Come configurare un accesso guest sicuro in Microsoft Teams senza compromettere la conformità

Oggi la collaborazione con l’esterno non è più un’eccezione, ma la norma. È molto comune che le aziende condividano documenti, applicazioni e altre risorse con persone esterne all’organizzazione.

Può sembrare complicato, ma piattaforme come Microsoft Teams hanno reso tutto molto più semplice. L’accesso guest di Teams ti permette di condividere le tue informazioni con utenti esterni.

Questa caratteristica, però, può trasformarsi rapidamente in un rischio per la sicurezza se non viene gestita correttamente. Peggio ancora, può generare violazioni di standard di settore come HIPAA, ISO 27001 o CMMC.

La buona notizia è che puoi configurare queste impostazioni per limitare le azioni e l’accesso ai dati da parte dei guest.

In questa guida ti mostriamo i vari metodi che puoi usare per mettere in sicurezza l’accesso guest in Microsoft Teams.

Per una spiegazione visiva dell’argomento, guarda Come configurare un accesso guest sicuro in Microsoft Teams senza compromettere la conformità.

Come abilitare un accesso guest sicuro in Microsoft Teams

Prima di iniziare, è fondamentale assicurarsi che i seguenti requisiti siano soddisfatti.

📌 Prerequisiti:

• Microsoft 365 Business Premium (licenza E3 o E5)
• Ruolo di amministratore globale, amministratore di Teams o amministratore della conformità
• PowerShell 7+ con i moduli Microsoft Teams, AzureAD e MSGraph
• Accesso condizionale e Microsoft Defender for Cloud Apps (facoltativi)
• RMM (ad esempio NinjaOne) per il controllo del registro di sistema o dei GPO (facoltativo)

📌 Strategie di implementazione consigliate:

Metodo 1: abilitare l’accesso guest in Azure AD (Microsoft Entra)

📌 Situazione d’uso: configurare le policy di accesso guest in Azure AD per consentire ai collaboratori esterni di accedere a SharePoint, Teams o OneDrive.

A. Verificare o abilitare l’accesso guest

Connect-AzureAD

Get-AzureADPolicy | Where-Object {$_.DisplayName -eq "B2BGuest"} 

B. Se non è configurato, consentire gli inviti ai guest

Set-AzureADPolicy -Id <policyId> -Definition @('{"GuestUserInvitation": "Enabled"}')

Assicurati che le restrizioni di accesso per gli utenti guest siano impostate su “Gli utenti guest hanno accesso limitato alle proprietà e alle appartenenze degli oggetti directory”.

Metodo 2: abilitare l’accesso guest nell’interfaccia di amministrazione di Microsoft Teams

📌 Situazione d’uso: consentire agli utenti guest di partecipare a canali, riunioni e chat di Teams abilitando le impostazioni di accesso guest nell’interfaccia di amministrazione di Teams o tramite PowerShell.

A. Dall’interfaccia di amministrazione di Teams

1. Vai all’interfaccia di amministrazione di Microsoft Teams.
2. Spostati su Impostazioni dell’organizzazione > Accesso guest.
3. Imposta Accesso guest su Attivato.
4. Configura le autorizzazioni, ad esempio:
   1. Condivisione dei file.
   2. Partecipazione alle riunioni.
   3. Autorizzazioni per le chiamate.

Assicurati che le impostazioni di accesso guest di Teams siano allineate alle policy di conformità della tua organizzazione.

B. Tramite PowerShell

Connect-MicrosoftTeams

Set-CsTeamsClientConfiguration -AllowGuestUser $true

Metodo 3: configurare le policy di accesso guest di Teams per la sicurezza

📌 Situazione d’uso: limitare le funzionalità degli utenti guest, come la condivisione video, l’installazione di app o la creazione di canali, per mantenere un ambiente Microsoft Teams sicuro e collaborativo.

A. Limitare le funzionalità guest più rischiose

Set-CsTeamsGuestMeetingConfiguration -AllowIPAudio $false -AllowIPVideo $false

Set-CsTeamsMessagingPolicy -Identity Global -AllowUserCreateUpdateRemoveConnectors $false

B. Applicare una policy di messaggistica per gli utenti guest

Grant-CsTeamsMessagingPolicy -PolicyName "GuestMessagingPolicy" -Identity [email protected]

C. Usare l’interfaccia di amministrazione di Teams per limitare

• La condivisione dello schermo.
• Le integrazioni di app.
• La creazione di canali.

Metodo 4: monitorare accessi e attività dei guest

📌 Situazione d’uso: tracciare e controllare l’attività degli utenti guest tramite il portale di conformità Microsoft Purview.

A. Abilitare il controllo dal portale di conformità Microsoft Purview

1. Vai su Microsoft Purview > Controllo.
2. Abilita la registrazione di controllo, se non è già attiva.
3. Cerca nei log eventi come “Utente aggiunto al gruppo” o “File condiviso esternamente”.

B. Elencare gli account guest con PowerShell

Usa lo script qui sotto per elencare tutti gli account guest attualmente registrati nel tuo Microsoft Entra.

Get-AzureADUser -Filter "UserType eq 'Guest'" | Select DisplayName, UserPrincipalName, AccountEnabled

C. Esportare i dati degli account guest per la documentazione

Esegui il comando qui sotto per salvare l’elenco degli utenti guest registrati in un file CSV da usare come documentazione.

Get-AzureADUser -Filter "UserType eq 'Guest'" |

Export-Csv "C:\Reports\TeamsGuestAccounts.csv" -NoTypeInformation

Metodo 5: impostare una scadenza o un calendario di revisione per gli account guest

📌 Situazione d’uso: creare policy di scadenza e revisioni automatizzate degli account guest per limitare l’accesso agli utenti inattivi.

A. Usare Microsoft Entra Access Reviews o script personalizzati per individuare i guest inattivi

Filtra gli account guest inattivi registrati in Azure AD.

Get-AzureADUser -Filter "UserType eq 'Guest'" |

Where-Object { $_.AccountEnabled -eq $true -and $_.CreationType -eq "Invitation" } |

ForEach-Object {

# Custom logic for review or expiration tagging

}

B. Registrare i dati nel registro di sistema sugli endpoint ibridi (facoltativo)

Registra i risultati localmente nel registro di sistema.

New-Item -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "LastAudit" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "GuestCount" -Value 12

C. Verificare tramite CMD

Controlla le voci del registro di sistema con il comando seguente:

reg query HKLM\SOFTWARE\Org\GuestAudit

⚠️ Aspetti a cui prestare attenzione

Tieni presenti queste insidie mentre segui la nostra guida:

Consigli avanzati per rendere l’accesso guest di Microsoft Teams più sicuro e più intelligente

Ecco alcuni consigli in più per costruire un ambiente Microsoft 365 sicuro e collaborativo:

Usa l’accesso condizionale per controllare come accedono i guest.

L’accesso condizionale ti permette di definire regole sugli accessi dei guest. Ad esempio, ti consente di applicare misure di sicurezza aggiuntive come l’autenticazione a più fattori (MFA), in modo che agli utenti non basti una password per accedere alle tue risorse.

Puoi anche usarlo per bloccare l’accesso da località o dispositivi a rischio, impostando condizioni che valutano la provenienza di ogni login.

Applica policy di prevenzione della perdita di dati (DLP) per impedire la condivisione non autorizzata delle informazioni.

Per impedire agli utenti guest di condividere dati sensibili con l’esterno, crea policy DLP che analizzino messaggi, file ed email dei guest alla ricerca di contenuti sensibili. Puoi anche configurare queste policy in modo che blocchino tali azioni o ti inviino un avviso.

Crea barriere informative per impedire agli utenti guest di interagire con determinati gruppi.

Le barriere informative segmentano la comunicazione tra gruppi, impedendo a due parti di scambiarsi messaggi o di vedere reciprocamente i propri profili. Questa caratteristica è perfetta se lavori con due fornitori concorrenti su progetti diversi.

Puoi configurare le barriere informative in modo che il primo fornitore non possa interagire con il secondo né vederlo, anche se entrambi hanno effettuato l’accesso al tuo ambiente Microsoft.

Monitora l’accesso guest sulle macchine locali tramite GPO o impostazioni del registro di sistema.

Monitorare l’attività di accesso guest sulle macchine locali può essere complicato quando si gestiscono più sistemi aggiunti al dominio.

La buona notizia è che puoi usare gli oggetti Criteri di gruppo (GPO) o le impostazioni del registro di sistema per registrare localmente l’attività dei guest, attivare controlli e contare gli account guest registrati su una singola macchina.

Problemi comuni con l’accesso guest di Microsoft Teams e come risolverli

Il guest non riesce ad accedere a Microsoft Teams

Se un utente guest non riesce ad accedere a Microsoft Teams nonostante l’invito, significa che l’impostazione B2B di Azure AD o l’accesso guest di Teams non è stato configurato correttamente.

In questo caso, vai su Azure AD e controlla che le impostazioni di collaborazione B2B consentano gli inviti ai guest. Assicurati inoltre che l’accesso guest di Teams sia abilitato sia in PowerShell sia nell’interfaccia di amministrazione di Teams.

Infine, verifica che il guest faccia parte del gruppo Teams corretto e che il suo account Azure AD sia attivo. A volte il problema dipende da un’appartenenza a un gruppo mancante o da un account disabilitato.

Log di controllo mancanti

Se stai cercando una specifica attività di un guest in Microsoft Purview e non la trovi, molto probabilmente la registrazione di controllo non era abilitata quando l’evento si è verificato.

Per evitarlo, verifica che la registrazione di controllo sia abilitata in Microsoft Purview e controlla le impostazioni di conservazione prima di invitare i guest.

Script che non funzionano su più tenant

Se uno dei tuoi script funziona perfettamente su un tenant e genera errori su un altro, conviene usare l’accesso delegato con il Secure App Model. Questo metodo di autenticazione è ideale negli scenari multi-tenant.

Inoltre, valuta il passaggio all’autenticazione basata su certificati con i token di Microsoft Graph per l’automazione tra tenant diversi.

I guest mantengono vecchie autorizzazioni.

Rimuovere un guest da un team o da un gruppo non revoca automaticamente il suo accesso alle altre risorse condivise.

Devi rimuovere manualmente le assegnazioni obsolete ai gruppi di Azure AD o le appartenenze a Teams, oppure usare script PowerShell per automatizzare la pulizia.

Mettere in sicurezza l’accesso guest in Microsoft Teams con NinjaOne

NinjaOne semplifica la messa in sicurezza dell’accesso guest grazie a:

• Distribuzione di script di controllo basati su PowerShell su endpoint ibridi.
• Lettura e invio di avvisi sulle chiavi di registro che tracciano i risultati dei controlli sui guest.
• Assegnazione di tag ai dispositivi o ai tenant con un numero elevato di guest per la revisione di sicurezza.
• Generazione di report pronti per la business review trimestrale su utilizzo, rischi e diritti dei guest in Teams.
• Automazione dei controlli sull’accesso guest durante l’onboarding, l’offboarding o le finestre di revisione pianificate.

Con NinjaOne, gli MSP possono standardizzare e scalare una collaborazione sicura in Microsoft Teams su tutti i tenant gestiti.

Crea ambienti collaborativi sicuri gestendo l’accesso guest in Microsoft Teams

Non devi sacrificare la conformità per creare ambienti Microsoft 365 collaborativi.

Imparando a controllare l’accesso guest di Teams e implementando controlli periodici, puoi aiutare i tuoi clienti a costruire solide relazioni di business senza preoccuparti della sicurezza.

Argomenti correlati:

• Come usare Microsoft Teams per una collaborazione fluida sul lavoro
• Come usare Microsoft Teams per una collaborazione fluida sul lavoro
• Come creare e gestire un team in Microsoft Teams
• Come creare e gestire un team in Microsoft Teams