来宾帐户是外部身份，当获得特权角色分配时，可能会造成安全风险。这将授予外部个体在您组织内的租户中相当大的特权。

<a href="https://learn.microsoft.com/zh-cn/entra/external-id/what-is-b2b">B2B collaboration</a> 是 Microsoft Entra ID 的一项功能，可让用户邀请来宾与您的组织进行协作。默认情况下，这些来宾帐户（也称为“外部身份”）会获得如下访问权限，如 <a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/users-default-permissions#member-and-guest-users">Microsoft 所述</a>：
<blockquote>
他们可以管理自己的配置文件、更改自己的密码，并检索有关其他用户、组和应用程序的某些信息。但是，他们无法读取所有目录信息。
例如，来宾用户无法枚举所有用户、组和其他目录对象的列表。您可以将来宾用户添加为管理员角色，并授予其完整的读取和写入权限。来宾用户还可以邀请其他来宾。
</blockquote>
特权角色天然具有更高的特权。获得特权角色分配的来宾帐户会带来安全风险，并显著增加租户的攻击面。这尤其令人担忧，因为来宾帐户可能应用了较弱的安全策略，使其更容易遭到入侵。此外，为来宾用户分配特权角色会降低可追踪性，使得监控和审计其活动变得更加困难。在最坏的情况下，此类分配甚至可能表明已经发生入侵，因为威胁制造者常常利用来宾帐户进行未经授权的访问，并在环境中横向移动。
仔细监控这些来宾帐户，并确保不要为它们分配特权角色。
Microsoft 在“<a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/configure-security#guests-are-not-assigned-high-privileged-directory-roles">配置 Microsoft Entra 以提高安全性</a>”一文中还建议“来宾用户不应被分配具有高特权的目录角色”。

初始访问

有效帐户：默认帐户

有效帐户：云端帐户

侦查

检测

具有特权角色的来宾帐户

HIGH

版本 202510271638

版本 202507150942

版本 202403251434

版本 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
版本 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
版本 202403251434 Mar 25, 2024, 2:34 PM New Release: 202403251434