Rozwiązywanie typowych problemów z funkcją współpracy B2B firmy Microsoft

Dotyczy: Dzierżawy pracownicze (Dowiedz się więcej)

Poniżej przedstawiono niektóre środki zaradcze dotyczące typowych problemów ze współpracą firmy Microsoft Entra B2B.

Logowanie gościa kończy się niepowodzeniem z kodem błędu AADSTS50020

Gdy użytkownik-gość od dostawcy tożsamości (IdP) nie może zalogować się do dzierżawy zasobów w usłudze Microsoft Entra ID i otrzymuje kod błędu AADSTS50020, istnieje kilka możliwych przyczyn. Zobacz artykuł dotyczący rozwiązywania problemów związanych z błędem AADSTS50020.

Użytkownik połączenia bezpośredniego B2B nie może uzyskać dostępu do udostępnionego kanału (błąd AADSTS90071)

Jeśli podczas próby uzyskania dostępu do kanału udostępnionego w usłudze Teams innej organizacji w ramach funkcji B2B Direct Connect jest wyświetlany następujący komunikat o błędzie, oznacza to, że organizacja zewnętrzna nie skonfigurowała ustawień zaufania dla uwierzytelniania wieloskładnikowego:

Organizacja, którą próbujesz osiągnąć, musi zaktualizować ich ustawienia, aby umożliwić logowanie.

AADSTS90071: administrator z <organizacji> musi zaktualizować ustawienia dostępu, aby akceptowały uwierzytelnianie wieloskładnikowe dla ruchu przychodzącego.

Organizacja hostująca udostępniony kanał usługi Teams musi włączyć ustawienie zaufania dla uwierzytelniania wieloskładnikowego, aby zezwolić na dostęp do bezpośrednich użytkowników B2B. Ustawienia zaufania można konfigurować w ustawieniach dostępu między dzierżawami w organizacji.

Podczas konfigurowania ustawień dostępu między dzierżawami pojawia się błąd podobny do „Nie można zaktualizować zasad z powodu limitu liczby obiektów”

Podczas konfigurowania ustawień dostępu między dzierżawami, jeśli zostanie wyświetlony komunikat o błędzie o treści „Nie można zaktualizować zasad z powodu limitu obiektów”, osiągnięto limit 25 KB dla obiektów zasad. Pracujemy nad zwiększeniem tego limitu. Jeśli musisz mieć możliwość obliczenia, jak blisko bieżących zasad jest to limit, wykonaj następujące czynności:

1. Otwórz Eksploratora programu Microsoft Graph i uruchom następujące polecenie:

   GET https://graph.microsoft.com/beta/policies/crosstenantaccesspolicy

2. Skopiuj całą odpowiedź JSON i zapisz ją jako plik txt, na przykład policyobject.txt.

3. Otwórz program PowerShell i uruchom następujący skrypt, podstawiając lokalizację pliku w pierwszym wierszu pliku tekstowego:

$policy = Get-Content “C:\policyobject.txt”
$maxSize = 1024*25 
$size = [System.Text.Encoding]::UTF8.GetByteCount($policy) 
write-host "Remaining Bytes available in policy object" 
$maxSize - $size 
write-host "Is current policy within limits?" 
if ($size -le $maxSize) { return “valid” }; else { return “invalid” } 

Użytkownicy nie mogą już odczytywać wiadomości e-mail zaszyfrowanych za pomocą usługi Microsoft Rights Management (OME)

Podczas konfigurowania ustawień dostępu między dzierżawami, jeśli domyślnie zablokujesz dostęp do wszystkich aplikacji, użytkownicy nie będą mogli odczytywać wiadomości e-mail zaszyfrowanych za pomocą usługi Microsoft Rights Management (znanej również jako OME). Aby uniknąć tego problemu, zalecamy skonfigurowanie ustawień ruchu wychodzącego, aby umożliwić użytkownikom dostęp do tego identyfikatora aplikacji: 00000012-0000-0000-c000-000000000000. Jeśli jest to jedyna dozwolona aplikacja, dostęp do wszystkich innych aplikacji zostanie domyślnie zablokowany.

Dodano użytkownika zewnętrznego, ale nie widzę ich w globalnej książce adresowej lub w selektorze osób

W przypadkach, gdy użytkownicy zewnętrzni nie pojawiają się na liście, replikacja obiektu może potrwać kilka minut.

Użytkownik-gość B2B nie jest wyświetlany w selektorze osób usługi SharePoint Online/OneDrive

Możliwość wyszukiwania istniejących użytkowników zewnętrznych w selektorze osób usługi SharePoint Online (SPO) jest domyślnie wyłączona, aby zachować zgodność z dotychczasowym działaniem.

Tę funkcję można włączyć za pomocą ustawienia „ShowPeoplePickerSuggestionsForGuestUsers” na poziomie dzierżawy i na poziomie zbioru witryn. Tę funkcję można ustawić przy użyciu poleceń cmdlet Set-SPOTenant i Set-SPOSite, które umożliwiają członkom wyszukiwanie wszystkich istniejących użytkowników-gości w katalogu. Zmiany w zakresie dzierżawy nie wpływają na już aprowizowane witryny SPO.

Ustawienia zaproszeń gości i ograniczenia dotyczące domen nie są stosowane przez SharePoint Online/OneDrive

Domyślnie usługi SharePoint Online i OneDrive mają własny zestaw opcji użytkownika zewnętrznego i nie używają ustawień z identyfikatora Entra firmy Microsoft. Należy włączyć integrację programów SharePoint i OneDrive z firmą Microsoft Entra B2B , aby upewnić się, że opcje są spójne między tymi aplikacjami.

Zaproszenia zostały wyłączone dla katalogu

Jeśli otrzymasz informację, że nie masz uprawnień do zapraszania użytkowników, sprawdź, czy Twoje konto użytkownika jest upoważnione do zapraszania użytkowników zewnętrznych w obszarze Microsoft Entra ID > Użytkownicy > Ustawienia użytkownika > Użytkownicy zewnętrzni > Zarządzaj ustawieniami współpracy zewnętrznej:

Jeśli ostatnio zmieniono te ustawienia lub przypisano użytkownikowi rolę Gościa zapraszającego, może wystąpić opóźnienie od 15 do 60 minut, zanim zmiany zaczną obowiązywać.

Użytkownik, którego zaprosiłem, otrzymuje komunikat o błędzie podczas realizacji.

Typowe błędy obejmują:

Administrator osoby zapraszanej zablokował tworzenie użytkowników ze zweryfikowanym adresem e-mail w swojej dzierżawie

W przypadku zapraszania użytkowników, których organizacja korzysta z identyfikatora Microsoft Entra ID, ale gdy konto określonego użytkownika nie istnieje (na przykład użytkownik nie istnieje w usłudze Microsoft Entra contoso.com). Administrator contoso.com może mieć zasady uniemożliwiające tworzenie użytkowników. Użytkownik musi skontaktować się z administratorem, aby ustalić, czy użytkownicy zewnętrzni są dozwoleni. Administrator użytkownika zewnętrznego może musieć zezwolić na użytkowników ze zweryfikowanym adresem e-mail w swojej domenie (zobacz ten artykuł o zezwalaniu użytkownikom ze zweryfikowanym adresem e-mail).

Użytkownik zewnętrzny nie istnieje jeszcze w domenie federacyjnej

Jeśli używasz uwierzytelniania federacyjnego, a użytkownik jeszcze nie istnieje w identyfikatorze Microsoft Entra ID, nie można zaprosić użytkownika.

Aby rozwiązać ten problem, administrator użytkownika zewnętrznego musi zsynchronizować konto użytkownika z identyfikatorem Microsoft Entra.

Użytkownik zewnętrzny ma wartość atrybutu proxyAddress, która powoduje konflikt z wartością atrybutu proxyAddress istniejącego użytkownika lokalnego

Gdy sprawdzamy, czy użytkownika można zaprosić do Twojej dzierżawy, sprawdzamy między innymi, czy nie występuje konflikt w atrybucie proxyAddress. Obejmuje to wszystkie wartości atrybutu proxyAddresses dla użytkownika w jego dzierżawie macierzystej oraz każdą wartość atrybutu proxyAddress dla użytkowników lokalnych w Twojej dzierżawie. W przypadku użytkowników zewnętrznych dodamy adres e-mail do atrybutu proxyAddress istniejącego użytkownika B2B. W przypadku użytkowników lokalnych możesz poprosić ich o zalogowanie się przy użyciu już posiadanego konta.

Nie mogę wysłać zaproszenia na adres e-mail z powodu konfliktu w atrybucie proxyAddresses

Dzieje się tak, gdy inny obiekt w katalogu ma ten sam adres e-mail użyty w zaproszeniu jako jedną z wartości atrybutu proxyAddresses. Innym obiektem powodującym konflikt może być użytkownik, grupa lub kontakt platformy Microsoft 365.

Aby rozwiązać ten konflikt, wyszukaj adres e-mail w Centrum administracyjne platformy Microsoft 365, aby znaleźć obiekt powodujący konflikt. Adres e-mail należy usunąć przy użyciu interfejsu API programu Microsoft Graph.

