Recursos com suporte em locatários externos e de força de trabalho

2025-07-21

Há duas maneiras de configurar um locatário do Microsoft Entra, dependendo de como a organização pretende usar o locatário e os recursos que deseja gerenciar:

Uma configuração de locatário da força de trabalho destina-se a funcionários, aplicativos empresariais internos e outros recursos organizacionais. A colaboração B2B é usada em um ambiente de trabalho para colaborar com parceiros externos e convidados.
Uma configuração de locatário externo é usada exclusivamente para cenários de ID Externo, nos quais você deseja publicar aplicativos para consumidores ou clientes de negócios.

Este artigo fornece uma comparação detalhada dos recursos e funcionalidades disponíveis em locatários externos e de força de trabalho.

Observação

Durante a versão prévia, os recursos ou capacidades que exigem uma licença premium ficam indisponíveis em locatários externos.

Comparação geral de funcionalidades

A tabela a seguir compara as características gerais e as capacidades disponíveis em locatários de força de trabalho e externos.

Recurso	Locatário da força de trabalho	Locatário externo
Cenário de identidades externas	Permita que parceiros de negócios e outros usuários externos colaborem com sua força de trabalho. Os convidados podem acessar com segurança seus aplicativos de negócios por meio de convites ou inscrição de autoatendimento.	Use a ID externa para proteger seus aplicativos. Consumidores e clientes empresariais podem acessar com segurança seus aplicativos de consumo por meio de inscrição de autoatendimento. Também há suporte para convites.
Contas locais	As contas locais são suportadas apenas por membros internos da sua organização.	Há suporte para contas locais para: Consumidores e clientes empresariais que usam a inscrição por autoatendimento. Contas internas criadas pelo administrador (com ou sem uma função de administrador). Observação: Todos os usuários em um locatário externo têm permissões padrão , a menos que sejam atribuídas uma função de administrador.
Grupos	Grupos podem ser usados para gerenciar contas administrativas e de usuário.	Grupos podem ser usados para gerenciar contas administrativas. O suporte para grupos e funções de aplicativo do Microsoft Entra está sendo implementado em fases nos locatários do cliente. Para obter as atualizações mais recentes, confira Suporte a grupos e funções de aplicativo.
Funções e administradores	Funções e administradores têm suporte completo em contas administrativas e de usuário.	As funções tem suporte para todos os usuários. Todos os usuários em um locatário externo têm permissões padrão a menos que tenham uma função de administrador .
Proteção de ID	Fornece detecção de risco contínua para seu locatário do Microsoft Entra. Ele permite que as organizações descubram, investiguem e corrijam riscos baseados em identidade.	Não disponível
ID Governance	Permite que as organizações governem ciclos de vida de acesso e identidade e protejam o acesso privilegiado. Saiba mais.	Não disponível
Redefinição de senha de autoatendimento	Permita que os usuários redefinam a senha usando até dois métodos de autenticação (confira a próxima linha para ver os métodos disponíveis).	Permita que os usuários redefinam a senha usando o email com uma senha de uso único. Saiba mais.
Personalização de idioma	Personalize a experiência de entrada com base no idioma do navegador, quando os usuários se autenticarem nos seus aplicativos corporativos baseados na Intranet ou na Web.	Use idiomas para modificar as cadeias de caracteres exibidas para seus clientes como parte do processo de entrada e inscrição. Saiba mais.
Atributos personalizados	Use atributos da Extensão do Directory para armazenar mais dados no diretório do Microsoft Entra para objetos de usuário, grupos, detalhes do locatário e entidades de serviço.	Use atributos de extensão do diretório para armazenar mais dados no diretório do cliente para objetos de usuário. Crie atributos de usuário personalizados e adicione-os ao fluxo de usuário de inscrição. Saiba mais.
Preço	Preço por MAU (usuários ativos mensais) para convidados externos de colaboração B2B (UserType=Guest).	Preço por MAU (Usuários Ativos Mensais) para todos os usuários no locatário externo, independentemente da função ou do UserType.

