dostęp warunkowy.

3. Wybierz pozycję Warunki użytkowania.

4. Wybierz pozycję Nowe terminy.

   

5. Wpisz nazwę.

6. W obszarze Dokument warunków użytkowania przejdź do utworzonego pliku pdf i wybierz go.

7. Wybierz język dokumentu warunków użytkowania.

8. Wpisz nazwę wyświetlaną.

9. Ustaw opcję Wymagaj od użytkowników, aby rozszerzyć warunki użytkowania na Włączone.

10. W obszarze Dostęp warunkowy na liście Szablon zasad wymuszania przy użyciu dostępu warunkowego wybierz pozycję Utwórz zasady dostępu warunkowego później.

11. Wybierz pozycję Utwórz.

Po utworzeniu warunków użytkowania następnym krokiem jest utworzenie zasad dostępu warunkowego, które wyświetlają warunki użytkowania gościom.

Aby utworzyć zasady dostępu warunkowego

1. W centrum administracyjnym Microsoft Entra w obszarze Ochrona wybierz pozycję Dostęp warunkowy.
2. W dostępie warunkowym | Strona Przegląd wybierz pozycję Utwórz nowe zasady.
3. W polu Nazwa wpisz nazwę.
4. Wybierz link Użytkownicy .
5. Wybierz pozycję Wybierz użytkowników i grupy, a następnie zaznacz pole wyboru Gość lub użytkownicy zewnętrzni .
6. Na liście rozwijanej wybierz pozycję Użytkownicy-goście współpracy B2B i użytkownicy będący członkami współpracy B2B.
7. Wybierz link Zasoby docelowe .
8. Na karcie Dołączanie wybierz pozycję Wybierz aplikacje, a następnie kliknij link Wybierz .
9. W bloku Wybierz wybierz pozycję Office 365, a następnie kliknij pozycję Wybierz.
10. Wybierz link Udziel .
11. W bloku Udzielanie zaznacz pole wyboru dla utworzonych warunków użytkowania, a następnie kliknij pozycję Wybierz.
12. W obszarze Włącz zasady wybierz opcjęWłącz, a następnie wybierz pozycję Utwórz.

Teraz, gdy gość po raz pierwszy próbuje uzyskać dostęp do zawartości, zespołu lub witryny w organizacji, będzie musiał zaakceptować warunki użytkowania.

Więcej informacji

Microsoft Entra warunków użytkowania

Omówienie programu Microsoft SharePoint eSignature

Konfigurowanie przeglądów dostępu gościa

Przeglądy dostępu w Microsoft Entra identyfikatorze umożliwiają automatyzację okresowego przeglądu dostępu użytkowników do różnych zespołów i grup. Wymagając przeglądu dostępu dla gości, możesz pomóc w zapewnieniu, że goście nie zachowają dostępu do poufnych informacji organizacji dłużej niż jest to konieczne.

Aby skonfigurować przegląd dostępu gościa

1. Otwórz centrum administracyjne Microsoft Entra.

2. Rozwiń pozycję Zarządzanie tożsamościami i wybierz pozycję Przeglądy dostępu.

3. Wybierz pozycję Nowy przegląd dostępu.

4. Wybierz opcję Teams + Groups (Zespoły i grupy ).

5. Wybierz opcję Wszystkie grupy platformy Microsoft 365 z użytkownikami-gośćmi . Kliknij pozycję Wybierz grupy, aby wykluczyć , jeśli chcesz wykluczyć dowolne grupy.

6. Wybierz opcję Tylko użytkownicy-goście , a następnie wybierz pozycję Dalej: Recenzje.

7. W obszarze Wybierz recenzentów wybierz pozycję Właściciele grupy.

8. Kliknij pozycję Wybierz rezerwowych recenzentów, wybierz, kto powinien być rezerwowym recenzentem, a następnie kliknij pozycję Wybierz.

9. Wybierz czas trwania (w dniach), aby przegląd był otwarty dla komentarzy.

10. W obszarze Określ cykl przeglądu wybierz pozycję Kwartalne.

11. Wybierz datę rozpoczęcia i czas trwania.

12. W polu Koniec wybierz pozycję Nigdy, a następnie wybierz pozycję Dalej: Ustawienia.

    

13. Na karcie Ustawienia przejrzyj ustawienia zgodności z regułami biznesowymi.

    

14. Wybierz pozycję Dalej: Przejrzyj i utwórz.

15. Wpisz nazwę przeglądu i przejrzyj ustawienia.

16. Wybierz pozycję Utwórz.

Więcej informacji

Zarządzanie dostępem gościa za pomocą przeglądów dostępu

Tworzenie przeglądu dostępu grup i aplikacji w Microsoft Entra identyfikatorze

Konfigurowanie dostępu tylko do Internetu dla gości z urządzeniami niezarządzanymi

Jeśli Goście korzystają z urządzeń, które nie są zarządzane przez organizację lub inną organizację, z którymi masz relację zaufania, możesz wymagać od nich dostępu do zespołów, witryn i plików tylko za pomocą przeglądarki internetowej. Zmniejsza to prawdopodobieństwo pobrania poufnych plików i pozostawienia ich na niezarządzanym urządzeniu. Jest to również przydatne podczas udostępniania środowiskom korzystającym z urządzeń udostępnionych.

