Gasttoegang uitschakelen voor één team in Microsoft Teams

Gasttoegang staat aan in je organisatie, maar voor één team, zoals Directie, HR of Payroll, wil je geen externen. Gasttoegang voor de hele tenant uitschakelen is te grof: andere teams werken net wel met klanten en partners. Gelukkig kun je gasten per team blokkeren. Zonder PowerShell doe je dat met een gevoeligheidslabel in Microsoft Purview; met PowerShell zet je een instelling op die ene groep. In dit artikel lees je beide manieren, en waar je op let.

Hoe werkt het?

Elk team draait op een Microsoft 365-groep. Of eigenaren gasten mogen toevoegen, is een eigenschap van die groep: AllowToAddGuests. Een gevoeligheidslabel zet die eigenschap voor je, en je kiest het label gewoon in Teams. Meer over die opbouw lees je in hoe Microsoft Teams technisch opgebouwd is.

Eenmalig: labels voor groepen en sites activeren

Standaard kunnen gevoeligheidslabels alleen op bestanden en e-mails. Voor teams moet een beheerder ze eenmalig activeren:

1. Zet in Microsoft Entra ID de groepsinstelling EnableMIPLabels op True (met Microsoft Graph PowerShell).
2. Maak verbinding met Security & Compliance PowerShell en voer Execute-AzureAdLabelSync uit.

Zolang dat niet gebeurd is, zie je de instellingen voor groepen en sites wel in de labelwizard, maar kun je ze niet kiezen.

Met een gevoeligheidslabel (zonder PowerShell)

1. Ga naar purview.microsoft.com > Informatiebeveiliging > Gevoeligheidslabels > Label maken, bijvoorbeeld Intern - geen gasten.
2. Kies als bereik Groepen en sites (eventueel naast Bestanden en e-mails).
3. Kies bij de beveiligingsinstellingen voor groepen en sites Privacy en toegang voor externe gebruikers.
4. Vink bij Toegang voor externe gebruikers de optie Microsoft 365-groepseigenaren toestaan om mensen buiten de organisatie toe te voegen als gasten uit. Stel eventueel de privacy in op Privé.
5. Publiceer het label met een labelbeleid voor de gebruikers die teams maken of beheren.
6. Wacht minstens een uur. Kies daarna het label in Teams bij Team beheren > Instellingen > Gevoeligheid, of bij het maken van een nieuw team.

De exacte namen van de opties kunnen licht verschillen per versie van de Purview-portal. Pas je later de groepsinstellingen van een label aan dat al in gebruik is, reken dan op ongeveer 24 uur voor alle teams bijgewerkt zijn.

Licentie

Gevoeligheidslabels toepassen op groepen vraagt Microsoft Entra ID P1 en een licentie met Purview-informatiebeveiliging, zoals Microsoft 365 Business Premium, E3 of E5.

Met PowerShell

Zonder labels stel je AllowToAddGuests op false in voor die ene groep. Microsoft gebruikt daarvoor de bèta-module van Microsoft Graph PowerShell:

Connect-MgGraph

$templateId = (Get-MgBetaDirectorySettingTemplate | ? {$_.DisplayName -eq "Group.Unified.Guest"}).Id

$groupId = (Get-MgBetaGroup -Filter "DisplayName eq 'Directie'").Id

$params = @{ templateId = $templateId; values = @(@{ name = "AllowToAddGuests"; value = "false" }) }

New-MgBetaGroupSetting -GroupId $groupId -BodyParameter $params

Dat werkt, maar is moeilijker te beheren dan een label: je ziet niet in Teams welke teams zo ingesteld zijn, en nieuwe teams moet je telkens zelf aanpassen.

Bestaande gasten en de SharePoint-site

• Bestaande gasten blijven lid tot je ze verwijdert. Nieuwe gasten kunnen niet meer worden toegevoegd. Verwijder ze via Team beheren > Leden.
• De bijbehorende SharePoint-site heeft eigen instellingen voor extern delen. Een label kan die ook beperken; anders stel je het delen voor die site apart in. Zijn de deelopties daarna grijs, lees dan opties voor delen zijn grijs.

Controleren

Probeer als eigenaar een extern adres toe te voegen via Lid toevoegen. Teams laat dat niet meer toe en meldt dat gasten niet zijn toegestaan.

Veelvoorkomende problemen

• Het label verschijnt niet in Teams: het labelbeleid is nog niet gepubliceerd voor die gebruiker, of de synchronisatie is nog bezig.
• De optie in de labelwizard is grijs: labels voor groepen en sites zijn nog niet geactiveerd.
• Er komen toch externen binnen: via een gedeeld kanaal of rechtstreeks delen vanuit SharePoint, dat los staat van gasttoegang tot het team.

Veelgestelde vragen

Kan ik gasttoegang voor de hele organisatie uitzetten?

Ja, maar dat is een tenant-instelling. Lees gasttoegang controleren en beheren.

Wat als een team later wel gasten nodig heeft?

Kies een ander label. Bij PowerShell zet je de waarde terug op true.

Meer over SharePoint