Tre confini diversi, non tre livelli dello stesso

L’errore che l’esame sfrutta è pensare a external access, guest access e shared channel come a tre gradini crescenti della stessa scala. Non lo sono: sono tre meccanismi indipendenti, che aprono confini diversi. External access apre la conversazione, guest access apre il team, lo shared channel apre un singolo canale. Quando leggi uno scenario, la prima cosa da isolare non è “quanto accesso serve”, ma a che cosa l’esterno deve arrivare: se deve solo scriverti, se deve lavorare dentro i tuoi contenuti, o se deve collaborare su un perimetro ristretto restando a casa propria.

External access: federazione senza appartenenza

External access è federazione fra tenant. Abilitandolo, i tuoi utenti possono chattare, chiamare e incontrare persone di altri domini, e viceversa. L’esterno non diventa membro di nulla: non compare nella membership di un team, non vede canali, non accede ai file del team, non ha un oggetto utente nel tuo tenant. Si configura nel Teams admin center, con un modello a liste: consentire tutti i domini, bloccarne alcuni, oppure consentire solo domini specifici (la modalità più usata quando la richiesta è “collaborare solo con quel partner”). Puoi inoltre decidere se ammettere la federazione con Teams accounts non gestiti da un’organizzazione.

Scegli external access quando il requisito parla di comunicazione: raggiungere un fornitore in chat, permettere chiamate con un consulente, consentire che gli esterni partecipino alle riunioni. È anche l’opzione a minor superficie di rischio, perché non espone contenuti.

Guest access: l’esterno entra nel team

Guest access rende l’esterno membro di un team. Il guest riceve un’identità nel tuo tenant — è un oggetto utente Microsoft Entra ID di tipo guest, creato tramite invito B2B — e accede a canali, conversazioni, file e app secondo i permessi che gli concedi. Qui la configurazione è distribuita su più console, ed è esattamente questo che l’esame verifica: il toggle di guest access sta nel Teams admin center, ma chi può invitare guest e quali permessi di directory hanno si governa nel Microsoft Entra admin center con le External collaboration settings; l’accesso effettivo ai file dipende poi dal livello di external sharing impostato nel SharePoint admin center. Se una di queste leve è chiusa, il guest esiste ma non fa ciò che serve.

Scegli guest access quando l’esterno deve lavorare dentro il tuo team per un periodo prolungato: un progetto condiviso, un fornitore integrato nel gruppo di lavoro, un revisore che deve vedere tutta la documentazione.

Shared channel e B2B direct connect

Un shared channel condivide un solo canale, non il team. Con B2B direct connect un utente di un altro tenant partecipa a quel canale restando autenticato nel proprio tenant: non diventa guest, non riceve un account nel tuo, non cambia contesto in Teams. Ogni shared channel ha un sito SharePoint separato, distinto da quello del team (stessa logica dei private channel, ma qui la condivisione arriva anche cross-tenant). Il prerequisito sta nelle cross-tenant access settings in Entra: entrambe le organizzazioni devono configurare la trust in inbound e outbound per B2B direct connect, tipicamente limitata a specifici utenti o gruppi.

Scegli lo shared channel quando il requisito è “collaborazione continuativa ma circoscritta”: un canale con il partner, senza dargli visibilità su tutto il team e senza gestire cicli di vita di account guest.

Per organizzazioni con più tenant propri — tipico dopo fusioni o in gruppi con società separate — la multitenant organization (MTO) è il costrutto che tiene insieme i tenant come un’unica organizzazione, così che le persone si trovino e collaborino come colleghi anziché come esterni. È una risposta di scenario, non un’impostazione di Teams.

Trappole tipiche d’esame

  • L’esterno deve solo chattare e partecipare alle riunioni, nessun accesso ai file → external access: se lo scenario non nomina file, canali o documenti, guest access è sovradimensionato e va scartato.
  • L’esterno deve vedere tutti i canali e i file del team → guest access: unico meccanismo che crea appartenenza al team; external access non concede nulla di tutto ciò.
  • Collaborazione con un altro tenant su un solo canale, senza creare account nel nostro tenant → shared channel con B2B direct connect: la clausola “resta nel proprio tenant” o “senza diventare guest” è la firma di questa risposta.
  • Guest access è attivo ma il guest non apre i documenti → controlla SharePoint admin center e Entra: il toggle in Teams non basta; l’external sharing di SharePoint e le External collaboration settings possono bloccare tutto a valle.
  • Lo shared channel non parte anche se il canale è creato → cross-tenant access settings incomplete: la trust B2B direct connect va configurata su entrambi i tenant, inbound e outbound; una sola direzione non basta.
  • Più tenant della stessa azienda che devono lavorare come una sola organizzazione → multitenant organization: non è un caso di guest access massivo; la risposta corretta è il costrutto MTO, non l’invito uno per uno.