W przypadku Grupy Microsoft 365 i aplikacji Teams odbywa się to przy użyciu zasad dostępu warunkowego Microsoft Entra. W przypadku programu SharePoint jest to skonfigurowane w centrum administracyjnym programu SharePoint. (Możesz również użyć etykiet poufności, aby ograniczyć gościom dostęp tylko do Internetu).

Aby ograniczyć gościom dostęp tylko do Internetu dla grup i aplikacji Teams:

1. Otwórz centrum administracyjne Microsoft Entra.

2. Rozwiń węzeł Ochrona, a następnie wybierz pozycję Dostęp warunkowy.

3. W dostępie warunkowym | Strona Przegląd wybierz pozycję Utwórz nowe zasady.

4. W polu Nazwa wpisz nazwę.

5. Wybierz link Użytkownicy .

6. Wybierz pozycję Wybierz użytkowników i grupy, a następnie zaznacz pole wyboru Gość lub użytkownicy zewnętrzni .

7. Na liście rozwijanej wybierz pozycję Użytkownicy-goście współpracy B2B i użytkownicy będący członkami współpracy B2B.

8. Wybierz link Zasoby docelowe .

9. Na karcie Dołączanie wybierz pozycję Wybierz aplikacje, a następnie kliknij link Wybierz .

10. W bloku Wybierz wybierz pozycję Office 365, a następnie kliknij pozycję Wybierz.

11. Wybierz link Warunki .

12. W bloku Warunki wybierz link Aplikacje klienckie .

13. W bloku Aplikacje klienckie wybierz pozycję Tak dla pozycji Konfiguruj, a następnie wybierz ustawienia Aplikacje mobilne i klienci klasyczni, Exchange ActiveSync klientów i Inni klienci. Wyczyść pole wyboru Przeglądarka .

    

14. Wybierz pozycję Gotowe.

15. Wybierz link Udziel .

16. W bloku Udzielanie wybierz pozycję Wymagaj, aby urządzenie było oznaczone jako zgodne i Wymagaj Microsoft Entra urządzenia przyłączonego hybrydowo.

17. W obszarze Dla wielu kontrolek wybierz pozycję Wymagaj jednej z wybranych kontrolek, a następnie kliknij pozycję Wybierz.

18. W obszarze Włącz zasady wybierz opcjęWłącz, a następnie wybierz pozycję Utwórz.

Więcej informacji

Kontrolki dostępu urządzeń niezarządzanych w programach SharePoint i OneDrive

Konfigurowanie limitu czasu sesji dla gości

Wymaganie od gości regularnego uwierzytelniania może zmniejszyć możliwość uzyskania przez nieznanych użytkowników dostępu do zawartości organizacji, jeśli urządzenie gościa nie jest zabezpieczone. Zasady dostępu warunkowego limitu czasu sesji można skonfigurować dla gości w Microsoft Entra identyfikatorze.

Aby skonfigurować zasady limitu czasu sesji gościa

1. Otwórz centrum administracyjne Microsoft Entra.
2. Rozwiń węzeł Ochrona, a następnie wybierz pozycję Dostęp warunkowy.
3. W dostępie warunkowym | Strona Przegląd wybierz pozycję Utwórz nowe zasady.
4. W polu Nazwa wpisz nazwę.
5. Wybierz link Użytkownicy .
6. Wybierz pozycję Wybierz użytkowników i grupy, a następnie zaznacz pole wyboru Gość lub użytkownicy zewnętrzni .
7. Na liście rozwijanej wybierz pozycję Użytkownicy-goście współpracy B2B i użytkownicy będący członkami współpracy B2B.
8. Wybierz link Zasoby docelowe .
9. Na karcie Dołączanie wybierz pozycję Wybierz aplikacje, a następnie kliknij link Wybierz .
10. W bloku Wybierz wybierz pozycję Office 365, a następnie kliknij pozycję Wybierz.
11. Wybierz link Sesja .
12. W bloku Sesja wybierz pozycję Częstotliwość logowania.
13. Wybierz 1 i dni dla okresu, a następnie kliknij pozycję Wybierz.
14. W obszarze Włącz zasady wybierz opcjęWłącz, a następnie wybierz pozycję Utwórz.

Tworzenie poufnego typu informacji dla wysoce wrażliwego projektu

Typy informacji poufnych to wstępnie zdefiniowane ciągi, których można używać w przepływach pracy zasad w celu wymuszania wymagań dotyczących zgodności. Portal zgodności Microsoft Purview zawiera ponad sto poufnych typów informacji, w tym numery praw jazdy, numery kart kredytowych, numery kont bankowych itp.

Możesz tworzyć niestandardowe typy informacji poufnych, aby ułatwić zarządzanie zawartością specyficzną dla organizacji. W tym przykładzie utworzymy niestandardowy typ informacji poufnych dla wysoce wrażliwego projektu. Następnie możemy użyć tego typu informacji poufnych, aby automatycznie zastosować etykietę poufności.

Aby utworzyć typ informacji poufnych

1. W portal zgodności Microsoft Purview w obszarze nawigacji po lewej stronie rozwiń węzeł Klasyfikacja danych, a następnie wybierz pozycję Klasyfikatory.
2. wybierz kartę Typy informacji poufnych .
3. Wybierz pozycję Utwórz typ informacji poufnych.
4. W polu Nazwa i opis wpisz Project Saturn, a następnie wybierz pozycję Dalej.
5. Wybierz pozycję Utwórz wzorzec.
6. Na panelu Nowy wzorzec wybierz pozycję Dodaj element podstawowy, a następnie wybierz pozycję Lista słów kluczowych.
7. Wpisz identyfikator , taki jak Project Saturn.
8. W polu Bez uwzględniania wielkości liter wpisz Project Saturn, Saturn, a następnie wybierz pozycję Gotowe.
9. Wybierz pozycję Utwórz, a następnie wybierz pozycję Dalej.
10. Wybierz poziom ufności, a następnie wybierz pozycję Dalej.
11. Wybierz pozycję Utwórz.
12. Wybierz pozycję Gotowe.

Aby uzyskać więcej informacji, zobacz Dowiedz się więcej o typach informacji poufnych.

Tworzenie zasad automatycznego etykietowania w celu przypisania etykiety poufności na podstawie typu informacji poufnych

Jeśli używasz etykiet poufności w organizacji, możesz automatycznie zastosować etykietę do plików zawierających zdefiniowane typy informacji poufnych.

Aby utworzyć zasady automatycznego etykietowania

1. Otwórz centrum administracyjne usługi Microsoft Purview.
2. W obszarze nawigacji po lewej stronie rozwiń węzeł Ochrona informacji i wybierz pozycję Automatyczne etykietowanie.
3. Wybierz pozycję Utwórz zasady automatycznego etykietowania.
4. Na stronie Wybierz informacje, do których ma zostać zastosowana ta etykieta , wybierz pozycję Niestandardowe , a następnie wybierz pozycję Zasady niestandardowe.
5. Wybierz pozycję Dalej.
6. Wpisz nazwę i opis zasad, a następnie wybierz pozycję Dalej.
7. Na stronie Przypisywanie jednostek administracyjnych wybierz pozycję Dalej.
8. Na stronie Wybieranie lokalizacji, w których chcesz zastosować etykietę , wybierz pozycję Witryny programu SharePoint i opcjonalnie wybierz pozycję Edytuj , aby wybrać witryny.
9. Wybierz pozycję Dalej.
10. Na stronie Konfigurowanie typowych lub zaawansowanych reguł wybierz pozycję Typowe reguły i wybierz pozycję Dalej.
11. Na stronie Definiowanie reguł zawartości we wszystkich lokalizacjach wybierz pozycję Nowa reguła.
12. Na stronie Nowa reguła nadaj regule nazwę, wybierz pozycję Dodaj warunek, a następnie wybierz pozycję Zawartość zawiera.
13. Wybierz pozycję Dodaj, wybierz pozycję Typy informacji poufnych, wybierz typy informacji poufnych, których chcesz użyć, wybierz pozycję Dodaj, a następnie wybierz pozycję Zapisz.
14. Wybierz pozycję Dalej.
15. Wybierz pozycję Wybierz etykietę, wybierz etykietę, która ma być używana, a następnie wybierz pozycję Dodaj.
16. Wybierz pozycję Dalej.
17. Pozostaw zasady w trybie symulacji i wybierz, czy mają być automatycznie włączone.
18. Wybierz pozycję Dalej.
19. Wybierz pozycję Utwórz zasady, a następnie wybierz pozycję Gotowe.

Gdy zasady zostaną wprowadzone, gdy użytkownik wpisze ciąg "Project Saturn" do dokumentu, zasady automatycznego etykietowania automatycznie zastosują określoną etykietę podczas skanowania pliku.

Aby uzyskać więcej informacji na temat automatycznego etykietowania, zobacz Automatyczne stosowanie etykiety poufności do zawartości.

Więcej informacji

Konfigurowanie domyślnej etykiety poufności dla biblioteki dokumentów programu SharePoint

Tworzenie zasad DLP w celu usunięcia dostępu gościa do wysoce poufnych plików

Możesz użyć Ochrona przed utratą danych w Microsoft Purview (DLP), aby zapobiec niepożądanemu udostępnianiu przez gości poufnej zawartości. Zapobieganie utracie danych może podjąć działania na podstawie etykiety poufności pliku i usunąć dostęp gościa.

Aby utworzyć regułę DLP

1. Otwórz centrum administracyjne usługi Microsoft Purview.

2. W obszarze nawigacji po lewej stronie rozwiń węzeł Zapobieganie utracie danych i wybierz pozycję Zasady.

3. Wybierz pozycję Utwórz zasady.

4. Wybierz pozycję Zasady niestandardowe , a następnie Zasady niestandardowe.

5. Wybierz pozycję Dalej.

6. Wpisz nazwę zasad i wybierz pozycję Dalej.

7. Na stronie Przypisywanie jednostek administracyjnych wybierz pozycję Dalej.

8. Na stronie Lokalizacje do zastosowania zasad wyłącz wszystkie ustawienia z wyjątkiem witryn programu SharePoint i kont usługi OneDrive, a następnie wybierz pozycję Dalej.

9. Na stronie Definiowanie ustawień zasad wybierz pozycję Dalej.

10. Na stronie Dostosowywanie zaawansowanych reguł DLP wybierz pozycję Utwórz regułę i wpisz nazwę reguły.

11. W obszarze Warunki wybierz pozycję Dodaj warunek, a następnie wybierz pozycję Zawartość jest udostępniana z platformy Microsoft 365.

12. Na liście rozwijanej wybierz osoby spoza mojej organizacji.

13. W obszarze Warunki wybierz pozycję Dodaj warunek i wybierz pozycję Zawartość zawiera.

14. Wybierz pozycję Dodaj, wybierz pozycję Etykiety poufności, wybierz etykiety, których chcesz użyć, a następnie wybierz pozycję Dodaj.

15. W obszarze Akcje wybierz pozycję Dodaj akcję i wybierz pozycję Ogranicz dostęp lub zaszyfruj zawartość w lokalizacjach platformy Microsoft 365.

16. Wybierz opcję Blokuj tylko osoby spoza organizacji .

    

17. Włącz powiadomienia użytkownika, a następnie zaznacz pole wyboru Powiadom użytkowników w usłudze Office 365 z poradą dotyczącą zasad.

18. Wybierz pozycję Zapisz, a następnie wybierz pozycję Dalej.

19. Wybierz opcje testu i wybierz pozycję Dalej.

20. Wybierz pozycję Prześlij, a następnie wybierz pozycję Gotowe.

Należy pamiętać, że te zasady nie usuwają dostępu, jeśli gość jest członkiem witryny lub całego zespołu. Jeśli planujesz mieć wysoce poufne dokumenty w witrynie lub zespole z członkami-gośćmi, rozważ następujące opcje:

• Używaj kanałów prywatnych i zezwalaj tylko członkom organizacji w kanałach prywatnych.
• Współużytkuj kanały udostępnione, aby współpracować z osobami spoza organizacji, mając tylko osoby z Twojej organizacji w samym zespole.

Opcje dodatkowe

Istnieją pewne dodatkowe opcje w usłudze Microsoft 365 i identyfikatorze Microsoft Entra, które mogą pomóc w zabezpieczeniu środowiska udostępniania gościa.

• Możesz utworzyć listę dozwolonych lub niedozwolonych domen udostępniania, aby ograniczyć liczbę użytkowników, którzy mogą udostępniać. Aby uzyskać więcej informacji, zobacz Ograniczanie udostępniania zawartości programu SharePoint i usługi OneDrive według domeny oraz Zezwalaj lub blokuj zaproszenia dla użytkowników B2B z określonych organizacji .
• Możesz ograniczyć inne dzierżawy Microsoft Entra, z którymi użytkownicy mogą się łączyć. Aby uzyskać informacje , zobacz Ograniczanie dostępu do dzierżawy .
• Możesz utworzyć środowisko zarządzane, w którym partnerzy mogą pomóc w zarządzaniu kontami gości. Aby uzyskać informacje , zobacz Tworzenie ekstranetu B2B z zarządzanymi gośćmi .

Artykuły pokrewne

Ograniczanie przypadkowego narażenia na pliki podczas udostępniania gościom

Najlepsze rozwiązania dotyczące udostępniania plików i folderów nieuwierzytelnionym użytkownikom