Contoso ha un tenant Azure AD e una sottoscrizione Azure. Fabrikam è un'organizzazione partner con il proprio Active Directory locale e un tenant Microsoft 365. Dieci sviluppatori di Fabrikam necessitano dell'accesso di tipo Collaboratore a un gruppo di risorse nella sottoscrizione di Contoso e devono utilizzare le loro credenziali Fabrikam esistenti. Cosa dovrebbe fare Contoso per abilitare ciò?

La risposta corretta è creare account guest per gli sviluppatori Fabrikam nel tenant Azure AD di Contoso. Azure Active Directory B2B Collaboration (B2B) consente di invitare utenti esterni, come gli sviluppatori di Fabrikam, a collaborare con le risorse di Contoso utilizzando le loro identità esistenti (in questo caso, le credenziali del tenant Microsoft 365 di Fabrikam). Questi utenti esterni vengono aggiunti come utenti guest nel tenant di Contoso e possono quindi essere assegnati a ruoli RBAC (Role-Based Access Control) specifici, come Collaboratore, su gruppi di risorse o altre risorse Azure. Creare account utente cloud-only per gli sviluppatori Fabrikam nel tenant Azure AD di Contoso richiederebbe la gestione di nuove credenziali per gli sviluppatori, il che va contro il requisito di utilizzare le loro credenziali esistenti. Configurare un trust di foresta tra le foreste AD locali di Contoso e Fabrikam è una soluzione per scenari on-premise e non si applica direttamente all'accesso alle risorse Azure tramite Azure AD per utenti di un'altra organizzazione. Configurare una relazione organizzativa tra i tenant Microsoft 365 di Fabrikam e Contoso è una funzionalità di Microsoft 365 per la collaborazione tra tenant, ma non è il meccanismo primario per concedere l'accesso RBAC alle risorse Azure per utenti esterni.