使用访问评审监视和清理过时的来宾帐户

项目
12/21/2023

当用户与外部合作伙伴协作时，随着时间的推移，Microsoft Entra 租户中可能会创建许多来宾帐户。协作结束时，用户不再访问租户，来宾帐户可能已过期。管理员可以使用非活动来宾见解大规模监视来宾帐户。管理员也可以使用“访问评审”来自动评审非活动来宾用户，阻止他们登录，并且将其从目录中删除。

请详细了解如何管理 Microsoft Entra ID 中的非活动用户帐户。

有一些建议的模式在监视和清理过时来宾帐户方面非常有效：

使用非活动来宾报表对来宾账户进行大规模监视，获取对组织中非活动帐户的智能见解。根据组织的需求自定义非活动阈值，缩小要监视的来宾用户的范围，并识别可能处于非活动状态的来宾用户。
创建多阶段评审，以便来宾自行证明他们是否仍需要访问权限。第二阶段审阅者评估结果并做出最终决策。被拒绝访问的来宾将被禁用，并在以后删除。
创建评审以删除非活动外部来宾。管理员以天数的形式定义“非活动”。他们禁用未在该时间范围内登录到租户的来宾，并在以后将其删除。默认情况下，这不会影响最近创建的用户。详细了解如何识别非活动帐户。

使用以下说明了解如何大规模增强对非活动来宾帐户的监视，并创建遵循这些模式的访问评审。请考虑配置建议，然后做出适合环境的所需更改。

许可要求

使用此功能需要 Microsoft Entra ID Governance 或 Microsoft Entra 套件许可证。如需查找符合要求的许可证，请参阅《Microsoft Entra ID 治理许可基础知识》。

使用非活动来宾见解大规模监视来宾帐户

提示

本文中的步骤可能因开始使用的门户而略有不同。

登录 Microsoft Entra 管理中心。
浏览到“标识治理”>“仪表板”
导航到“来宾访问治理”卡片，然后选择“查看非活动来宾”来访问非活动来宾帐户报表。
你将看到非活动来宾报表，它将基于 90 天不活动的情况提供关于非活动来宾用户的见解。阈值默认设置为 90 天，但可以根据组织的需要使用“编辑非活动阈值”以进行配置。
以下见解作为此报表的一部分提供：
- 来宾帐户概述（来宾总数和非活动来宾数，并进一步分为从未登录或至少登录过一次的来宾）
- 来宾非活动分布（基于上次登录以来的天数的来宾用户的百分比分布）
- 来宾非活动概述（来宾非活动指南，用于配置非活动阈值）
- 来宾帐户摘要（一个可导出的表格视图，其中包含所有来宾帐户的详细信息，还有对其活动状态的见解）。根据所配置的非活动阈值，活动状态可能为“活动”或“非活动”）
如果用户至少登录过一次，则根据上次登录日期计算非活动天数。对于从未登录的用户，非活动天数是根据创建日期计算的。

注意

可使用“下载所有数据”来下载具有来宾见解的报告。每个下载操作都可能需要一些时间，具体取决于来宾用户的计数，此操作还支持为多达 100 万名来宾用户进行下载。

创建多阶段评审，使来宾可以自行证明其需要持续访问

为要评审的来宾用户创建动态组。例如，

(user.userType -eq "Guest") and (user.mail -contains "@contoso.com") and (user.accountEnabled -eq true)
若要为动态组创建访问评审，请导航到“Microsoft Entra ID”>“Identity Governance”>“访问评审”。
选择“新建访问评审”。

配置“评审类型”。

属性	值
选择要评审的内容	团队和组
评审范围	选择“团队 + 组”
组	选择动态组
范围	仅限来宾用户
（可选）评审非活动来宾	选中“仅限非活动用户(在租户级别)”对应的框。输入形成非活动状态的天数。

该屏幕截图显示多阶段评审的评审类型对话框，用于使来宾可以自行证明其需要持续访问。

选择“下一步: 评审”。

配置评审：

属性	值
第一阶段评审
多阶段审阅	选中对应框
选择审阅者	“用户评审自己的访问”
阶段持续时间(以天为单位)	输入天数
第二阶段评审
选择审阅者	“组所有者”或“选定的用户或组”
阶段持续时间(以天为单位)	输入天数。（可选）指定回退审阅者。
指定评审的重复周期
评审重复周期	从下拉列表中选择首选项
开始日期	选择日期
结束	选择首选项
指定受审阅人以转到下一阶段
转到下一阶段的受审阅人	选择受审阅人。例如，选择已自我批准或响应了“不知道”的用户。

该屏幕截图显示多阶段评审的第一阶段评审，用于使来宾可以自行证明其需要持续访问。

选择“下一步: 设置”。

配置设置：

属性	值
完成后的设置
自动向资源应用结果	选中对应框
如果审阅者未响应	删除访问权限
对被拒绝的来宾用户应用的操作	在 30 天内阻止用户登录，然后从租户中删除用户
（可选）审阅结束时，将通知发送到	指定要通知的其他用户或组。
启用审阅者决策帮助程序
审阅者电子邮件的其他内容	为审阅者添加自定义消息
所有其他字段	将其余选项保留为默认值。

该屏幕截图显示多阶段评审的设置对话框，用于使来宾可以自行证明其需要持续访问。

选择“下一步: 查看 + 创建”
输入访问评审名称。（可选）提供说明。
选择“创建” 。

创建评审以删除非活动外部来宾

为要评审的来宾用户创建动态组。例如，

(user.userType -eq "Guest") and (user.mail -contains "@contoso.com") and (user.accountEnabled -eq true)
若要为动态组创建访问评审，请导航到“Microsoft Entra ID”>“Identity Governance”>“访问评审”。
选择“新建访问评审”。

配置“评审类型”：

属性	值
选择要评审的内容	团队和组
评审范围	选择“团队 + 组”
组	选择动态组
范围	仅限来宾用户
仅限非活动用户(在租户级别)	选中对应框
不活动天数	输入形成非活动状态的天数

备注

配置的非活动状态时间不会影响最近创建的用户。 “访问评审”将检查用户是否已在你配置的时间范围内创建，并忽略其存在时间短于该时间量的用户。例如，如果将非活动时间设置为 90 天，并且创建/邀请来宾用户的时间距今短于 90 天，则该来宾用户将不在访问评审范围内。这确保了来宾在被删除之前可以登录一次。

该屏幕截图显示用于删除非活动外部来宾的评审类型对话框。

选择“下一步: 评审”。