Aby rozwiązać ten konflikt:

1. Zaloguj się w Centrum administracyjnym Microsoft 365.
2. Przejdź do pozycji Użytkownicy>Wszyscy użytkownicy i wyszukaj adres e-mail, który próbujesz zaprosić.
3. Usuń wiadomość e-mail z obiektu użytkownika programu Microsoft Graph.
4. Przejdź do Użytkownicy>Kontakty, aby sprawdzić, czy istnieje kontakt używający tego adresu e-mail.
5. Usuń skojarzony obiekt kontaktowy programu Microsoft Graph.
6. Przejdź do pozycji Zespoły i grupy>Aktywne zespoły i grupy i wyszukaj adres e-mail, który próbujesz zaprosić, i zmień adres e-mail, jeśli zostanie znaleziony.

Po usunięciu powodującego konflikt adresu e-mail możesz zaprosić użytkownika.

W obiekcie użytkownika-gościa atrybut proxyAddresses lub e-mail nie jest wypełniany

Gdy dodasz gościa lub wyślesz do niego zaproszenie przy użyciu adresu e-mail zgodnego z istniejącym w katalogu obiektem Contact, właściwość proxyAddresses obiektu użytkownika-gościa nie jest wypełniana. Ponadto podczas synchronizowania obiektów kontaktów z lokalnej usługi AD, jeśli użytkownik-gość ma zgodną właściwość proxyAddresses, właściwość proxyAddresses powodująca konflikt jest usuwana z istniejącego użytkownika-gościa.

Proces realizacji zaproszenia został zaktualizowany, aby ten scenariusz nie powodował już problemów z realizacją just-in-time ani z uwierzytelnianiem za pomocą jednorazowego kodu dostępu przesyłanego pocztą e-mail. Wcześniej identyfikator zewnętrzny przeszukał tylko właściwość proxyAddresses, więc realizacja z bezpośrednim linkiem lub jednorazowym kodem dostępu nie powiodła się, gdy nie może odnaleźć dopasowania. Teraz usługa External ID przeszukuje właściwości proxyAddresses i adresu e-mail osoby zaproszonej.

Jeśli chcesz zidentyfikować obiekty użytkownika powodujące konflikt w katalogu, wykonaj następujące kroki programu PowerShell:

1. Otwórz moduł Programu PowerShell programu Microsoft Graph i uruchom polecenie Connect-MgGraph.
2. Zaloguj się jako użytkownik z rolą co najmniej Czytelnik katalogów w dzierżawie Microsoft Entra, w której chcesz sprawdzić, czy istnieją zduplikowane obiekty kontaktów.
3. Uruchom polecenie programu PowerShell Get-MgContact -All | ? {$_.Mail -match 'user@domain.com'}.

W jaki sposób element "#", który nie jest zwykle prawidłowym znakiem, synchronizuje się z identyfikatorem Entra firmy Microsoft?

„#” jest znakiem zastrzeżonym w nazwach UPN na potrzeby współpracy B2B w usłudze Microsoft Entra lub dla użytkowników zewnętrznych, ponieważ zaproszone konto user@contoso.com przyjmuje postać user_contoso.com#EXT#@fabrikam.onmicrosoft.com. W związku z tym użytkownicy z symbolem # w nazwach UPN pochodzących ze środowiska lokalnego nie mogą logować się do centrum administracyjnego Microsoft Entra.

Otrzymuję błąd podczas dodawania użytkowników zewnętrznych do zsynchronizowanej grupy

Użytkownicy zewnętrzni mogą być dodawani tylko do grup "przypisanych" lub "zabezpieczeń", a nie do grup, które są opanowane lokalnie.

Mój użytkownik zewnętrzny nie otrzymał wiadomości e-mail w celu realizacji

Osoba zaproszona powinna skontaktować się ze swoim dostawcą usług internetowych (ISP) lub sprawdzić ustawienia filtra spamu, aby upewnić się, że następujący adres jest dozwolony: Invites@microsoft.com.

Zauważyłem, że czasami własna wiadomość nie jest dołączana do wiadomości z zaproszeniem

Aby zachować zgodność z przepisami dotyczącymi prywatności, nasze interfejsy API nie zawierają niestandardowych wiadomości w zaproszeniu e-mail, gdy:

• Osoba zapraszająca nie ma adresu e-mail w dzierżawie zapraszającej
• Gdy jednostka usługi appservice wysyła zaproszenie

Jeśli ten scenariusz jest dla Ciebie ważny, możesz wyłączyć wysyłanie naszej wiadomości e-mail z zaproszeniem do interfejsu API i wysłać ją za pomocą wybranego mechanizmu poczty e-mail. Skontaktuj się z radcą prawnym organizacji, aby upewnić się, że wszelkie wysyłane wiadomości e-mail w ten sposób również są zgodne z przepisami dotyczącymi ochrony prywatności.

