Pontos principais
- Pré-requisitos antes de ativar o acesso de convidados: Microsoft 365 Business Premium (licença E3 ou E5), função de Administrador Global, do Teams ou de Conformidade e PowerShell 7+ com os módulos do Microsoft Teams e MSGraph instalados.
- Ative o acesso de convidados no Centro de administração do Teams E no PowerShell; ativar em apenas um dos dois continua bloqueando o acesso. Vá em Configurações para toda a organização > Acesso de convidado no Centro de administração e execute Set-CsTeamsClientConfiguration -AllowGuestUser $true no PowerShell.
- Restrinja por política os recursos de risco para convidados. Desative áudio/vídeo por IP, compartilhamento de tela, integrações de aplicativos e criação de canais com Set-CsTeamsGuestMeetingConfiguration e as permissões de convidado no Centro de administração do Teams.
- Audite e monitore toda a atividade dos convidados com o Microsoft Purview, ative o log de auditoria antes de convidar qualquer pessoa e use o PowerShell (Get-MgUser) para listar e exportar as contas de convidado como documentação de conformidade.
- Defina políticas de expiração para contas de convidado e faça revisões periódicas de acesso, usando as Revisões de Acesso do Microsoft Entra ou scripts do PowerShell para remover convidados inativos e revogar permissões obsoletas em todas as atribuições de grupo do Microsoft Entra.
- Reforce a segurança do login dos convidados com Acesso Condicional e DLP, exija autenticação multifator (Multi-Factor Authentication) em todos os logins de convidado, bloqueie acessos de dispositivos ou locais de risco e configure políticas de prevenção contra perda de dados para impedir o compartilhamento não autorizado de informações sensíveis.
Hoje, a colaboração externa deixou de ser exceção e virou rotina. É muito comum que empresas compartilhem documentos, aplicativos e outros recursos com pessoas de fora da organização.
Pode parecer complicado, mas plataformas como o Microsoft Teams tornaram tudo bem mais simples. O acesso de convidados do Teams permite compartilhar informações com usuários externos.
Porém, esse recurso vira rapidamente um risco de segurança quando não é bem gerenciado. Pior: pode gerar violações de conformidade com normas do setor, como HIPAA, ISO 27001 ou CMMC.
A boa notícia é que dá para configurar essa opção e limitar o que os convidados fazem e quais dados acessam.
Neste guia, mostramos os vários métodos disponíveis para proteger o acesso de convidados no Microsoft Teams.
Para ver uma explicação visual do tema, assista a Como configurar um acesso de convidados seguro no Microsoft Teams sem comprometer a conformidade.
Mantenha mais controle sobre o ambiente de TI à medida que a colaboração cresce.
Comece um teste grátis do gerenciamento unificado de endpoints do NinjaOne
Como ativar um acesso de convidados seguro no Microsoft Teams
Antes de começar, garanta que os requisitos abaixo estejam atendidos.
📌 Pré-requisitos:
- Microsoft 365 Business Premium (licença E3 ou E5)
- Função de Administrador Global, Administrador do Teams ou Administrador de Conformidade
- PowerShell 7+ com os módulos do Microsoft Teams, AzureAD e MSGraph
- Acesso Condicional e Microsoft Defender for Cloud Apps (opcional)
- RMM (por exemplo, NinjaOne) para auditoria de registro ou GPO (opcional)
📌 Estratégias de implantação recomendadas:
Método 1: ative o acesso de convidados no Azure AD (Microsoft Entra)
📌 Caso de uso: configure políticas de acesso de convidados no Azure AD para dar a colaboradores externos acesso ao SharePoint, ao Teams ou ao OneDrive.
A. Verifique ou ative o acesso de convidados
Connect-AzureAD
Get-AzureADPolicy | Where-Object {$_.DisplayName -eq "B2BGuest"}
B. Se não estiver configurado, permita convites para convidados
Set-AzureADPolicy -Id <policyId> -Definition @('{"GuestUserInvitation": "Enabled"}')
Confirme que as restrições de acesso de usuário convidado estejam definidas como “Usuários convidados têm acesso limitado a propriedades e associações de objetos de diretório”.
Método 2: ative o acesso de convidados no Centro de administração do Microsoft Teams
📌 Caso de uso: permita que usuários convidados participem de canais, reuniões e chats do Teams ativando as configurações de acesso de convidado no Centro de administração do Teams ou pelo PowerShell.
A. Pelo Centro de administração do Teams
- Acesse o Centro de administração do Microsoft Teams.
- Vá em Configurações para toda a organização > Acesso de convidado.
- Mude Acesso de convidado para Ativado.
- Configure permissões como:
- compartilhamento de arquivos;
- participação em reuniões;
- permissões de chamada.
