Workforce מול External Tenants ב-Microsoft Entra: מה צריך לדעת
פורסם ב-28 במאי 2025
היי לכולם,
בחודשים האחרונים שאלו אותי שוב ושוב:
מה ההבדל בין Workforce Tenant ל-External Tenant ב-Microsoft Entra?
ואיך זה קשור ל-B2B מול B2C?
זה נושא שהפך חשוב יותר ויותר, במיוחד עם השינויים האחרונים באסטרטגיית הזהויות של Microsoft. הפוסט הזה יעבור איתכם על ההבדלים העיקריים, יבהיר כמה אי-הבנות נפוצות, יציג תרחישי שימוש רלוונטיים ויכלול השוואה טכנית של היכולות הנתמכות.
מהו Workforce Tenant?
Workforce Tenant הוא ה-tenant הסטנדרטי של Microsoft Entra ID (לשעבר Azure AD), ששימש לניהול זהויות של עובדים, שותפים, קבלנים ומשתמשים ארגוניים אחרים. הוא תומך במגוון רחב של יכולות ארגוניות, כולל:
- Single sign-on (SSO)
- Conditional Access
- Identity Governance
- Multi-Factor Authentication
- תאימות התקנים
- מדיניות גישה מבוססת סיכון
הוא תומך גם ב-B2B collaboration, שמאפשר להזמין ולנהל זהויות חיצוניות בצורה מאובטחת בתוך ה-tenant שלכם, באמצעות פרטי הגישה הקיימים שלהן מ-tenants אחרים של Entra או מספקי זהות כמו Google.
זו הגישה המומלצת והמודרנית לשיתוף פעולה מאובטח בין ארגונים.
מהו External Tenant?
בעבר, Microsoft הציעה פלטפורמת זהויות נפרדת בשם Azure AD B2C, שהותאמה ליישומים מול צרכנים. ה-tenants האלה נקראים בדרך כלל External Tenants, והם נועדו לתמוך ב:
- ניהול זהויות וגישה ללקוחות (CIAM)
- התחברות חברתית (Google, Facebook, Apple)
- אימות באמצעות מייל/סיסמה
- חוויות התחברות עם מיתוג מותאם אישית
- הרשמה ואיפוס סיסמה בשירות עצמי
ה-tenants האלה היו נפרדים לחלוטין מה-Workforce Tenant של החברה, ושמרו על ספריות משתמשים ומדיניות מבודדות משלהם.
למה יש בלבול?
הבלבול נובע מכך ששני המודלים עוסקים במשתמשים חיצוניים, אבל הטבע של המשתמשים האלה שונה מאוד.
| סוג משתמש | מודל זהות | פלטפורמה |
|---|---|---|
| שותפים עסקיים | B2B collaboration | Workforce Tenant (Entra ID) |
| קבלנים | B2B collaboration | Workforce Tenant (Entra ID) |
| לקוחות האפליקציה | B2C identity mgmt | External Tenant (Azure AD B2C) |
עם עליית Entra External ID, Microsoft מאפשרת כעת תמיכה בתרחישי זהות של לקוחות בתוך Workforce Tenants, ובפועל מחליפה את הצורך ב-tenants עצמאיים של Azure AD B2C.
תרחישי שימוש
תרחישי שימוש ב-Workforce Tenant (B2B):
מתן גישה לאפליקציות פנימיות לשותפים או לקבלנים
- שיתוף משאבי SharePoint או Teams עם משתמשי אורח
- הפעלת התחברות federated דרך Google או SAML לגישת עובדים
- ניהול זהויות חיצוניות תחת Conditional Access ו-MFA
תרחישי שימוש ב-External Tenant (B2C):
- מתן אפשרות ללקוחות להירשם עם Facebook או Apple ID לאפליקציית הנייד שלכם
- בניית פורטל התחברות עם מיתוג מותאם אישית למוצר SaaS
- ניהול מיליוני זהויות לקוחות באופן עצמאי ממערכות פנימיות
Azure AD B2C מתקרב לסוף חייו
Microsoft מוציאה מהשימוש את Azure AD B2C לטובת Entra External ID, שמאפשר לקלוט גם משתמשים פנימיים וגם חיצוניים ישירות אל ה-Workforce Tenant שלכם באמצעות OpenID Connect, SAML או ספקי זהות federated.
יתרונות עיקריים:
- ממשל ואבטחה מאוחדים לכל סוגי המשתמשים
- תמיכה מקורית ב-Conditional Access וב-Identity Protection
- ביקורת ותאימות ריכוזיות
- אין עוד ניהול של שני tenants או מנועי מדיניות נפרדים
השוואה טכנית: Workforce Tenant מול External Tenant
| יכולת | Workforce Tenant (B2B) | External Tenant (Azure AD B2C) |
|---|---|---|
| ספקי זהות נתמכים | Microsoft, Google, Facebook, SAML, OIDC | Microsoft, Google, Facebook, Apple, Email/Password |
| סוגי זהויות | משתמשי אורח B2B | חשבונות מקומיים, התחברויות חברתיות |
| Conditional Access | נתמך במלואו | חלקי (דרך Identity Experience Framework) |
| Multi-Factor Authentication | Entra MFA ו-Identity Protection | תמיכה מוגבלת |
| תאימות התקנים | נתמכת דרך Intune + CA | לא נתמכת |
| ניהול מחזור חיים | Access reviews, entitlement mgmt | לא נתמך |
| מיתוג והתאמה אישית | בסיסי (לוגו, צבעים) | מלא (HTML, JS, CSS מותאמים) |
| התאמת מסע המשתמש | מוגבלת | מלאה דרך מדיניות מותאמת |
| התאמת טוקנים | בסיסית | התאמה מתקדמת |
| Federation (SAML, OIDC) | בתצוגה מקדימה ציבורית | נתמך |
| קנה מידה של האפליקציה | ברמה ארגונית | בקנה מידה של האינטרנט (מיליוני משתמשים) |
| ביקורת גישה ולוגים | מאוחדים עם Microsoft 365 | צנרת diagnostic נפרדת |
| רישוי | Entra ID P1/P2, מבוסס MAU | רישוי MAU ייעודי ל-B2C |
מקור: Microsoft Learn – Supported features for Entra External ID
https://learn.microsoft.com/en-us/entra/external-id/customers/concept-supported-features-customers
סיכום
- Workforce Tenants הם כעת הפלטפורמה המאוחדת לניהול זהויות של עובדים וזהויות חיצוניות כאחד.
- Azure AD B2C נמצא בפועל במצב תחזוקה, וההשקעות החדשות מתמקדות ב-Entra External ID.
- השתמשו ב-B2B לשיתוף פעולה, וב-External ID בתוך ה-tenant שלכם ב-Entra לתרחישי זהות של לקוחות.
- יישור הכול תחת tenant אחד מפשט את הממשל, התאימות והעומס התפעולי.
אם אתם מנהלים כיום אפליקציות לקוחות ב-Azure AD B2C, הגיע הזמן להתחיל להעריך את מסלול ההגירה ל-Entra External ID.
אנחנו עוזרים באופן פעיל לארגונים לבצע את המעבר הזה, ואתם מוזמנים לפנות אלינו אם תרצו לדון בארכיטקטורה, בסיכונים או באסטרטגיית היישום.