はじめに

本稿はTeams、SharePoint Onlineにおいて自組織以外のユーザとコラボレーションするための設定を記したものです。
顧客、ベンダーと自社のSharePoint、Teamsでコラボレーションしたい、ファイルを共有したいという場合の設定です。

設定方法

条件

ゲストユーザーは特定のドメインのみ
ゲストユーザーとコラボレーションするのは特定のSharePointサイト、Teamsチャネルのみ

AzureAD(初回のみ)

Azure Active Directory admin centerで設定を行います。これは1回のみの設定です。
ダッシュボード - External Identities - 外部コラボレーションの設定をクリックします。

ゲストユーザーのアクセス
当社では「ゲストユーザーのアクセスは、各自のディレクトリオブジェクトのプロパティとメンバーシップに制限されます (最も制限が多い)」を設定しています。これで問題無いと思います。
ゲスト招待の制限
ゲストを誰が招待出来るかの設定になります。
「ゲストと非管理者を含む組織内のすべてのユーザーがゲストユーザーを招待できる (最も包括的)」だとゲスト含め誰でも招待ができてしまうようです。
「メンバーアクセス許可を持つゲストを含むメンバーユーザーと特定の管理者ロールに割り当てられたユーザーがゲストユーザーを招待できる」これは例えばSharePointサイトの管理者であれば、ゲストユーザを招待できるようです。メンバーやゲストユーザはゲストユーザを招待出来ないようです。
「特定の管理者ロールに割り当てられているユーザーのみがゲストユーザーを招待できる」「管理者を含む組織内のすべてのユーザーがゲストユーザーを招待できない (最も制限的)」これは管理者ロールを付与されているひとのみゲストユーザを招待できるようです。最も制限的ですが、ゲストユーザを招待する度に管理者に依頼しなければなりません。
コラボレーションの制限
「招待を任意のドメインに送信することを許可します (許可の範囲が最大)」これはドメイン制限無く、ゲストユーザーとして招待できるようです。
残り２つはホワイトリストorブラックリストでドメインの制限を行うことができます。通常であればホワイトリストで制限をかけた方が良いでしょう。

AzureAD(許可するドメインごとの設定）

この設定は許可するドメインが増えた(減った)場合の設定になります。引き続きAzure Active Directory admin centerの「外部コラボレーションの設定」で設定を行います。
上記の「コラボレーションの制限」でドメイン指定の設定を行った場合、許可(拒否)するドメインを指定することが出来ます。

ドメインを追加(または削除)して、最後に「保存」ボタンをクリックして終了です。

SharePointの設定

SharePointサイトにゲストユーザを招待するには、SharePoint管理センターでサイト毎に設定します。

SharePoint管理センターのメニューからサイト - アクティブなサイトをクリックしてサイトの一覧を表示します。

サイト名をクリックすると、右側にサイトごとの設定画面が表示されます。

ポリシーをクリックし、「外部共有」の下の編集リンクをクリックします。

外部共有
「新規および既存のゲスト」を選択します。
外部共有の詳細設定
「ドメインごとに共有を制限する」をチェックして許可するドメインを追加します。

Teamsの設定

Teams管理センターで許可するドメインの設定を行います。Teamsの場合はチャネルごとの設定は出来ないようです。

左メニューの組織全体の設定 - 外部アクセスをクリックします。許可(ブロック)するドメインを追加します。

これで設定は完了です。

ゲストユーザーの招待

ゲストユーザーが出来ること

ゲストユーザーはOffice Onlineを使用することが出来ます。
ゲストユーザーMicrosoft365ライセンスは必要ありません。

ゲストユーザーの招待

ゲストユーザーを招待したいSharePointサイトを表示します。
画面右の↓からはゲストユーザーは招待することができません。

画面右側の歯車マークをクリックして、サイトのアクセス許可をクリックします。

「Advanced permissions setteings(高度なアクセス許可の設定)」をクリック。

「Team site メンバー」をクリック。

新規をクリックし、ユーザの追加をクリック。

招待したい外部ユーザのメールアドレスを入力してください（複数可）。最後に「共有」ボタンをクリックするとゲストユーザーに招待メールが送られます。ゲストユーザーは招待メールにログインの方法が記載されているので、そのとおり行います。

Teamsの場合は、組織内のユーザーと同様の手順で招待出来ます(SharePointで招待した場合でもTeamsでの招待も必要)。

ゲストユーザーのAzureAD上の状態

ゲストユーザーを招待すると、AzureAD上ではゲストユーザー用のアカウントが作成されます。

ユーザープリンシパルでは"#EXT#"という文字列が付与され、ユーザータイプはゲストになります。アカウントを削除すると、そのゲストユーザーは共有が解除され、再度招待する必要があります。

ゲストユーザ永続的セッションブロック

ゲストユーザーのセッションを強制的に削除することが可能です。
Azure Active Directory admin centerを開きセキュリティ - 条件付きアクセスをクリックしてポリシーを追加します。

上図の場合は５日後にログインセッションが切れ、再度ログインし直す必要があります。
アクティブなユーザーは５日間隔でログインし直すので、AzureAD上のログイン履歴に残ります。使用していないゲストユーザーはログイン履歴が残らないので、それを条件にしてゲストユーザーを棚卸しすることが可能だと思います。