Personalização de aspecto e usabilidade

A tabela a seguir compara os recursos disponíveis para personalização de aspecto e usabilidade em locatários externos e de força de trabalho.

Recurso	Locatário da força de trabalho	Locatário externo
Identidade visual da empresa	Você pode adicionar a identidade visual da empresa que se aplica a todas essas experiências para criar uma experiência de entrada consistente para seus usuários.	O mesmo que a força de trabalho. Saiba mais
Personalização de idioma	Personalize a experiência de entrada por idioma do navegador.	O mesmo que a força de trabalho. Saiba mais
Nomes de domínio personalizado	Você só pode usar domínios personalizados para contas administrativas.	O recurso domínio de URL personalizada para locatários externos permite marcar com a identidade visual os pontos de extremidade de entrada no aplicativo com seu nome de domínio.
Autenticação nativa para aplicativos móveis	Não disponível	A autenticação nativa do Microsoft Entra permite que você tenha controle total sobre o design das experiências de entrada no aplicativo móvel.

Adicionar sua própria lógica de negócios

As extensões de autenticação personalizadas permitem personalizar a experiência de autenticação do Microsoft Entra integrando-se a sistemas externos. Uma extensão de autenticação personalizada é essencialmente um ouvinte de eventos que, quando ativado, faz uma chamada HTTP para um ponto de extremidade da API REST em que você define a sua própria lógica de negócios. A tabela a seguir compara os eventos de extensões de autenticação personalizada disponíveis em locatários externos e de força de trabalho.

Evento	Locatário da força de trabalho	Locatário externo
TokenIssuanceStart	Adicionar declarações de sistemas externos.	Adicionar declarações de sistemas externos.
AoIniciarColeçãoDeAtributos	Não disponível	Ocorre no início da etapa de coleta de atributos do cadastro, antes que a página de coleta de atributos seja renderizada. Você pode adicionar ações como pré-preenchimento de valores e exibição de um erro de bloqueio. Saiba mais
OnAttributeCollectionSubmit	Não disponível	Ocorre durante o fluxo de inscrição, depois que o usuário insere e envia atributos. Você pode adicionar ações como validar ou modificar as entradas do usuário. Saiba mais
OnOtpSend	Não disponível	Configure um provedor de email personalizado para eventos de envio de senha única. Saiba mais

Provedores de identidade e métodos de autenticação

A tabela a seguir compara os provedores de identidade e os métodos disponíveis para autenticação primária e autenticação multifator (MFA) em locatários externos e de força de trabalho.

Recurso	Locatário da força de trabalho	Locatário externo
Provedores de identidade para usuários externos (autenticação primária)	Para convidados com inscrição de autoatendimento – Contas Microsoft Entra – Contas Microsoft – Senha de uso único por email – Federação do Google – Federação do Facebook Para convidados – Contas Microsoft Entra – Contas Microsoft – Senha de uso único por email – Federação do Google – Federação SAML/WS-Fed	Para usuários de inscrição de autoatendimento (consumidores, clientes empresariais) - Métodos de autenticação disponíveis na ID externa do Microsoft Entra Para convidados (versão prévia) Convidados com uma função do diretório (por exemplo, administradores): – Contas do Microsoft Entra – Contas Microsoft - Senha de uso único por email - Federação SAML/WS-Fed
Métodos de autenticação para a MFA	Para usuários internos (funcionários e administradores) - Métodos de autenticação e verificação Para convidados (inscrição convidada ou de autoatendimento) - Métodos de autenticação para MFA de convidado	Para usuários de inscrição de autoatendimento (consumidores, clientes empresariais) - Métodos de autenticação disponíveis na Microsoft Entra ID externa Para usuários convidados (versão prévia) - Código de acesso único por - emailAutenticação baseada em SMS

Métodos de autenticação disponíveis na ID externa do Microsoft Entra

Alguns métodos de autenticação podem ser usados como o principal fator quando os usuários entrarem em um aplicativo, como nome de usuário e senha. Outros métodos de autenticação só estão disponíveis como um fator secundário. A tabela a seguir descreve quando um método de autenticação pode ser usado durante a entrada, a inscrição por autoatendimento, a redefinição de senha de autoatendimento e a MFA (autenticação multifator) na ID externa do Microsoft Entra.

Método	Conexão	Inscrever-se	Redefinição de senha	MFA
Email com senha
Enviar senha de uso único por email
Autenticação baseada em SMS
Federação da Apple
Federação do Facebook
Federação do Google
Conta pessoal da Microsoft (OpenID Connect)
Federação do OpenID Connect
Federação SAML/WS-Fed

Registro de aplicativo

A tabela a seguir compara os recursos disponíveis para Registro de aplicativo em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Protocolo	Partes confiáveis do SAML, OpenID Connect e OAuth2	Partes confiáveis do SAML, OpenID Connect e OAuth2
Tipos de conta compatíveis	Os seguintes tipos de conta: Somente as contas deste diretório organizacional (Locatário único) Contas em qualquer diretório organizacional (qualquer locatário do Microsoft Entra – multilocatário) Contas em qualquer diretório organizacional (qualquer locatário do Microsoft Entra – Multilocatário) e contas Microsoft pessoais (como o Skype e o Xbox) Somente contas Microsoft pessoais	Sempre use Somente as contas deste diretório organizacional (Locatário único).
Plataforma	As seguintes plataformas: Aplicativo público/nativo (dispositivos móveis e computador) web SPA (Aplicativo de Página Única)	As seguintes plataformas: Cliente público (móvel e área de trabalho) web SPA (Aplicativo de Página Única) Autenticação nativa para aplicativos móvel e SPA (página única).
Autenticação>URIs de Redirecionamento	As URIs que o Microsoft Entra ID aceita como destinos ao retornar respostas de autenticação (tokens) após autenticar com sucesso ou desconectar os usuários.	O mesmo que a força de trabalho.
Autenticação>URL de logoff de front-channel	Essa é a URL para onde o Microsoft Entra ID envia uma solicitação para que o aplicativo limpe os dados da sessão do usuário. A URL de logoff de front-channel é necessária para que a saída única funcione corretamente.	O mesmo que a força de trabalho.
Autenticação>Concessão implícita e fluxos híbridos	Solicite um token diretamente do endpoint de autorização.	O mesmo que a força de trabalho.
Certificados e segredos	Várias credenciais: Certificados Segredos do cliente Credenciais federadas	O mesmo que a força de trabalho.
Certificados e segredos>Rotação	Atualize as credenciais do cliente para garantir que elas permaneçam válidas e seguras, enquanto os usuários podem continuar a entrar. Certificados, segredos e credenciais federadas podem ser substituídos ao se adicionar um novo e remover o antigo.	O mesmo que a força de trabalho.
Certificados e segredos>Política	Configure as políticas de gerenciamento de aplicativos para impor restrições a segredos e certificados.	Não disponível
Permissões da API	Adicionar, remover e substituir permissões a um aplicativo. Após as permissões serem adicionadas ao seu aplicativo, os usuários ou administradores precisam dar o consentimento de acesso às novas permissões. Saiba mais sobre a Atualização das permissões solicitadas de um aplicativo no Microsoft Entra ID.	As seguintes permissões são permitidas: Microsoft Graph `offline_access`, `openid`, e `User.Read` e as permissões delegadas de suas Minhas APIs. Apenas um administrador pode fornecer consentimento em nome da organização.
Expor uma API	Definir escopos personalizados para restringir o acesso a dados e funcionalidades protegidas pela API. Um aplicativo que requer acesso a partes dessa API pode solicitar que um usuário ou administrador dê consentimento a um ou mais desses escopos.	Definir escopos personalizados para restringir o acesso a dados e funcionalidades protegidas pela API. Um aplicativo que requer acesso a partes dessa API pode solicitar que um administrador dê consentimento a um ou mais desses escopos.
Proprietários	Os proprietários de aplicativos podem exibir e editar o registro de aplicativo. Além disso, qualquer usuário (que pode não estar listado) com privilégios administrativos para gerenciar qualquer aplicativo (por exemplo, Administrador de aplicativos de nuvem) pode visualizar e editar o registro de aplicativo.	O mesmo que a força de trabalho.
Funções e administradores	Funções administrativas são usadas para conceder acesso a ações privilegiadas no Microsoft Entra ID.	Somente a função Administrador de aplicativos de nuvem pode ser usada para aplicativos em locatários externos. Essa função concede a capacidade de criar e gerenciar todos os aspectos dos registros de aplicativos e aplicativos empresariais.

Controle de acesso para aplicativos

A tabela a seguir compara os recursos disponíveis para autorização de aplicativo em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
RBAC (controle de acesso baseado em função)	Você pode definir funções de aplicativo para seu aplicativo e atribuir essas funções a usuários e grupos. A ID do Microsoft Entra inclui as funções de usuário no token de segurança. Em seguida, seu aplicativo pode tomar decisões de autorização com base nos valores no token de segurança.	O mesmo que a força de trabalho. Saiba mais sobre usar controle de acesso baseado em função para aplicativos em um locatário externo. Para obter recursos disponíveis, consulte o suporte a grupos e funções de aplicativo.
Grupos de segurança	Você pode usar grupos de segurança para implementar o RBAC em seus aplicativos, em que as associações do usuário em grupos específicos são interpretadas como suas associações de função. A ID do Microsoft Entra inclui a associação ao grupo de usuários no token de segurança. Em seguida, seu aplicativo pode tomar decisões de autorização com base nos valores no token de segurança.	O mesmo que a força de trabalho. As declarações opcionais dos grupos são limitadas à ID do objeto de grupo.
ABAC (controle de acesso baseado em atributo)	Você pode configurar o aplicativo para incluir atributos de usuário no token de acesso. Em seguida, seu aplicativo pode tomar decisões de autorização com base nos valores no token de segurança. Para obter mais informações, consulte a personalização do token.	O mesmo que a força de trabalho.
Exigir a atribuição de usuário.	Quando a atribuição de usuário é necessária, somente aqueles atribuídos ao aplicativo (por meio da atribuição de usuário direta ou com base na associação de grupo) poderão entrar. Para obter mais informações, confira Gerenciar a atribuição de usuários e grupos a um aplicativo	O mesmo que a força de trabalho. Para obter detalhes, consulte o suporte a grupos e funções de aplicativo.

Aplicativos empresariais

A tabela a seguir compara as características exclusivas disponíveis para o registro de aplicativos empresariais em locatários de força de trabalho e externos.

Recurso	Locatário da força de trabalho	Locatário externo
Galeria de aplicativos	A galeria de aplicativos contém milhares de aplicativos pré-integrados à ID do Microsoft Entra.	O catálogo da galeria de aplicativos não está disponível. Para localizar aplicativos, use a barra de pesquisa.
Login iniciado pelo Provedor de Identidade (IdP)	Use um IdP (Provedor de Identidade) SAML 2.0 para logon único.	Não disponível.
Auto-serviço	Permitir que os usuários descubram aplicativos automaticamente.	O autoatendimento no portal Meus Aplicativos não está disponível.
Proxy de aplicativo	O proxy de aplicativo do Microsoft Entra fornece acesso remoto seguro a aplicativos Web locais.	Não disponível.

A tabela a seguir mostra quais recursos de consentimento e permissão estão disponíveis para aplicativos empresariais em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Consentimento do administrador para aplicativos empresariais	Você pode conceder permissões de administrador em todo o locatário e também pode revisá-las e revogá-las .	O mesmo que a força de trabalho.
Consentimento do usuário para aplicativos empresariais	Você pode configurar como os usuários consentem com aplicativos e você pode atualizar essas permissões.	Limitado a permissões que não exigem consentimento do administrador.
Examinar ou revogar o consentimento do administrador	Revisar e revogar as permissões.	Use o Centro de administração do Microsoft Entra para revogar o consentimento do administrador.
Examinar ou revogar o consentimento do usuário	Examinar e revogar permissões.	Use a API do Microsoft Graph ou o PowerShell para revogar o consentimento do usuário.
Atribuir usuários ou grupos a aplicativos	Você pode gerenciar o acesso a aplicativos em uma atribuição individual ou de base de grupo. Associações de Grupos aninhados não têm suporte.	O mesmo que a força de trabalho.
RBAC (controle de acesso baseado em função) para funções de aplicativo	Você pode definir e atribuir funções para controle de acesso refinado.	O mesmo que a força de trabalho.

Fluxos do OpenID Connect e OAuth2

A tabela a seguir compara os recursos disponíveis para fluxos de autorização do OAuth 2.0 e do OpenID Connect em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Conexão OpenID	Sim	Sim
Código de autorização	Sim	Sim
Código de autorização com a Troca de Código (PKCE)	Sim	Sim
Credenciais do cliente	Sim	Aplicativos v2.0 (versão prévia)
Autorização de dispositivo	Sim	Versão prévia
Fluxo On-Behalf-Of	Sim	Sim
Concessão implícita	Sim	Sim
Credenciais de Senha do Proprietário do Recurso	Sim	Não, para aplicativos móveis, use a autenticação nativa.

URL de Autoridade nos Fluxos do OpenID Connect e OAuth2

A URL da autoridade é uma URL que indica um diretório do qual o MSAL pode solicitar tokens. Para aplicativos em locatários externos, sempre use o seguinte formato: <nome-locatário>.ciamlogin.com

O JSON a seguir mostra um exemplo de um arquivo appsettings.json de aplicativo .NET com uma URL de autoridade:

{
    "AzureAd": {
        "Authority": "https://<Enter_the_Tenant_Subdomain_Here>.ciamlogin.com/",
        "ClientId": "<Enter_the_Application_Id_Here>"
    }
}

Acesso condicional

A tabela a seguir compara os recursos disponíveis para Acesso condicional em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Atribuições	Usuários, grupos e identidades de carga de trabalho	Inclua todos os usuários e exclua usuários e grupos. Para obter mais informações, consulte Adicionar MFA (autenticação multifator) a um aplicativo.
Recursos de destino	Aplicativos na nuvem Ações do usuário Acesso Seguro Global Contexto de autenticação	Todos os recursos, aplicativos selecionados ou filtrar aplicativos. Contexto de autenticação
Condições	Risco de login Risco do usuário Plataformas de dispositivo Locais Aplicativos do cliente Filtro para dispositivos	Plataformas de dispositivo Locais
Conceder	Conceder ou bloquear o acesso aos recursos	Acesso bloqueado Exigir autenticação de múltiplos fatores Exigir a redefinição de senha
Sessão	Controles de sessão	Não disponível

Políticas de termos de uso

A tabela a seguir compara os recursos disponíveis para políticas de termos de uso em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Políticas de acesso condicional	Termos de uso do Microsoft Entra	Não disponível
Inscrição por autoatendimento	Não disponível	Adicione um atributo necessário vinculado às políticas de termos de uso na página de inscrição. O hiperlink pode ser personalizado para dar suporte a vários idiomas.
Página de Login	Links que você pode adicionar ao canto inferior direito para informações de privacidade usando a identidade visual da empresa.	O mesmo que a força de trabalho.

Gerenciamento de contas

A tabela a seguir compara os recursos disponíveis para gerenciamento de usuário em cada tipo de locatário. Conforme observado na tabela, determinados tipos de conta são criados por meio de convite ou inscrição de autoatendimento. Um administrador de usuário no locatário também pode criar contas por meio do centro de administração.

Recurso	Locatário da força de trabalho	Locatário externo
Tipos de contas	Membros internos, por exemplo, funcionários e administradores. Usuários externos que são convidados ou que usam a inscrição de autoatendimento.	Usuários externos criados por meio de inscrição de autoatendimento ou por um administrador. Usuários internos, com ou sem uma função de administrador. Usuários convidados (versão prévia), com ou sem uma função de administrador. Observação: Todos os usuários em um locatário externo têm permissões padrão , a menos que tenham uma função de administrador .
Gerenciar informações de perfil do usuário	De forma programática e usando o centro de administração do Microsoft Entra. Gerencie usuários convidados entre locatários com sincronização entre locatários.	O mesmo que a força de trabalho, exceto que a sincronização entre locatários não está disponível.
Redefinir a senha de um usuário	Os administradores podem redefinir a senha de um usuário se a senha for esquecida, se o usuário for bloqueado de um dispositivo ou se o usuário nunca recebeu uma senha.	O mesmo que a força de trabalho.
Restaurar ou remover um usuário excluído recentemente	Depois que você excluir um usuário, a conta permanecerá em um estado suspenso por 30 dias. Durante essa janela de 30 dias, a conta do usuário pode ser restaurada, juntamente com todas as suas propriedades.	O mesmo que a força de trabalho.
Desabilitar contas	Impedir que o novo usuário possa entrar.	O mesmo que a força de trabalho.

Proteção por senha

A tabela a seguir compara os recursos disponíveis para proteção por senha em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Bloqueio inteligente	O bloqueio inteligente ajuda a bloquear atores mal-intencionados que tentam adivinhar as senhas dos usuários ou usar métodos de força bruta para entrar	O mesmo que a força de trabalho.
Senhas proibidas personalizadas	A lista de senhas proibidas personalizadas do Microsoft Entra permite que você adicione cadeias de caracteres específicas para avaliar e bloquear.	Não disponível.

Personalização de token

A tabela a seguir compara os recursos disponíveis para personalização de token em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Mapeamento de reivindicações	Personalize as declarações emitidas no token Web JSON (JWT) para aplicativos empresariais.	O mesmo que a força de trabalho. Declarações opcionais devem ser configuradas por meio de Atributos e declarações.
Transformação de declarações	Aplique uma transformação a um atributo de usuário emitido no token Web JSON (JWT) para aplicativos empresariais.	O mesmo que a força de trabalho.
Provedor de declarações personalizadas	Extensão de autenticação personalizada que chama uma API REST externa para buscar declarações de sistemas externos.	O mesmo que a força de trabalho. Saiba mais
Grupos de segurança	Configurar declarações opcionais de grupos.	As declarações opcionais de configuração de grupos são limitadas à ID do objeto de grupo.
Tempos de vida do token	Você pode especificar o tempo de vida dos tokens de segurança emitidos pelo Microsoft Entra ID.	O mesmo que a força de trabalho.
Revogação de sessão e token	O administrador pode invalidar todos os tokens de atualização e a sessão para um usuário.	O mesmo que a força de trabalho.

Logon único

O SSO (logon único) fornece uma experiência mais perfeita, reduzindo o número de vezes que um usuário é solicitado a obter credenciais. Os usuários inserem suas credenciais uma vez, e a sessão estabelecida pode ser reutilizada por outros aplicativos no mesmo dispositivo e navegador sem necessitar de nova solicitação. A tabela a seguir compara os recursos disponíveis para SSO em cada tipo de locatário.

Recurso	Locatário da força de trabalho	Locatário externo
Tipos de registro de aplicativo	OpenID Connect OAuth 2.0 SAML (aplicativo empresarial) Os aplicativos empresariais oferecem mais opções, como baseados em senha, vinculados e baseados em cabeçalho.	OpenID Connect OAuth 2.0 SAML (aplicativo empresarial)
Nome de domínio	Quando um usuário é autenticado, um cookie de sessão é definido no domínio `login.microsoftonline.com` do Microsoft Entra no navegador da Web.	Quando um usuário é autenticado, um cookie de sessão é definido no domínio `<tenant-name>.ciamlogin.com` da ID externa do Microsoft Entra ou em um domínio de URL personalizado no navegador da Web. Para garantir as funções de SSO corretamente, use um único domínio de URL.
Mantenha-me conectado	Você pode habilitar ou desabilitar a opção permanecer conectado .	O mesmo que a força de trabalho.
Provisionamento do usuário	Use o provisionamento automático de usuário com o SCIM (System for Cross-___domain Identity Management) para sincronizar contas de usuário entre a ID Externa do Microsoft Entra e aplicativos com suporte. Isso mantém os dados do usuário atualizados automaticamente. O provisionamento de usuário dá suporte a consultas diferenciais. Essas consultas sincronizam apenas as alterações desde a última atualização. Isso melhora o desempenho e reduz a carga do sistema.	O mesmo que a força de trabalho.
Invalidação de sessão	Cenários em que o SSO pode ser invalidado, que exigem reautenticação: Expiração da sessão Problemas de navegador, como limpar cookies ou cache do navegador. Política de acesso condicional, como o requisito de autenticação multifator. Revogação de sessão Problemas de segurança, como atividades suspeitas. O aplicativo especifica na solicitação de autorização para solicitar ao usuário suas credenciais usando `login=prompt` o parâmetro de cadeia de caracteres de consulta no OpenID Connect e `ForceAuthn` o atributo na solicitação SAML.	O mesmo que a força de trabalho.
Acesso Condicional	Verifique a seção Acesso Condicional .	Verifique a seção Acesso Condicional .
Autenticação nativa do Microsoft Entra	Não disponível	A autenticação nativa não dá suporte ao SSO.
Sair	Quando um aplicativo SAML ou OpenID Connect direciona o usuário para o endpoint de logout, o Microsoft Entra ID remove e invalida a sessão do usuário do navegador.	O mesmo que a força de trabalho.
Logout único	Após a saída bem-sucedida, a ID do Microsoft Entra envia uma notificação de logoff para todos os outros aplicativos SAML e OpenID Connect nos quais o usuário está conectado.	O mesmo que a força de trabalho.

Logs e relatórios de atividades

A tabela a seguir compara os recursos disponíveis para logs de atividades e relatórios em diferentes tipos de locatários.

Recurso	Locatário da força de trabalho	Locatário externo
Logs de auditoria	Relatório detalhado de todos os eventos registrados na ID do Microsoft Entra, incluindo modificações em aplicativos, grupos e usuários.	O mesmo que a força de trabalho.
Logs de entrada	Os logs de entrada acompanham todas as atividades de entrada em um tenant do Microsoft Entra, incluindo acesso aos seus aplicativos e recursos.	O mesmo que a força de trabalho.
Logs de inscrição (versão prévia)	Não disponível	A ID Externa do Microsoft Entra registra todos os eventos de autoinscrição, incluindo tanto inscrições bem-sucedidas quanto tentativas fracassadas.
Logs de provisionamento	Os logs de provisionamento fornecem registros detalhados de eventos de provisionamento em um locatário, como criações de conta de usuário, atualizações e exclusões.	Não disponível
Logs de atividades de políticas de retenção	As políticas de retenção de dados do Microsoft Entra determinam por quanto tempo diferentes tipos de logs (como auditoria, entrada e logs de provisionamento) são armazenados.	Sete dias
Exportar logs de atividades	Usando as configurações de diagnóstico no Microsoft Entra ID, você pode integrar logs ao Azure Monitor, transmitir logs a um Hub de Eventos ou integrar-se às ferramentas SIEM (Security Information and Event Management).	Azure Monitor para locatários externos (versão prévia)
Relatórios de atividade do usuário do aplicativo	Não disponível	A atividade do usuário do aplicativo fornece análise sobre como os usuários interagem com aplicativos registrados em seu locatário. Ele rastreia métricas como usuários ativos, novos usuários, entradas e taxas de sucesso de MFA (autenticação multifator).

APIs do Microsoft Graph

Todos os recursos com suporte em locatários externos também têm suporte para automação por meio de APIs do Microsoft Graph. Alguns recursos que estão em versão prévia em locatários externos podem estar em disponibilidade geral por meio do Microsoft Graph. Para obter mais informações, consulte Gerenciar a identidade do Microsoft Entra e o acesso à rede usando o Microsoft Graph.

Próximas etapas

Planejamento do CIAM (gerenciamento de acesso e identidade do cliente)