Gæsteadgang og B2B i Microsoft 365‑loggene

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Når en ekstern person får adgang til filer, teams eller websteder i Microsoft 365, sker det enten gennem en gæstekonto i Entra ID (B2B-samarbejde) eller gennem et delingslink uden konto. De to veje efterlader forskellige spor. Gæstekontoen har en livscyklus i Entra ID med invitation, indløsning og logins, mens delinger og filadgang registreres i den samlede auditlog. En undersøgelse af ekstern deling skal derfor kombinere begge kilder og være præcis med, hvilken vej adgangen gik.

Emnet er hyppigt i fratrædelsessager og samarbejdstvister: Fik en tidligere samarbejdspartner adgang efter aftalens ophør? Delte en medarbejder materiale med en privat adresse eller en ny arbejdsgiver? Den organisatoriske side af eksterne delinger er beskrevet på bevissikring-digitalt.dk. Her er det den tekniske dokumentation.

Gæstekontoen i Entra ID

En B2B-gæst er et brugerobjekt i organisationens egen katalog. Det kan genkendes på flere egenskaber:

UserType er Guest som udgangspunkt. Eksterne kan dog også oprettes som Member, fx i organisationer med flere tenants, så egenskaben alene afgør ikke, om en konto er ekstern.
UPN indeholder gæstens mailadresse efterfulgt af #EXT# og tenantens onmicrosoft-domæne.
Identities viser gæstens identitetsudbyder, fx ExternalAzureAD for en konto i en anden Entra-organisation, Microsoft-konto eller engangskode via mail.
externalUserState viser, om invitationen er indløst. Før indløsning er værdien Pending Acceptance, efter indløsning Accepted.
Sponsor sættes som udgangspunkt til den, der sendte invitationen.

Tilsammen kan egenskaberne vise, hvem gæsten er, hvordan gæsten logger ind, og hvem der står som ansvarlig. De viser ikke historikken. Den ligger i loggene.

Invitation og indløsning i auditloggen

Entra ID’s auditlog registrerer, når en gæst inviteres, med aktiviteten “Invite external user” og den konto, der sendte invitationen. Indløsningen registreres som en særskilt hændelse. Hvis gæsten er oprettet automatisk, fordi en medarbejder delte en fil med en ekstern adresse, kan invitationen være udført af SharePoint eller Teams på brugerens vegne. Undersøg derfor både initiativtager og den tjeneste, der står som udførende.

Senere ændringer af gæstekontoen, fx tildeling til grupper, ændring af UserType, deaktivering og sletning, ses i samme log. Sletning af en gæstekonto fjerner ikke tidligere auditposter, men en slettet gæst kan være svær at genkende i ældre poster, hvis man kun har visningsnavnet. Gem objekt-id’et.

Gæstens logins

Når en gæst logger ind på organisationens ressourcer, registreres det i ressourcetenantens loginlog. Godkendelsen, fx adgangskode og MFA, kan helt eller delvist ske i gæstens hjemmeorganisation, og de detaljer har kun hjemmeorganisationen. Ressourcetenanten ser typisk tidspunkt, program, IP-adresse, resultat og oplysninger om krydstenantadgang, men ikke nødvendigvis alt om gæstens enhed. Loginloggens felter er gennemgået i Entra ID sign-in logs.

Det betyder, at et spørgsmål om, hvorvidt en bestemt person hos samarbejdspartneren loggede ind, kun delvist kan besvares fra egen tenant. Resten kræver data fra partnerens organisation.

Delinger i SharePoint, OneDrive og Teams

Delinger registreres i den samlede auditlog med et særligt skema, hvor felterne TargetUserOrGroupType og TargetUserOrGroupName angiver, hvem der blev delt med. Værdien Guest i TargetUserOrGroupType markerer en ekstern modtager.

SharingSet · Adgang givet til en bruger, der allerede findes i kataloget, fx en eksisterende gæst
SharingInvitationCreated · Invitation til ekstern uden konto, logges kun for websteder
SharingInvitationAccepted · Den eksterne har accepteret invitationen
SecureLinkCreated og AddedToSecureLink · Link til bestemte personer oprettet, og modtager føjet til linket
AnonymousLinkCreated og AnonymousLinkUsed · Link for alle oprettet og brugt

To forhold er vigtige for fortolkningen. For links til bestemte personer registreres en eksterns senere adgang som almindelig FileAccessed. Og for links for alle kan brugeren ikke identificeres: AnonymousLinkUsed viser, at linket blev brugt, men ikke af hvem. Versionshistorik og delingslinks i SharePoint er beskrevet i Hvem ændrede filen?.

Teams og delte kanaler

Gæster i et team har en gæstekonto i tenanten. Brugere i delte kanaler via B2B direct connect har derimod ikke et gæsteobjekt i kataloget; de logger ind i deres egen organisation. Deres adgang styres af indstillingerne for krydstenantadgang, og sporene ser anderledes ud end for klassiske gæster. Afklar tidligt, hvilken model der er brugt.

Sikring

Eksportér gæstekontoens egenskaber via Graph eller PowerShell: objekt-id, UPN, UserType, identities, externalUserState, oprettelsestidspunkt og sponsor.
Eksportér gruppemedlemskaber og rolletildelinger for gæsten.
Eksportér Entra ID’s auditlog for invitation, indløsning og ændringer af kontoen, og loginloggen for gæstens logins.
Søg i den samlede auditlog efter delingshændelser for de relevante brugere og websteder, og efter FileAccessed og FileDownloaded fra gæsten.
Dokumentér tenantens indstillinger for ekstern deling og krydstenantadgang på sikringstidspunktet.
Hash eksporterne, og notér søgekriterier og antal poster.

Vær opmærksom på opbevaringstiden. Auditposter for gæster følger som udgangspunkt standardopbevaringen, fordi gæster sjældent har Premium-licens. Se Audit Standard eller Premium.

Fejlkilder

Fjernet adgang er ikke slettet kopi: At gæstens adgang er lukket, siger intet om, hvad der blev downloadet, mens den var åben.
Gæst eller medlem: En ekstern konto med UserType Member forsvinder i en søgning, der kun filtrerer på Guest.
Indløst af en anden: Invitationen kan være indløst af en anden konto end den, mailen blev sendt til. Kontrollér identiteten efter indløsning.
Delt med gruppe: Deling til en gruppe med gæster vises som deling til gruppen, ikke til den enkelte gæst.
Tidszone: Auditloggen bruger UTC; eksport til regneark kan vise lokal tid.

Dokumentation

En rapport om ekstern adgang bliver lettest at efterprøve, når den er bygget op om en tabel pr. ekstern konto eller pr. link: hvem oprettede adgangen, hvornår, til hvilket indhold, hvornår blev den brugt, og hvornår blev den lukket. Hver række henviser til de konkrete auditposter med tidsstempel og hændelsesnavn. Angiv tenantens delingsindstillinger, fordi de forklarer, hvorfor en bestemt type link overhovedet kunne oprettes. Hvis indstillingerne er ændret undervejs, skal tidspunktet for ændringen fremgå, og hvem der foretog den. Skriv også, hvilke data der ikke var tilgængelige, fx loginoplysninger fra gæstens hjemmeorganisation eller poster ældre end opbevaringstiden, så konklusionerne ikke læses bredere, end grundlaget tillader.

Hvad loggene kan og ikke kan bevise

Loggene kan vise, hvem der inviterede og delte, hvornår en gæstekonto blev oprettet og brugt, og hvilke filer en gæst tilgik. De kan ikke vise, hvad der skete med en fil efter download, og ved links for alle kan de ikke vise, hvem der åbnede dem. Kobling til en bestemt person hos modparten kræver data fra den anden organisation. Til undersøgelsen af en fratrådt medarbejders delinger, se Teknisk undersøgelse ved fratræden.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Entra Connect og hybrid identitet: hvor blev ændringen lavet? · Teams-opkald og møder: opkaldsposter, deltagerdata og optagelser

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik