Det tager et minut at invitere en ekstern samarbejdspartner ind i et Teams-kanal eller en delt mappe. Det kan tage år, før nogen fjerner invitationen igen. Gæstekonti er derfor et af de områder, hvor en test af Entra ID kan finde noget: konti hos tidligere leverandører, konsulenter fra afsluttede projekter og personer, ingen i virksomheden kan sætte navn på. Svaret på, hvad I gør, hviler på tre spørgsmål, som også går igen i Microsofts vejledning om eksternt samarbejde: hvem må invitere, hvad må gæsterne se, og hvem bekræfter jævnligt, at de stadig skal være der?
Hvad en gæst er
En gæst er en person fra en anden organisation, som har fået en konto i jeres lejer, så personen kan samarbejde på jeres filer, kanaler eller programmer. Personen logger typisk ind med sin egen organisations konto, og jeres lejer stoler på det login.
Det er en praktisk ordning. Alternativet var tidligere, at eksterne fik en almindelig medarbejderkonto, og det var værre. Men en gæst er stadig en konto i jeres katalog. Den kan have adgang til data, den kan se dele af kataloget, og den kan i nogle opsætninger selv invitere andre.
Gæster kommer ind ad flere veje. Nogle inviteres direkte af IT. Andre opstår som en sidevirkning, når en medarbejder deler et dokument eller tilføjer en ekstern deltager i Teams. Det betyder, at IT-afdelingen måske ikke har en liste over, hvorfor de enkelte gæster findes. Når testen tæller dem, kan antallet derfor være en overraskelse, også for dem, der passer lejeren. Det er ikke i sig selv et tegn på dårlig drift. Det er et tegn på, at samarbejdet fungerer, men at ingen har ansvaret for at afslutte det.
Hvad testen finder
En test ser på, hvilke gæster der findes, hvad de kan, og hvordan de er kommet ind. Typiske fund er:
- Gamle gæster · konti, der ikke har været brugt i lang tid, og som tilhører personer, der har skiftet job eller er færdige med samarbejdet. → Inaktive konti og gamle computere
- Gæster med vid indsigt · opsætninger, hvor gæster kan se næsten lige så meget af kataloget som medarbejdere.
- Alle kan invitere · standardopsætningen, hvor alle brugere, og i nogle tilfælde også gæster, kan invitere nye eksterne.
- Gæster i grupper med adgang til følsomme data · en gæst, der blev tilføjet en bred gruppe, og derfor har adgang til mere end det, samarbejdet krævede.
- Gæster uden for reglerne for login · regler om tofaktor, der kun gælder egne medarbejdere. → Betinget adgang i Entra ID
- Gæster med roller · eksterne, der har fået administrative roller til en opgave og beholdt dem.
Gæstefund hænger tæt sammen med deling. En gæst med adgang til en mappe, hvor der også ligger et link, der er delt med alle, er et samlet billede af, hvordan data forlader virksomheden. → Ekstern deling i SharePoint, OneDrive og Teams
Indstillingerne, der afgør meget
Microsoft beskriver indstillingerne for eksternt samarbejde i tre lag, som testen kan kommentere.
Hvad gæster kan se. Gæster kan have samme adgang til kataloget som medarbejdere, en begrænset adgang, som er standarden, eller kun adgang til deres egen profil. Jo mere de kan se, jo mere kan en kompromitteret gæstekonto bruges til at kortlægge jeres organisation.
Hvem der kan invitere. Ifølge Microsoft kan alle brugere som udgangspunkt invitere eksterne, også gæster. Indstillingen kan begrænses til medlemmer, til bestemte roller eller lukkes helt.
Hvilke domæner der må inviteres fra. Invitationer kan begrænses til organisationer, I samarbejder med, eller lukkes for bestemte domæner.
Hvilken opsætning der passer, afhænger af, hvor meget I samarbejder udadtil. En virksomhed med mange skiftende partnere har brug for en anden balance end en, der kun deler med revisor og driftsleverandør. Testen kan vise konsekvenserne af valget, ikke træffe det for jer.
Oprydning er et ejerskabsspørgsmål
Den tekniske del af oprydningen er enkel. Det svære er at vide, hvilke gæster der skal blive. IT-afdelingen kender måske ikke baggrunden for en invitation, og den medarbejder, der inviterede, er måske ikke længere i virksomheden.
Microsoft peger på gennemgang af adgang som løsningen: ejeren af en gruppe eller et program bekræfter jævnligt, at gæsterne stadig har et forretningsmæssigt behov. Det flytter beslutningen derhen, hvor viden er. Funktionen kræver bestemte licenser, men princippet kan bruges uden, fx som en fast runde, hvor afdelingerne får en liste over deres gæster og svarer på, hvem der skal blive. → Oprydning efter testen
En plan efter testen kan se sådan ud:
- Fjern de oplagte · gæster fra afsluttede samarbejder og konti, der ikke har været brugt længe.
- Find ejere · hver tilbageværende gæst knyttes til en afdeling eller en ejer.
- Stram indstillingerne · begræns, hvem der kan invitere, og hvad gæster kan se.
- Saml gæster i bestemte grupper · så de ikke ender i brede grupper med adgang til meget.
- Indfør fast gennemgang · med en tydelig frist for svar og en standard for, hvad der sker, hvis ingen svarer.
Det, testen skal have med
- Gæstetestkonto · en gæst, inviteret fra en anden organisation, så testen kan vise, hvad en ekstern faktisk kan.
- Samarbejdsbehov · en kort beskrivelse af, hvem I samarbejder med, og hvordan.
- Kendte partnere med roller · eksterne, der bevidst har administrative rettigheder.
- Ejer af indstillingerne · hvem der kan tage stilling til ændringer i eksternt samarbejde.
Det skal I lade være med
- At slette alle gæster på én gang. Et igangværende samarbejde med en vigtig kunde kan stoppe.
- At lade IT afgøre, hvilke gæster der skal blive. Det er afdelingerne, der kender samarbejdet.
- At lade alle invitere uden opfølgning. Antallet af gæster vokser hurtigere end nogen kan følge med i.
- At glemme gæster i reglerne for login. De logger ind i jeres lejer og skal være omfattet.
- At give gæster roller uden slutdato. Ekstern administration skal være tidsbegrænset.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke gæster der fandtes, hvad de kunne se og nå med den opsætning, der var på testtidspunktet, og hvad en gæstekonto kunne i de dele af lejeren, der var med. Den kan ikke vise, om en bestemt gæst har et legitimt behov. Den kan heller ikke sige noget om gæsternes egne organisationer og deres sikkerhed. Når gæster logger ind med deres egen organisations konto, er dén en del af kæden.
Tjekliste til gæster og eksterne
- ☐ Er gamle og ubrugte gæstekonti fjernet?
- ☐ Har hver gæst en ejer i virksomheden?
- ☐ Er det begrænset, hvem der kan invitere?
- ☐ Er gæsternes indsigt i kataloget begrænset?
- ☐ Er gæster omfattet af reglerne for login?
- ☐ Er der aftalt en fast gennemgang af gæster?
Kilder
- Microsoft Learn: Configure external collaboration: niveauer for gæsters adgang til kataloget, standard hvor alle brugere og gæster kan invitere, og begrænsning af domæner.
- Microsoft Learn: What are access reviews?: gennemgang af adgang, hvor gruppeejere bekræfter, at gæster stadig har behov, og licenskrav for funktionen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Betinget adgang i Entra ID · Oprydning efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
