将外部用户添加为Azure Active Directory成员是否存在问题？能否继续使用？

直接结论 #

把外部用户设为Azure AD的Member角色肯定有安全问题，就算加了限制也不建议继续这么用，正确的做法是转用B2B Guest角色配合精准权限控制。

为什么Member角色不能给外部用户 #

• 默认权限太宽：Member角色自带的查看全目录信息、注册应用、邀请B2B来宾这些权限，完全超出了外部用户“订购、支付、管理订阅”的业务需求。一旦出现账号泄露或者用户恶意操作，很容易导致AD目录信息泄露、非授权应用入驻，甚至引来恶意外部用户。
• 所谓的“限制措施”没用：微软明确说了，限制Azure Portal、Graph或PowerShell访问不算安全手段——这些只是堵了官方操作入口，但用户还是能通过授权的第三方应用触发权限对应的操作，权限本身存在就是风险。

该怎么改 #

• 切换到Azure AD B2B Guest角色：Guest角色默认权限远低于Member，只能访问你明确放开的资源，刚好匹配外部用户的业务场景。
• 配置精准权限：针对订购、支付这些需求，要么创建自定义Azure AD角色，要么在你的.NET MVC应用里做内部的RBAC权限控制，确保外部用户只能碰他们需要的功能，碰不到AD目录的核心权限。
• 增强B2B安全设置：比如关掉来宾用户邀请其他来宾的权限，禁用他们查看整个AD用户列表的功能，进一步锁死权限范围。

总结 #

别想着靠限制访问途径来凑合用Member角色，这是治标不治本。直接换成Guest角色+精细权限，既符合Azure AD的设计逻辑，又能保证安全。

内容的提问来源于stack exchange，提问作者GGG