Confirme que as configurações de acesso de convidado do Teams estejam alinhadas às políticas de conformidade da sua organização.
B. Pelo PowerShell
Connect-MicrosoftTeams
Set-CsTeamsClientConfiguration -AllowGuestUser $true
Método 3: configure políticas de acesso de convidados no Teams para mais segurança
📌 Caso de uso: restrinja recursos de usuários convidados, como compartilhamento de vídeo, instalação de aplicativos ou criação de canais, para manter um ambiente colaborativo e seguro no Microsoft Teams.
A. Limite os recursos de risco para convidados
Set-CsTeamsGuestMeetingConfiguration -AllowIPAudio $false -AllowIPVideo $false
Set-CsTeamsMessagingPolicy -Identity Global -AllowUserCreateUpdateRemoveConnectors $false
B. Aplique uma política de mensagens para usuários convidados
Grant-CsTeamsMessagingPolicy -PolicyName "GuestMessagingPolicy" -Identity [email protected]
C. Use o Centro de administração do Teams para restringir
- compartilhamento de tela;
- integrações de aplicativos;
- criação de canais.
Método 4: monitore o acesso e a atividade dos convidados
📌 Caso de uso: acompanhe e audite a atividade dos usuários convidados pelo Portal de Conformidade do Microsoft Purview.
A. Ative a auditoria pelo Portal de Conformidade do Microsoft Purview
- Acesse Microsoft Purview > Auditoria.
- Ative o log de auditoria, se ainda não estiver ativo.
- Pesquise nos logs eventos como “Usuário adicionado ao grupo” ou “Arquivo compartilhado externamente”.
B. Liste as contas de convidado com o PowerShell
Use o script abaixo para listar todas as contas de convidado registradas no seu Microsoft Entra.
Get-AzureADUser -Filter "UserType eq 'Guest'" | Select DisplayName, UserPrincipalName, AccountEnabled
C. Exporte os dados das contas de convidado para documentação
Execute o comando abaixo para salvar a lista de usuários convidados registrados em um arquivo CSV de documentação.
Get-AzureADUser -Filter "UserType eq 'Guest'" |
Export-Csv "C:\Reports\TeamsGuestAccounts.csv" -NoTypeInformation
Método 5: defina expiração ou um calendário de revisão para contas de convidado
📌 Caso de uso: crie políticas de expiração e revisões automatizadas para contas de convidado e restrinja o acesso de usuários inativos.
A. Use as Revisões de Acesso do Microsoft Entra ou scripts próprios para identificar convidados inativos
Filtre as contas de convidado inativas registradas no Azure AD.
Get-AzureADUser -Filter "UserType eq 'Guest'" |
Where-Object { $_.AccountEnabled -eq $true -and $_.CreationType -eq "Invitation" } |
ForEach-Object {
# Custom logic for review or expiration tagging
}
B. Registre no registro em endpoints híbridos (opcional)
Salve os resultados localmente no registro.
New-Item -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "LastAudit" -Value (Get-Date).ToString("u")
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "GuestCount" -Value 12
C. Verifique pelo CMD
Confira as entradas do registro com o comando abaixo:
reg query HKLM\SOFTWARE\Org\GuestAudit
⚠️ Pontos de atenção
Fique de olho nestas armadilhas ao seguir o guia:
| Riscos | Possíveis consequências | Como reverter |
| Ativar o acesso de convidados no Teams pelo PowerShell sem ativá-lo no Centro de administração | Os convidados continuam bloqueados e sem acesso aos recursos do Teams. | Verifique se a configuração foi ativada tanto no PowerShell quanto no Centro de administração do Teams. |
| Não avisar sobre o tempo de propagação após mudanças feitas no PowerShell | Os usuários podem abrir chamados por engano. | Informe as partes interessadas de que o PowerShell pode levar até 24 horas para surtir efeito em todos os serviços. |
| Aplicar políticas restritivas em toda a organização sem testar | Usuários internos podem perder acesso a recursos sem querer. | Teste as políticas em um grupo piloto antes de aplicá-las em toda a empresa. |
| Exportar dados de convidados para um local sem proteção | Informações sensíveis dos convidados podem ficar expostas. | Salve os relatórios em pastas criptografadas ou em armazenamento seguro na nuvem, com acesso restrito. |
| Executar scripts de revisão de contas de convidado sem filtrar os usuários ativos | A revisão pode incluir contas desativadas ou irrelevantes. | Use filtros como AccountEnabled -eq $true para considerar apenas convidados ativos. |
| Gravar dados de auditoria no registro sem checar as permissões | O script pode falhar ou gerar erros em endpoints sem direitos de administrador. | Execute os scripts com privilégios elevados e valide o acesso ao registro antes. |
Dicas avançadas para um acesso de convidados mais seguro e inteligente no Microsoft Teams
Mais algumas dicas para montar um ambiente Microsoft 365 seguro e colaborativo:
Use o Acesso Condicional para controlar como os convidados fazem login
O Acesso Condicional permite criar regras para os logins de convidados. Por exemplo, dá para aplicar medidas extras de segurança, como a autenticação multifator (MFA), de modo que o usuário precise de mais do que uma senha para acessar seus recursos.
