Gedeelde kanalen tussen twee tenants: zo zet u het op, en dit betekent het

Twee organisaties werken een jaar samen aan een project. De ene nodigt de andere uit als gast in een team, en vanaf dat moment wisselen medewerkers de hele dag tussen twee tenants in Teams. Meldingen komen niet binnen, bestanden staan ‘aan de andere kant’, en na een paar weken gaat het overleg toch weer via mail. Gedeelde kanalen lossen dat op. Een gedeeld kanaal verschijnt gewoon tussen uw eigen teams, en u werkt erin met uw eigen account. Maar er gebeurt meer onder de motorkap dan bij een gastaccount, en dat heeft gevolgen die u vooraf wilt kennen.

In deze blog leest u hoe de verbinding tussen twee tenants werkt, hoe u hem opzet, wat de organisaties van elkaar kunnen zien, en wat het betekent voor beveiliging, compliance en archivering. Wilt u meteen aan de slag? Alle klikken en PowerShell voor beide kanten staan in onze guide B2B direct connect instellen voor gedeelde kanalen.

Hoe het werkt: B2B direct connect

Gedeelde kanalen draaien op Microsoft Entra B2B direct connect. Dat is iets anders dan gasttoegang. Bij gasttoegang (B2B collaboration) krijgt elke externe persoon een gastaccount in uw directory. Bij B2B direct connect niet: de externe deelnemer logt in bij zijn eigen organisatie en krijgt van uw tenant alleen toegang tot het kanaal. Er komt geen gebruikersobject bij in uw Entra ID, en de kanaaleigenaar beheert wie erin zit, in Teams zelf.

Drie dingen zijn belangrijk om te begrijpen:

• Het werkt alleen als beide organisaties het toestaan. B2B direct connect staat standaard uit, inkomend én uitgaand. De organisatie die het kanaal host moet inkomend toegang geven, de andere organisatie uitgaand. In de praktijk stellen beide kanten allebei in.
• Alles staat bij de host. Berichten, bestanden en de SharePoint-site van het kanaal staan in de tenant van de organisatie die het kanaal heeft gemaakt. Ook wat de externe deelnemers zelf schrijven.
• Het werkt alleen voor gedeelde kanalen. B2B direct connect geeft geen toegang tot het hele team, andere kanalen of andere onderdelen van uw tenant.

Wat u nodig heeft

• Beide organisaties gebruiken Microsoft 365 met werk- of schoolaccounts in Microsoft Entra ID. Persoonlijke Microsoft-accounts en Gmail-adressen kunnen niet deelnemen.
• In beide tenants iemand met minimaal de rol Security Administrator voor de instellingen in Entra, en een Teams-beheerder voor het Teams-beleid.
• Microsoft Entra ID P1 als u de toegang wilt beperken tot bepaalde groepen of apps. Zonder P1 kunt u alleen kiezen tussen iedereen of niemand.
• Beide tenants in dezelfde Microsoft-cloud. Samenwerken met bijvoorbeeld een overheidscloud in de VS vraagt om aparte cross-cloudinstellingen.
• Afspraken tussen beide organisaties over wie host is, wie mag deelnemen en welke beveiligingseisen gelden. Daarover verderop meer.

De verbinding opzetten, stap voor stap

1. Maak een groep voor de deelnemers

Zet niet de hele organisatie open. Maak in beide tenants een beveiligingsgroep, bijvoorbeeld SG-SharedChannels-Fabrikam, met alleen de mensen die met de andere organisatie samenwerken. Zo houdt u overzicht, en kunt u de toegang later in één keer intrekken.

2. Voeg de andere organisatie toe in Entra

Ga in het Microsoft Entra-beheercentrum naar Entra ID > External Identities > Cross-tenant access settings. Kies op het tabblad Organizational settings voor Add organization en vul het domein of de tenant-ID van de andere organisatie in. De organisatie neemt eerst uw standaardinstellingen over, en die blokkeren B2B direct connect. Daarna past u de instellingen voor deze ene organisatie aan. Uw standaardinstellingen blijven dicht.

3. Sta inkomend toe (de host)

Contoso opent bij Fabrikam de kolom Inbound access en kiest het tabblad B2B direct connect:

• External users and groups: Allow access, voor alle gebruikers van Fabrikam of alleen voor hun groep (daarvoor heeft u de object-ID van de groep van Fabrikam nodig).
• Applications: Allow access, Select applications, en voeg de Microsoft-app Office 365 toe. Daar vallen Teams en SharePoint onder.

4. Sta uitgaand toe (de partner)

Fabrikam doet het spiegelbeeld: bij Contoso de kolom Outbound access, tabblad B2B direct connect. Onder Users and groups kiest Fabrikam Allow access voor de eigen groep, en onder External applications Allow access voor Office 365. Wilt u dat beide organisaties kanalen kunnen hosten, dan stellen beide kanten ook de andere richting in.

