昨天我們學會了如何發放裝備（授權），到目前為止，我們實驗室裡建立的帳號都是自家公會的「自己人」，但在真實的商業世界裡，我們每天都需要跟外界打交道。
假設今天公會為了一個大型專案，重金聘請了一位外部顧問，我們需要把他拉進 Teams 的專案群組裡一起討論戰術，並共用 SharePoint 裡的機密文件。這時候，你會怎麼做呢？

• 傳統的危險做法：發放免洗帳號
  在過去，很多 IT 騎士團為了圖方便，會直接在系統裡幫他建一個 vendor01@yourcompany.com 的內部帳號，密碼隨便設一個 Password123，然後貪圖方便，直接用 Line 傳給對方。
  今天，我們就要來學習現代雲端的標準做法：利用 Entra ID 邀請「來賓帳號 (Guest Users)」。
• 什麼是 B2B 協同合作？
  Entra ID 的 B2B (Business-to-Business) 協同合作功能，允許你邀請外部人員來使用你的雲端資源，而不需要為他們建立內部的帳號。它有兩個極具優勢的核心概念：
  • 身分自帶 (Bring Your Own Identity, BYOI)
    外部人員不需要拿我們公會的鑰匙，他們可以直接用自己的信箱來登入！不管是 Gmail、Yahoo，或是他們自己母公會的 Microsoft 365 帳號都可以，這就像是允許他們配戴自己公會的徽章來我們這裡作客。
  • 密碼不歸你管
    既然他們是用自己的帳號登入，那麼密碼遺失或重設的問題，就是由他們自己（或他們的母公會）來管理，IT 騎士團再也不用幫外部廠商處理忘記密碼的鳥事了！

實作

1. 發送一張B2B 邀請函
   

• 填寫來賓資訊
  • 電子郵件： 輸入你要邀請的外部信箱（例如你自己的私人 Gmail 也可以拿來測試）。
  • 顯示名稱： 幫他取個名字，例如 vendor01。
    填寫完成送出邀請。
    
• 信箱會收到一封來自微軟的官方邀請信。
  
• 系統會引導他進行身分驗證（如果他是 Gmail，微軟會發送 OTP 驗證碼到信箱；如果他本來就是微軟帳號，則直接登入）。
  
• 需要點擊「同意」授權公會讀取他的基本資料（姓名與信箱）。
  
  完成後，這位外部人員就正式成為租用戶裡的合法來賓了！你可以把他加進任何安全性群組，或是 Teams 團隊中。
• 暗影神偷的陰謀：供應鏈攻擊 (Supply Chain Attacks)
  雖然 B2B 邀請很方便，但引進外部人員，本質上就像是在公會堅固的防火牆上開了一個洞。
  這幾年來，暗影神偷極度熱衷於「供應鏈攻擊」，他們知道直接攻擊大公會很難，所以轉而駭入防護較弱的外包廠商或合作夥伴，一但廠商的帳號被盜，暗影神偷就能利用這個合法的 Guest 帳號作為跳板，光明正大地走進我們的公會大肆破壞。
  • 強制套用 MFA (多因素驗證)
    就算對方母公會的防禦很弱、沒有要求 MFA，我們也可以透過「條件式存取 (Conditional Access)」，強制規定所有來賓帳號在存取我們公會的資源時，都必須綁定 Authenticator App！想進我們的門，就得守我們的規矩。
  • 落實最小權限原則 (PoLP)
    來賓帳號預設的權限已經被微軟大幅限縮過（例如：他們無法像一般村民一樣隨意瀏覽整個公會的完整通訊錄），但我們仍應善用「動態群組」或嚴格的權限劃分，限制他們只能存取該專案特定的資料夾，絕對不能給予過多的權限。
  • 定期清理殭屍帳號 (存取權限檢閱)
    專案結束後，外來人員的帳號通常會被遺忘，變成可怕的殭屍帳號，在進階的實務中，我們可以設定 Entra ID 的「存取權限檢閱 (Access Reviews)」，每季系統會自動發信請專案經理確認：「這位外來人員還需要權限嗎？」如果經理沒有回覆，系統就會自動將其踢除，徹底消滅潛在的幽靈通道！