Também é possível bloquear o acesso a partir de locais ou dispositivos de risco, definindo condições que avaliam a origem do login.
Use políticas de prevenção contra perda de dados (DLP) para evitar compartilhamentos indevidos
Para impedir que usuários convidados compartilhem dados sensíveis com terceiros, crie políticas de DLP que examinem mensagens, arquivos e e-mails dos convidados em busca de conteúdo sensível. Essas políticas também podem bloquear a ação ou gerar um alerta.
Crie barreiras de informações para impedir que convidados interajam com determinados grupos
As barreiras de informações segmentam a comunicação entre grupos e impedem que duas partes troquem mensagens ou vejam o perfil uma da outra. É um recurso perfeito quando você trabalha com dois fornecedores concorrentes em projetos diferentes.
Dá para configurar barreiras de informações para que o primeiro fornecedor não interaja nem enxergue o segundo, mesmo que ambos estejam conectados ao seu ambiente Microsoft.
Acompanhe o acesso de convidados nas máquinas locais com GPO ou configurações do registro
Acompanhar a atividade de acesso de convidados nas máquinas locais é um desafio quando há vários sistemas ingressados no domínio.
A boa notícia é que você pode usar Objetos de Política de Grupo (GPOs) ou configurações do registro para registrar a atividade dos convidados localmente, disparar auditorias e contar quantas contas de convidado existem em uma única máquina.
Problemas comuns no acesso de convidados do Microsoft Teams e como resolvê-los
O convidado não consegue acessar o Microsoft Teams
Se um usuário convidado não acessa o Microsoft Teams mesmo depois de ser convidado, a configuração de B2B do Azure AD ou o acesso de convidados do Teams não foi configurado corretamente.
Nesse caso, acesse o Azure AD e verifique se as configurações de colaboração B2B permitem convites para convidados. Confirme também se o acesso de convidados do Teams está ativado tanto no PowerShell quanto no Centro de administração do Teams.
Por fim, verifique se o convidado faz parte do grupo correto no Teams e se a conta dele no Azure AD está ativa. Às vezes o problema vem de uma associação de grupo que ficou faltando ou de uma conta desativada.
Logs de auditoria ausentes
Se você procura uma atividade específica de convidado no Microsoft Purview e não encontra nada, é bem provável que o log de auditoria não estivesse ativo quando o evento aconteceu.
Para evitar isso, confirme se o log de auditoria está ativado no Microsoft Purview e revise as configurações de retenção antes de convidar os convidados.
Scripts que falham entre tenants
Se um dos seus scripts funciona perfeitamente em um tenant e dá erro em outro, use o acesso delegado com o Secure App Model. Esse método de autenticação é ideal para cenários com vários tenants.
Vale também migrar para a autenticação baseada em certificado com tokens do Microsoft Graph para automações entre tenants.
Convidados mantêm permissões antigas
Remover um convidado de uma equipe ou grupo não revoga automaticamente o acesso dele a outros recursos compartilhados.
É preciso remover manualmente as atribuições de grupo obsoletas do Azure AD ou as associações no Teams, ou usar scripts do PowerShell para automatizar essa limpeza.
Mantenha a colaboração externa segura sem abrir mão da visibilidade de TI.
Como proteger o acesso de convidados no Microsoft Teams com NinjaOne
NinjaOne simplifica a proteção do acesso de convidados ao:
- implantar scripts de auditoria em PowerShell nos endpoints híbridos;
- ler chaves de registro que guardam os resultados das auditorias de convidados e gerar alertas sobre elas;
- marcar dispositivos ou tenants com alto volume de convidados para revisão de segurança;
- gerar relatórios prontos para QBR sobre uso, riscos e direitos dos convidados no Teams;
- automatizar as verificações de acesso de convidados durante o onboarding, o offboarding ou as janelas de revisão programadas.
Com NinjaOne, MSPs padronizam e escalam a colaboração segura no Microsoft Teams em todos os tenants gerenciados.
Ambientes colaborativos e seguros começam pelo gerenciamento do acesso de convidados no Microsoft Teams
Não é preciso abrir mão da conformidade para criar ambientes colaborativos no Microsoft 365.
Ao aprender a controlar o acesso de convidados do Teams e fazer auditorias regulares, você ajuda seus clientes a construir relações comerciais sólidas sem medo pela segurança.
Temas relacionados:
