訪客帳戶是外部身分，一旦獲派特權角色就可能造成安全風險。這會將租用戶的重大特權授予組織外部人員。

<a href="https://learn.microsoft.com/zh-tw/entra/external-id/what-is-b2b">B2B collaboration</a> 是 Microsoft Entra ID 的一項功能，可供您的使用者邀請訪客與貴組織協作。根據預設，這些訪客帳戶 (也稱為「外部身分」) 會取得 <a href="https://learn.microsoft.com/zh-tw/entra/fundamentals/users-default-permissions#member-and-guest-users">Microsoft 所述的存取權</a>:
<blockquote>
他們可以管理自己的設定檔、變更自己的密碼，以及擷取有關其他使用者、群組和應用程式的特定資訊。但是，他們無法讀取所有目錄資訊。
例如，訪客使用者無法列舉所有使用者、群組和其他目錄物件的清單。您可以指派管理員角色給訪客，授予他們完整的讀取和寫入權限。訪客也可以邀請其他訪客。
</blockquote>
從定義上來看，特權角色本身就擁有較高的特權。一旦訪客帳戶獲派特權角色，就會造成安全風險，並顯著增加租用戶的攻擊破綻。另外由於訪客帳戶適用的安全性原則可能較脆弱，更容易受到入侵，因此這項問題需要特別注意。此外，向訪客使用者指派特權角色會導致其行為難以追蹤，進而增加監控和稽核的難度。最糟的情況是，此類指派可能反映出帳戶已受到入侵，因為威脅執行者經常利用訪客帳戶來竊取未授權的存取權，並在系統內部進行橫向滲透。
請仔細監控這些訪客帳戶，並避免向其指派特權角色。
Microsoft 在<a href="https://learn.microsoft.com/zh-tw/entra/fundamentals/configure-security#guests-are-not-assigned-high-privileged-directory-roles">設定 Microsoft Entra 以提高安全性</a>中也建議「來賓未獲指派高特權目錄角色」。

原始存取

有效帳戶: 預設帳戶

有效帳戶: 雲端帳戶

偵察

偵測

訪客帳戶具有特權角色

HIGH

版本 202507150942

版本 202403251434

版本 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
版本 202403251434 Mar 25, 2024, 2:34 PM New Release: 202403251434