Podczas próby zalogowania się do zasobu platformy Azure zostanie wyświetlony błąd "AADSTS65005"

Użytkownik, który ma konto gościa, nie może się zalogować i otrzymuje następujący komunikat o błędzie:

    AADSTS65005: Using application 'AppName' is currently not supported for your organization contoso.com because it is in an unmanaged state. An administrator needs to claim ownership of the company by DNS validation of contoso.com before the application AppName can be provisioned.

Użytkownik ma konto użytkownika Azure i należy do samodzielnie utworzonej dzierżawy, która została porzucona lub nie jest zarządzana. Ponadto w dzierżawcy nie ma administratorów.

Aby rozwiązać ten problem, musisz przejąć opuszczoną dzierżawę. Zapoznaj się z artykułem Przejmowanie niezarządzanego katalogu jako administrator w identyfikatorze Entra firmy Microsoft. Należy również uzyskać dostęp do systemu DNS dostępnego z Internetu dla sufiksu domeny, którego dotyczy problem, aby zapewnić bezpośrednie dowody kontroli nad przestrzenią nazw. Po powrocie dzierżawy do stanu zarządzanego należy omówić z klientem, czy pozostawienie użytkowników i zweryfikowanej nazwy domeny jest najlepszą opcją dla swojej organizacji.

Użytkownik-gość w dzierżawcy typu just-in-time lub „viral” nie może zresetować swojego hasła

Jeśli dzierżawca tożsamości jest dzierżawcą typu just-in-time (JIT) lub dzierżawcą wirusowym (co oznacza, że jest to oddzielny, niezarządzany dzierżawca usługi Azure), tylko użytkownik gościnny może zresetować swoje hasło. Czasami organizacja może przejąć zarządzanie dzierżawami wirusowymi, które są tworzone, gdy pracownicy używają służbowych adresów e-mail, aby zarejestrować się w usługach. Gdy organizacja przejmie kontrolę nad wirusowym dzierżawcą, tylko administrator tej organizacji może zresetować hasło użytkownika lub włączyć funkcję samoobsługowego resetowania hasła. Jeśli to konieczne, jako organizacja zapraszania, możesz usunąć konto użytkownika-gościa z katalogu i wysłać ponownie zaproszenie.

W dzierżawie Azure US Government nie mogę zaprosić użytkownika-gościa do współpracy B2B

W chmurze Azure US Government współpraca B2B jest dostępna między dzierżawami, które obie znajdują się w chmurze Azure US Government i obsługują współpracę B2B. Jeśli zaprosisz użytkownika z dzierżawy, która jeszcze nie obsługuje współpracy B2B, pojawi się błąd. Aby uzyskać szczegółowe informacje i ograniczenia, zobacz artykuł Warianty Microsoft Entra ID P1 i P2.

Jeśli musisz współpracować z organizacją firmy Microsoft Entra, która znajduje się poza chmurą Azure US Government, możesz użyć ustawień chmury firmy Microsoft, aby włączyć współpracę B2B.

Zaproszenie jest zablokowane z powodu zasad dostępu międzydzierżawowego

Podczas próby zaproszenia użytkownika B2B do współpracy może zostać wyświetlony następujący komunikat o błędzie: „To zaproszenie jest blokowane przez ustawienia dostępu między dzierżawami”. Administratorzy zarówno w Twojej organizacji, jak i w organizacji zaproszonego użytkownika muszą skonfigurować ustawienia dostępu między dzierżawcami, aby zezwolić na zaproszenie. Ten komunikat o błędzie pojawi się, jeśli współpraca B2B jest obsługiwana, ale jest blokowana przez ustawienia dostępu między dzierżawcami. Sprawdź ustawienia dostępu między dzierżawami i upewnij się, że umożliwiają one współpracę B2B z użytkownikiem. Podczas próby współpracy z inną organizacją firmy Microsoft Entra w oddzielnej chmurze platformy Microsoft Azure możesz użyć ustawień chmury firmy Microsoft, aby włączyć współpracę firmy Microsoft Entra B2B.

