ゲストを通常ユーザーと見なすように Entra ID を設定することはお勧めできません。悪意のあるゲストがテナントのリソース全体を偵察する可能性があるからです。

<a href="https://learn.microsoft.com/ja-jp/entra/external-id/what-is-b2b">B2B collaboration</a> は、ユーザーがゲストを招待して自分の組織とコラボレーションできるようにする Microsoft Entra ID 機能です。これらのゲストユーザーは「外部 ID」とも呼ばれ、<a href="https://learn.microsoft.com/ja-jp/entra/fundamentals/users-default-permissions#member-and-guest-users">Microsoft が説明している</a>アクセスをデフォルトで取得します。
<blockquote>
ゲストユーザーは各自のプロフィールを管理し、各自のパスワードを変更し、他のユーザー、グループ、アプリケーションに関する特定の情報を取得することができます。ただし、すべてのディレクトリ情報を読み取れるわけではありません。
たとえば、ゲストユーザーは、すべてのユーザーやグループのリスト、他のディレクトリオブジェクトのリストを列挙できません。ゲストを管理者ロールに追加し、完全な読み取りアクセス許可と書き込みアクセス許可を付与することができます。ゲストは他のゲストを招待することもできます。
</blockquote>
そのため、デフォルトでは、ゲストの招待したテナント内の可視性は制限されています。それにもかかわらず、ゲストユーザーにさらに多くのアクセス許可を付与する <a href="https://learn.microsoft.com/ja-jp/entra/fundamentals/users-default-permissions#restrict-guest-users-default-permissions">[ゲストユーザーには、メンバーと同じアクセス権があります (最も包括的)]</a> という設定があります。これには、次の影響があります。
<blockquote>
デフォルトで、メンバーが持つすべてのユーザーアクセス許可をゲストユーザーに付与します。
</blockquote>
この設定を有効にすると、潜在的な攻撃者を含む外部ゲストが容易にユーザー、グループ、その他の資産に関する情報を収集できるようになり、セキュリティリスクが高まります。これにより、テナントの侵害やデータ漏洩の脅威が高まります。
Microsoft も、<a href="https://learn.microsoft.com/ja-jp/entra/fundamentals/configure-security#guests-have-restricted-access-to-directory-objects">セキュリティを強化するために Microsoft Entra を構成する</a>で、「ゲストのディレクトリオブジェクトへのアクセスを制限する」ことを推奨しています。

初期アクセス

有効なアカウント: デフォルトアカウント

有効なアカウント: クラウドアカウント

権限昇格

アカウント操作: 追加のクラウドロール

検出

アカウント検出: メールアカウント

アカウント検出: クラウドアカウント

クラウドサービス検出

偵察

被害を受けたネットワーク情報の収集

アクティブスキャン

通常アカウントと同等のアクセス権を持つゲストアカウント

検出

通常アカウントと同等のアクセス権を持つゲストアカウント

HIGH

バージョン 202405221022