Microsoft Entra B2B, B2C e Cross-Tenant Synchronization: entenda as diferenças e quando usar cada modelo
À medida que as organizações adotam ambientes multicloud, aplicações SaaS e estruturas corporativas distribuídas, a identidade deixa de estar limitada aos funcionários de uma única empresa.
Clientes precisam acessar aplicações. Fornecedores precisam colaborar em projetos. Empresas do mesmo grupo precisam compartilhar recursos. Subsidiárias podem possuir tenants Microsoft Entra separados.
Apesar de todos esses cenários envolverem identidades externas, eles não são a mesma coisa. Dentro do ecossistema Microsoft, três conceitos costumam gerar bastante confusão: Microsoft Entra B2B, Microsoft Entra External ID para cenários B2C e Cross-Tenant Synchronization.
Os três trabalham com identidades externas, mas possuem objetivos, arquiteturas e casos de uso diferentes.
Microsoft Entra B2B: colaboração entre empresas
O Microsoft Entra B2B (Business-to-Business) foi criado principalmente para permitir que uma organização colabore com usuários de outras organizações.
Imagine uma empresa que possui um tenant Microsoft Entra chamado empresaA.com e um fornecedor possui outro tenant fornecedor.com. Um funcionário do fornecedor precisa acessar um site SharePoint da Empresa A.
Em vez de criar uma conta interna tradicional, a Empresa A pode convidar esse usuário como um Guest. O usuário continua utilizando sua identidade original, enquanto a Empresa A controla quais recursos ele pode acessar.
O conceito central é uma organização fornece acesso a um usuário que pertence a outra organização.
Como funciona o B2B?
Em um cenário tradicional, o fluxo pode ser Usuário externo → autenticação → Microsoft Entra da organização de origem → acesso ao recurso da organização de destino
A organização de destino mantém uma representação desse usuário em seu próprio diretório. Essa representação normalmente aparece como um usuário externo/Guest.
A partir daí, esse usuário pode receber permissões em Microsoft Teams, SharePoint, OneDrive, aplicações corporativas, grupos e recursos específicos. O usuário não precisa se tornar um funcionário da organização de destino.
B2C: quando o usuário é o cliente
O cenário B2C é completamente diferente. B2C significa Business-to-Consumer, tendo como objetivo não é permitir que funcionários de uma empresa parceira colaborem com outra empresa.
O objetivo é permitir que clientes, consumidores ou usuários de uma aplicação tenham uma identidade para utilizar um serviço.
Imagine uma empresa que desenvolveu um aplicativo de comércio eletrônico. Milhões de clientes podem precisar criar contas para comprar produtos, consultar pedidos, alterar informações, cessar sua conta e utilizar funcionalidades personalizadas. Esses usuários não são funcionários da empresa e também não são necessariamente usuários de outra organização. Eles são consumidores da aplicação.
B2B e B2C possuem objetivos diferentes
- No B2B: Empresa → Empresa
- No B2C: Empresa → Cliente
Um consultor externo acessando um SharePoint corporativo é um caso de B2B. Uma pessoa criando uma conta em um aplicativo para comprar um produto é um caso de B2C.
São problemas de identidade completamente diferentes.
E onde entra o Microsoft Entra External ID?
A Microsoft vem consolidando os recursos de identidade externa dentro do conceito de Microsoft Entra External ID.
A plataforma permite construir experiências de autenticação para usuários externos e consumidores, enquanto o Microsoft Entra ID continua sendo utilizado como plataforma principal de identidade corporativa.
A arquitetura pode ser pensada assim:
Microsoft Entra ID
→ funcionários e identidades corporativas
Microsoft Entra External ID
→ clientes, consumidores e usuários externos de aplicações
Isso permite separar claramente as identidades corporativas das identidades utilizadas por aplicações voltadas ao público.
Cross-Tenant Synchronization: outro problema
Agora chegamos ao terceiro conceito. O Cross-Tenant Synchronization não tem como objetivo principal permitir que um usuário externo acesse apenas um recurso específico. Ele é utilizado quando existe uma necessidade de sincronizar identidades entre tenants Microsoft Entra.
Imagine uma organização multinacional que possui Tenant Brasil, Tenant EUA e Tenant Europa. Os usuários podem pertencer ao tenant Brasil, mas precisam colaborar constantemente com recursos existentes no tenant EUA.
Criar e administrar manualmente centenas ou milhares de Guests seria trabalhoso. É aí que o Cross-Tenant Synchronization pode ser utilizado.
Como funciona o Cross-Tenant Synchronization?
O conceito é:
Tenant de origem
↓
Cross-Tenant Synchronization
↓
Tenant de destino
↓
Usuário B2B no tenant de destino
O usuário continua pertencendo ao tenant de origem. Porém, uma representação da identidade é criada e mantida no tenant de destino. A diferença é que esse processo pode ser automatizado, ou seja, eventos relacionados ao ciclo de vida do usuário podem ser refletidos no tenant de destino.
Por exemplo, quando um funcionário entra na organização, sua identidade pode ser provisionada. Quando ele deixa de fazer parte do escopo definido para sincronização, o acesso no tenant de destino pode ser removido ou desabilitado conforme a configuração.
Então Cross-Tenant Synchronization cria usuários duplicados?
Não exatamente. O usuário continua tendo sua identidade principal no tenant de origem e o tenant de destino mantém uma representação externa dessa identidade.
Portanto, podemos pensar em:
Identidade principal
→ Tenant de origem
Representação B2B
→ Tenant de destino
Isso permite que o usuário seja reconhecido e autorizado no ambiente de destino sem precisar criar uma identidade corporativa completamente independente.
B2B manual x Cross-Tenant Synchronization
Essa é uma das comparações mais importantes. No B2B tradicional, podemos ter:
Administrador convida usuário
↓
Usuário aceita convite
↓
Usuário recebe acesso
No Cross-Tenant Synchronization:
Regra de sincronização
↓
Usuário entra no escopo
↓
Identidade é provisionada automaticamente
↓
Permissões são aplicadas
O segundo modelo é muito mais interessante quando existe uma grande quantidade de usuários ou uma colaboração permanente entre os tenants.
| Cenário | Tecnologia |
|---|---|
| Funcionário de outra empresa colaborando com você | B2B |
| Fornecedor acessando SharePoint/Teams | B2B |
| Consultor externo acessando uma aplicação | B2B |
| Cliente utilizando seu aplicativo | External ID / B2C |
| Consumidor criando uma conta | External ID / B2C |
| Usuários de um tenant precisam ser provisionados em outro | Cross-Tenant Synchronization |
| Subsidiárias com tenants separados | Cross-Tenant Synchronization |
| Colaboração recorrente entre tenants | Cross-Tenant Synchronization |
B2B não é B2C
Apesar de ambos envolverem usuários externos, a finalidade é completamente diferente. No B2B, normalmente existe uma relação empresarial, Empresa A ↔ Empresa B; existe uma necessidade de colaboração entre organizações. No B2C, Empresa → Consumidor, o usuário final utiliza uma aplicação ou serviço. Essa diferença também influencia governança, ciclo de vida, autenticação e arquitetura.
Cross-Tenant não substitui B2B
Na verdade, ele utiliza conceitos de identidade B2B para representar usuários no tenant de destino. A principal diferença está na forma como essas identidades são administradas. B2B pode ser utilizado para colaboração pontual ou controlada, enquanto o Cross-Tenant Synchronization é especialmente útil quando existe uma necessidade contínua e automatizada de provisionamento entre tenants.
Segurança no B2B
Independentemente do modelo escolhido, identidades externas precisam ser tratadas com controles de segurança. O Microsoft Entra permite aplicar Conditional Access, MFA, Authentication Strength, Identity Protection, Access Reviews e Entitlement Management.
Esses recursos permitem garantir que o usuário externo não receba simplesmente acesso permanente porque alguém o convidou.
Conditional Access
Por exemplo, uma organização pode criar uma política:
Todos os usuários externos precisam utilizar MFA para acessar recursos corporativos.
Outra política pode exigir autenticação mais forte para aplicações críticas. Também é possível restringir o acesso dependendo do risco, localização ou aplicação acessada.
Assim, mesmo que o usuário tenha sido corretamente provisionado, o acesso ainda será avaliado no momento da autenticação.
Access Reviews
Imagine que uma organização tenha 2.000 convidados B2B. Depois de alguns anos, quantos deles ainda precisam acessar os recursos?
Sem governança, essa resposta pode ser difícil de obter. Com Access Reviews, gestores ou responsáveis pelos recursos podem revisar periodicamente os acessos. Isso permite remover usuários que não precisam mais permanecer no ambiente.
Entitlement Management
Para cenários mais estruturados, o Entitlement Management pode organizar o acesso externo em pacotes.
Por exemplo:
Pacote: Projeto ERP
Inclui grupo do Teams, site SharePoint, aplicação ERP, grupo de segurança.
Um usuário externo solicita o pacote e um responsável aprova. O acesso é concedido. Depois de determinado período, o acesso expira. Esse modelo é muito mais governado do que simplesmente adicionar usuários manualmente a vários grupos.
O papel do Zero Trust
Os três modelos podem fazer parte de uma estratégia Zero Trust. A organização não deve confiar automaticamente na identidade somente porque ela foi criada ou sincronizada.
O acesso precisa continuar sendo avaliado. Podemos pensar em identidade, autenticação, dispositivo, contexto, risco, recursos = decisão de acesso.
Isso vale para funcionários, parceiros e consumidores, embora os controles específicos sejam diferentes.
Qual escolher?
Uma maneira prática de decidir é fazer três perguntas.
Use Microsoft Entra B2B.
2. É um consumidor que precisa utilizar minha aplicação? Cliente de um aplicativo, portal ou serviço online?
Use Microsoft Entra External ID / cenário B2C.
3. Preciso manter usuários de um tenant sincronizados com outro tenant? Multinacional com múltiplos tenants ou colaboração permanente entre ambientes Microsoft Entra?
Considere Cross-Tenant Synchronization.
Uma arquitetura corporativa pode utilizar os três, já que não existe obrigação de escolher apenas um modelo. Uma organização grande pode utilizar todos simultaneamente.
O erro de tratar todas as identidades externas da mesma maneira
Um dos maiores erros em projetos de IAM é colocar todos os usuários externos na mesma categoria.
Um funcionário de uma empresa parceira não possui o mesmo contexto de um consumidor. Um consumidor não deveria receber uma identidade Guest no diretório corporativo simplesmente porque precisa utilizar um aplicativo.
Da mesma forma, uma subsidiária que possui milhares de usuários não deveria depender de milhares de convites manuais.
Cada cenário exige uma arquitetura diferente.
Microsoft Entra B2B, External ID/B2C e Cross-Tenant Synchronization resolvem problemas diferentes.
O B2B é voltado principalmente para colaboração entre organizações, permitindo que parceiros, fornecedores e consultores utilizem suas próprias identidades para acessar recursos corporativos.
O B2C, atualmente enquadrado na estratégia de Microsoft Entra External ID, é voltado para aplicações que precisam autenticar consumidores e usuários externos em grande escala.
Já o Cross-Tenant Synchronization é utilizado quando existe uma necessidade de manter identidades sincronizadas entre diferentes tenants Microsoft Entra, reduzindo a administração manual e permitindo uma colaboração mais estruturada entre ambientes.
A diferença pode ser resumida em uma pergunta "Quem é o usuário e qual é a relação dele com a minha organização?". Se é um parceiro, pense em B2B. Se é um consumidor, pense em External ID/B2C.
Se é um usuário de outro tenant que precisa ser provisionado de forma contínua, pense em Cross-Tenant Synchronization.
E, independentemente da tecnologia escolhida, a arquitetura deve continuar seguindo os princípios de Zero Trust, menor privilégio, autenticação forte e governança contínua de identidade.
Me acompanhe em outras redes sociais: iamjuliaribeiro | Instagram, Twitch | Linktree
Comments
Post a Comment