Zaproszenie jest zablokowane z powodu wyłączenia aplikacji Microsoft B2B Cross Cloud Worker

W rzadkich przypadkach może zostać wyświetlony następujący komunikat: „Nie można wykonać tej akcji, ponieważ aplikacja Microsoft B2B Cross Cloud Worker została wyłączona w dzierżawie zaproszonego użytkownika.” Poproś administratora zaproszonego użytkownika o ponowne włączenie go, a następnie spróbuj ponownie". Ten błąd oznacza, że aplikacja Microsoft B2B Cross Cloud Worker została wyłączona w dzierżawie macierzystej użytkownika współpracy B2B. Ta aplikacja jest zwykle włączona, ale mogła zostać wyłączona przez administratora w macierzystej dzierżawie użytkownika za pomocą programu PowerShell lub centrum administracyjnego Microsoft Entra (zobacz Wyłączanie sposobu logowania użytkownika). Administrator w macierzystej dzierżawie użytkownika może ponownie włączyć aplikację za pomocą programu PowerShell lub centrum administracyjnego Microsoft Entra. W centrum administracyjnym wyszukaj „Microsoft B2B Cross Cloud Worker”, aby znaleźć aplikację, wybierz ją, a następnie włącz ją ponownie.

Otrzymuję komunikat o błędzie, że Microsoft Entra ID nie może znaleźć elementu aad-extensions-app w moim dzierżawcy

Jeśli używasz funkcji rejestracji samoobsługowej, takich jak niestandardowe atrybuty użytkownika lub przepływy użytkownika, aplikacja o nazwie aad-extensions-app. Do not modify. Used by AAD for storing user data. jest tworzona automatycznie. Jest używany przez Tożsamość zewnętrzna Microsoft Entra do przechowywania informacji o użytkownikach, którzy się rejestrują, oraz o zebranych atrybutach niestandardowych.

Jeśli przypadkowo usuniesz aad-extensions-app, masz 30 dni na jego przywrócenie. Aplikację można przywrócić przy użyciu modułu Microsoft Graph PowerShell.

1. Uruchom moduł Microsoft Graph PowerShell i uruchom polecenie Connect-MgGraph.
2. Zaloguj się jako co najmniej administrator aplikacji do dzierżawy firmy Microsoft Entra, dla której chcesz odzyskać usuniętą aplikację.
3. Uruchom polecenie programu PowerShell Get-MgDirectoryDeletedItem -DirectoryObjectId {id}. Przykład:

Get-MgDirectoryDeletedItem -DirectoryObjectId '00aa00aa-bb11-cc22-dd33-44ee44ee44ee'
Id                                   DeletedDateTime
--                                   ---------------
00aa00aa-bb11-cc22-dd33-44ee44ee44ee 8/30/2021 7:37:37 AM

1. Uruchom polecenie programu PowerShell Restore-MgDirectoryDeletedItem -DirectoryObjectId {id}. Zastąp {id} część polecenia elementem DirectoryObjectId z poprzedniego kroku.

Powinna zostać wyświetlona przywrócona aplikacja w centrum administracyjnym firmy Microsoft Entra.

Dostęp zewnętrzny zablokowany przez błąd zasad na ekranie logowania

Gdy próbujesz zalogować się do swojej dzierżawy, może zostać wyświetlony następujący komunikat o błędzie: „Administrator sieci ograniczył, do których organizacji można uzyskać dostęp”. Skontaktuj się z działem IT, aby odblokować dostęp". Ten błąd jest związany z ustawieniami ograniczeń dzierżawy. Aby rozwiązać ten problem, poproś zespół IT o wykonanie instrukcji opisanych w tym artykule.

Użytkownicy uzyskują pętlę podczas próby dodania klucza dostępu w aplikacji Authenticator

Organizacje, które wdrażają klucze dostępu i mają zasady dostępu warunkowego, które wymagają uwierzytelniania odpornego na wyłudzanie informacji podczas uzyskiwania dostępu do wszystkich zasobów (dawniej "Wszystkie aplikacje w chmurze") mogą napotkać problem z zapętowaniem, gdy użytkownicy próbują dodać klucz dostępu do aplikacji Microsoft Authenticator. Aby uzyskać więcej informacji i poznać możliwe obejścia, zobacz Obejścia problemu pętli zasad dostępu warunkowego opartych na sile uwierzytelniania.

Zaproszenie zostało zablokowane z powodu braku ustawień dostępu międzydzierżawowego

Może zostać wyświetlony następujący komunikat: „To zaproszenie jest blokowane przez ustawienia dostępu między dzierżawcami w organizacji.” Aby zezwolić na to zaproszenie, administrator musi skonfigurować ustawienia dostępu między dzierżawami". W takim przypadku poproś administratora o sprawdzenie ustawień dostępu między dzierżawami.

Następny krok

• Uzyskiwanie pomocy technicznej dotyczącej współpracy B2B