Sub1 包含一个名为 App1 的 Azure App Service Web 应用。App1 配置为单租户 Azure AD 身份验证，目前接受来自 contoso.com 用户的登录。你需要让来自 fabrikam.com 租户的用户能够对 App1 进行身份验证。你应该推荐哪种解决方案来管理和启用外部用户访问？

正确的选项是使用 Azure AD entitlement management 来管理和邀请外部用户并授予他们访问权限。Azure AD entitlement management (权限管理) 是一种身份治理功能，允许组织管理外部用户（如来自 fabrikam.com 的用户）对其资源的访问生命周期。它通过访问包（access packages）自动化了访问请求、批准、配置和撤销过程，非常适合管理跨租户的来宾用户访问。 配置条件访问策略虽然可以控制谁可以访问，但它不能主动管理和邀请外部用户。Azure AD 预配服务主要用于将用户从一个身份源同步到另一个身份源（例如，从本地 AD 同步到 Azure AD），或在 SaaS 应用程序之间同步用户，而不是用于管理外部租户的来宾用户访问。Azure AD Identity Protection 专注于检测和响应身份风险，而不是管理外部用户访问的生命周期。