5. Vertrouw de MFA van de andere organisatie

Deze stap wordt vaak vergeten, en dan werkt er niets. Externe deelnemers kunnen in uw tenant geen MFA registreren. Vraagt uw voorwaardelijke toegang om MFA, dan moet u de MFA van de thuisorganisatie vertrouwen. Dat doet u bij de organisatie onder Inbound access > Trust settings met Trust multifactor authentication from Microsoft Entra tenants. Heeft de deelnemer thuis MFA gedaan, dan komt hij binnen. Anders wordt hij geblokkeerd. Eist u een beheerd apparaat, dan kunt u op dezelfde plek ook compliant devices en hybrid joined devices van de andere organisatie vertrouwen.

Optioneel zetten beide kanten Automatically redeem invitations aan (de host inkomend, de partner uitgaand). Dan krijgen deelnemers bij de eerste keer geen toestemmingsvraag. Het werkt alleen als beide organisaties het aanzetten.

6. Zet Teams klaar

In het Teams-beheercentrum staan onder Teams > Teams policies drie instellingen:

• Create shared channels: teameigenaren mogen gedeelde kanalen maken (nodig bij de host).
• Invite external users to shared channels: eigenaren mogen mensen van buiten uitnodigen (nodig bij de host).
• Join external shared channels: uw gebruikers mogen deelnemen aan kanalen van andere organisaties (nodig bij de partner).

Controleer ook onder Users > External access dat het domein van de andere organisatie niet geblokkeerd is. Zonder externe toegang zien deelnemers elkaars aanwezigheidsstatus niet en kunnen externe deelnemers niet meedoen aan vergaderingen. Sinds februari 2026 bundelt het Teams-beheercentrum de instellingen voor externe samenwerking in een nieuw scherm met de standen Open, Controlled en Custom. De losse instellingen zitten daar onder.

Liever met PowerShell, of wilt u de instellingen aan beide kanten controleren? De guide B2B direct connect instellen voor gedeelde kanalen heeft de scripts voor de host en de partner, een controle achteraf en de meest voorkomende foutmeldingen.

7. Test het met één kanaal

Een teameigenaar bij Contoso maakt een kanaal van het type Gedeeld en kiest Kanaal delen > Delen met personen. Hij vult het adres van een Fabrikam-collega in. Let op: dat moet de UPN zijn als die afwijkt van het e-mailadres. De Fabrikam-collega ziet het kanaal kort daarna in zijn eigen Teams, onder het team van Contoso, met het label van de externe organisatie.

Wat ziet de andere organisatie van u?

Dit is de vraag die we het vaakst krijgen. Het korte antwoord: veel minder dan bij gasttoegang, maar niet niets. En het verschilt per kant.

Binnen Contoso zelf ziet ook niet iedereen alles. Teameigenaren zien de naam van het gedeelde kanaal en kunnen het verwijderen, maar lezen de berichten, bestanden en ledenlijst alleen als ze zelf lid zijn. Andere teamleden zien het kanaal helemaal niet.

De voordelen

• Geen gewissel tussen tenants. Het kanaal staat tussen de eigen teams, met meldingen, zoeken en de eigen instellingen. Dit is de grootste winst, en de reden dat samenwerking in Teams blijft hangen in plaats van terug te vallen op mail.
• Geen gastaccounts om op te ruimen. Er komen geen honderden gasten in uw directory die na het project blijven staan. Verlaat iemand de partnerorganisatie, dan verdwijnt zijn account daar, en daarmee ook zijn toegang bij u.
• Afgebakend. Externe deelnemers zien alleen het kanaal, niet het team of de rest van uw tenant.
• Uw beveiliging geldt. Als host past u uw eigen voorwaardelijke toegang, DLP en gevoeligheidslabels toe. U bepaalt welke groepen en apps meedoen.
• Hele teams in één keer. U kunt een kanaal delen met een team van de andere organisatie (tot 50 teams per kanaal). Nieuwe leden van dat team krijgen automatisch toegang.

De nadelen en beperkingen

• Beide kanten moeten meewerken. Zonder beheerders aan beide kanten gebeurt er niets, en bij een storing zoekt u samen naar de oorzaak. Een verkeerde instelling bij de ander is voor u onzichtbaar.
• Alleen het kanaal. Externe deelnemers krijgen geen toegang tot het team, privékanalen of andere sites. Moet iemand meer, dan heeft u alsnog gasttoegang nodig. Gasten kunnen op hun beurt niet in een gedeeld kanaal.
• Externe deelnemers zijn altijd lid, nooit eigenaar. De host houdt de regie over het kanaal.
• Niet elke app werkt. Bots, connectors en berichtextensies worden niet ondersteund, en van veel apps werkt alleen het tabblad. Meldingen uit gedeelde kanalen komen niet in de e-mail met gemiste activiteit.
• Versleutelde bestanden. Een bestand met een versleutelend gevoeligheidslabel kan een externe deelnemer niet openen, tenzij het label hem rechten geeft. Alleen de labels van de host zijn beschikbaar.
• Beperkt zicht voor de partner. De partnerorganisatie heeft geen auditlogboek en geen eDiscovery over wat haar eigen mensen in het kanaal doen.

Wat het betekent: de gevolgen die u vooraf wilt kennen

De host bewaart alles, ook uw informatie

Dit is het belangrijkste punt, zeker voor de overheid. Wat uw medewerkers schrijven en uploaden in het gedeelde kanaal van een andere organisatie, staat in die andere tenant. Uw bewaarbeleid, uw eDiscovery en uw legal hold bereiken het niet. Valt die informatie bij u onder de Archiefwet of de Woo, dan is uw archief niet compleet zolang het alleen in het kanaal van de partner staat, en vindt uw eDiscovery-zoekopdracht voor een Woo-verzoek niet alles. Maak daarom vooraf afspraken: wie is host, welke documenten worden ook in het eigen systeem vastgelegd, en wat gebeurt er met het kanaal als het project stopt.

Een vuistregel die wij vaak adviseren: de organisatie die eigenaar is van de uitkomst, host het kanaal. En heeft u als partner eigen bewaarplichten, leg dan vast hoe de host daaraan meewerkt, bijvoorbeeld met een export aan het einde van het project.

U vertrouwt de beveiliging van de ander

Vertrouwt u de MFA en apparaten van de partner, dan accepteert u hun beoordeling. Is hun MFA zwak of hun apparaatbeheer rommelig, dan is dat de sleutel tot uw kanaal. Vraag daarom welke MFA-methoden de partner toestaat en hoe apparaten worden beheerd. Uw eigen voorwaardelijke toegang blijft gelden voor de toegang tot het kanaal. Die van de partner niet.

Een team delen is controle uit handen geven

Deelt u het kanaal met een heel team van de partner, dan bepaalt de eigenaar van dat team wie er binnenkomt. Nieuwe leden van dat team krijgen automatisch toegang tot uw kanaal, ook als de partner deelname aan externe kanalen later uitzet. Toegangsbeoordelingen in Entra zien losse externe deelnemers wel, maar niet de teams die aan een kanaal zijn toegevoegd. Deel daarom liever met personen, of controleer de gedeelde teams zelf, bijvoorbeeld elk kwartaal.

Verwijderen uit het kanaal is niet altijd genoeg

Heeft iemand toegang gekregen tot een bestand of map via delen in SharePoint, dan houdt hij die toegang, ook als u hem uit het kanaal verwijdert. Beperk delen vanuit de kanaalsite, en controleer de rechten als een samenwerking stopt.

Namen en profielen worden gedeeld

Met B2B direct connect aan kunnen gebruikers van de andere organisatie uw collega’s opzoeken op hun volledige e-mailadres, en zien ze hun voor- en achternaam. Wie deelneemt aan een extern kanaal, deelt zijn profiel met die tenant. Dat is beperkt, maar noem het in uw privacyverklaring voor medewerkers en in de afspraken met de partner.

Afspraken om vooraf te maken

1. Wie is host, per kanaal of per project.
2. Welke groepen aan beide kanten mogen deelnemen, en wie die groepen beheert.
3. Welke beveiligingseisen gelden: MFA-methoden, beheerde apparaten, gevoeligheidslabels.
4. Hoe informatie wordt bewaard en wie aan welke bewaarplicht moet voldoen.
5. Wie het aanspreekpunt is bij storingen of een beveiligingsincident.
6. Hoe het stopt: kanaal archiveren of verwijderen, export, rechten intrekken, en de instellingen in Entra aan beide kanten weer dicht.

Wanneer iets anders beter past

• Gasttoegang als externe mensen het hele team nodig hebben, privékanalen, of als ze geen werkaccount in Entra ID hebben.
• Externe toegang (chatten en bellen met andere organisaties) als u alleen wilt overleggen, zonder gedeelde bestanden.
• Een multitenantorganisatie in Entra als beide tenants bij dezelfde organisatie horen, bijvoorbeeld na een fusie. Dan worden medewerkers als leden in elkaars tenant gezet en werkt het alsof het één organisatie is.

Tot slot

Technisch is een verbinding tussen twee tenants in een uur gelegd. Het werk zit in de afspraken: wie host, wie mag erin, welke beveiliging geldt, en waar de informatie blijft als het project voorbij is. Wie dat vooraf regelt, krijgt samenwerking die mensen ook echt gebruiken, zonder verrassingen bij de volgende audit of het volgende Woo-verzoek. Wilt u sparren over de inrichting of de afspraken met uw partnerorganisatie? Neem gerust contact met ons op.